Deur Tom Meevis, prokureur by Law & More
Kuber-aanvalle soos ransomware, phishing, DDoS-aanvalle en rekenaarinbraak raak selde net die organisasie wat aangeval word. Slagoffers van kuber-aanvalle sluit ook kliënte, werknemers, pasiënte, verskaffers en ander voorsieningskettingvennote in wat verlies kan ly, en hul regsposisie verskil van groep tot groep. Enigiemand wat na 'n aanval wil vasstel watter verpligtinge van toepassing is en watter eise bestaan, word dus aangeraai om eers presies te bepaal wie geraak is en watter skade ontstaan het.
Hierdie artikel bespreek op sy beurt wie as 'n slagoffer kwalifiseer, wanneer 'n data-oortreding aangemeld moet word, onder watter voorwaardes 'n reg op vergoeding bestaan, watter partye aanspreeklik kan wees, watter rol die strafreg speel, wat 'n kuberversekeringspolis tipies dek, en watter stappe onmiddellik na 'n aanval geneem moet word.
Wie is die slagoffers van kuberaanvalle?
Drie groepe kan in 'n kuberaanval onderskei word.
- Die betrokke organisasie self, wat stelselonderbreking, verlore omset, herstelkoste, die koste van forensiese ondersoek en reputasieskade in die gesig staar.
- Natuurlike persone wie se persoonlike data blootgestel is, soos kliënte, werknemers en pasiënte. Hulle kan finansiële verlies ly, maar ook nie-materiële skade deur verlies aan beheer oor hul data, onsekerheid of vrees vir identiteitsbedrog.
- Derde partye wat geraak word deur 'n kontraktuele of voorsieningskettingverhouding, byvoorbeeld omdat hulle afhanklik is van 'n verskaffer wie se stelsels onklaar geraak het.
Hierdie klassifikasie is regtens relevant. Die basis van enige eis, en die party teen wie dit ingestel kan word, hang af van die slagoffer se posisie. 'n Geaffekteerde organisasie sal oor die algemeen sy IT-verskaffer aanspreeklik hou kragtens die kontrak, terwyl 'n data-onderwerp direk kan staatmaak op die losstaande basis vir aanspreeklikheid wat die AVG bied.
Wanneer moet 'n datalek aangemeld word?
Waar persoonlike data by 'n kuberaanval betrokke is, moet daar bepaal word of daar 'n persoonlike data-oortreding is en of kennisgewing verpligtend is. Artikel 33 van die AVG vereis dat 'n oortreding sonder onnodige vertraging en, waar moontlik, binne twee-en-sewentig uur aan die toesighoudende owerheid in kennis gestel word, tensy die oortreding waarskynlik nie 'n risiko vir die regte en vryhede van natuurlike persone sal inhou nie.
Daarbenewens kan Artikel 34 van die AVG vereis dat die organisasie die datasubjekte self inlig. Daardie verpligting ontstaan waar die oortreding waarskynlik 'n hoë risiko vir hul regte en vryhede tot gevolg sal hê. Kommunikasie kan weggelaat word waar toepaslike tegniese maatreëls soos enkripsie in plek was, waar daaropvolgende maatreëls verseker dat die hoë risiko nie meer sal realiseer nie, of waar individuele kommunikasie onevenredige moeite sou behels; in laasgenoemde geval is 'n openbare kommunikasie voldoende.
Vir die datasubjek is daardie kommunikasie meer as net 'n formaliteit. Dit stel hulle in staat om hul eie maatreëls te tref, byvoorbeeld deur wagwoorde te verander of op te let vir verdagte transaksies, en in die praktyk is dit dikwels die beginpunt van enige eis om vergoeding.
'n Organisasie moet dus nie net vasstel dat 'n aanval plaasgevind het nie, maar ook watter data geraak is, of data wel geëksfiltreer is, en watter risiko's daaruit voortvloei. 'n Onafhanklike forensiese ondersoek is dikwels onontbeerlik vir daardie doel.
Dit geld des te meer waar die aanval by 'n verwerker plaasvind eerder as by die organisasie self. In die summiere verrigtinge tussen Blauw Research en Nebu (Distrikshof van Rotterdam, 6 April 2023, ECLI:NL:RBROT:2023:2931) het die tussentydse regter bevind dat die verwerker, ingevolge die dataverwerkingsooreenkoms wat tussen die partye gesluit is, geregtig was op meer inligting oor die aanval, die gevolge daarvan en die maatreëls wat getref is as wat aanvanklik verskaf is. Die verwerker is ook gelas om 'n onafhanklike forensiese ondersoek te laat uitvoer en periodiek verslag te doen. Die uitspraak toon dat 'n goed opgestelde dataverwerkingsooreenkoms in die praktyk die belangrikste instrument is om inligting betyds na 'n voorval te bekom, juis omdat die verwerker daardie inligting nodig het om sy eie kennisgewingspligte na te kom.
Wanneer ontstaan 'n reg op vergoeding?
Datasubjekte kan vergoeding van die beheerder of die verwerker eis kragtens Artikel 82 AVG. 'n Kuberaanval gee egter nie outomaties aanleiding tot 'n eis nie. Dit moet gestaaf word:
- dat die GDPR oortree is;
- dat skade werklik gely is; en
- dat daar 'n oorsaaklike verband tussen daardie oortreding en daardie skade is.
Materiële skade kan bestaan uit finansiële verliese, verhaalkoste of verlies veroorsaak deur identiteitsbedrog. Wat nie-materiële skade betref, het die Hof van Justisie van die Europese Unie in Österreichische Post (HvJEU 4 Mei 2023, C-300/21) beslis dat daar geen minimum drempel van erns is nie, maar dat 'n oortreding van die AVG alleen nie voldoende is vir 'n toekenning nie.
Van besondere belang vir datalekke na 'n kuberaanval is Natsionalna agentsia za prihodite (HvJEU 14 Desember 2023, C-340/21). Daar het die Hof beslis dat die vrees vir moontlike toekomstige misbruik van gelekte persoonlike data op sigself nie-materiële skade kan uitmaak. Die betrokke persoon moet egter daardie vrees en die gevolge daarvan konkreet staaf; om bloot te wys op die feit dat data uitgelek is, is nie genoeg nie. In dieselfde uitspraak het die Hof bevestig dat dit die verantwoordelike is om te bewys dat die sekuriteitsmaatreëls wat getref is, gepas was, en dat 'n aanval deur 'n derde party die beheerder nie op sigself van aanspreeklikheid vrystel nie.
Aanspreeklikheid kragtens die AVG bestaan naas die siviele regte van kontrakbreuk en onregmatige daad. Ingevolge Artikel 6:162(1) van die Nederlandse Burgerlike Wetboek moet 'n party wat 'n toerekenbare onregmatige daad pleeg, die veroorsaakte skade vergoed. Die relatiwiteitsvereiste van Artikel 6:163 is van toepassing: die oortredene norm moet dien om te beskerm teen die soort skade wat die benadeelde party gely het.
Dit is belangrik dat Artikel 82 van die AVG saam met hierdie basisse bestaan. 'n Datasubjek is dus nie verplig om 'n eis uitsluitlik op kontrakbreuk of onregmatige daad te stig nie, maar kan direk staatmaak op die alleenstaande basis vir aanspreeklikheid wat die AVG bied. Vir die betrokke organisasie beteken hierdie kombinasie van basisse dat verskeie partye gelyktydig eise kan instel na 'n aanval.
Wie kan aanspreeklik wees?
Die betrokke organisasie kan aanspreeklik gehou word indien dit nie sy kontraktuele verpligtinge nakom nie of onvoldoende sekuriteitsmaatreëls getref het. 'n IT-diensverskaffer of -verwerker kan ook aanspreeklik gehou word. Wat van daardie diensverskaffer verwag kan word, word eerstens en hoofsaaklik deur die kontrak bepaal.
Binne 'n verwerkingsverhouding speel die dataverwerkingsooreenkoms 'n sentrale rol. Artikel 28 van die AVG vereis dat die beheerder en die verwerker so 'n ooreenkoms sluit, wat onder andere die sekuriteitsmaatreëls en die hantering van datalekke reguleer. Waar die aanval voortspruit uit onvoldoende sekuriteit by die verwerker, kan die beheerder die verwerker kragtens daardie ooreenkoms aanspreeklik hou vir die gevolglike verlies.
Dit blyk skerp uit die saak rakende die kuberaanval op die munisipaliteit Hof van Twente (Distrikshof van Overijssel, 10 Mei 2023, ECLI:NL:RBOVE:2023:1731). Die partye het ooreengekom oor funksionele monitering, nie sekuriteitsmonitering nie. Die hof het bevind dat die sorgplig van 'n IT-administrateur nie so ver strek dat sekuriteitsmonitering 'n stilswyende deel van 'n opdrag vir funksionele monitering vorm nie, en het die munisipaliteit se eis van die hand gewys. Dit het ook geoordeel dat die munisipaliteit self besluite geneem het wat die risiko verhoog het, insluitend sy wagwoordbeleid en die opening van 'n RDP-poort.
Die spieëlbeeld is die O'Cliance-saak (Distrikshof van Amsterdam, 14 November 2018, ECLI:NL:RBAMS:2018:10124). Daar het die verskaffer 'n volledige IT-infrastruktuur geïnstalleer en die bestuur daarvan oorgeneem. Na 'n losprysware-aanval waarin die rugsteun ook geïnkripteer is, het die hof bevind dat die verskaffing van so 'n totale pakket 'n verreikende sorgplig meegebring het en dat eenvoudige maatreëls weggelaat is. Aanspreeklikheid is egter nie ten volle toegeken nie: weens die kliënt se bydraende skuld het twee derdes van die skade vir die verskaffer se rekening gebly.
Hoe swaar die bewyslas oor gepaste sekuriteit kan weeg, word geïllustreer deur die geval van 'n motorhandelaar se gekapte e-posrekening. In die tussentydse uitspraak van 5 November 2024 (Appèlhof van Arnhem-Leeuwarden, ECLI:NL:GHARL:2024:6812) is die handelaar die geleentheid gegun om te bewys dat sy e-posrekening gepast beveilig was binne die betekenis van die AVG, nadat 'n kuberkraker daardie rekening gebruik het om 'n valse betalingsinstruksie aan 'n koper te stuur. In die opvolguitspraak van 22 Julie 2025 (ECLI:NL:GHARL:2025:4556) het die hof bevind dat hierdie bewys nie gelewer is nie, waarna die partye nog die koper se bydraende skuld moes aanspreek. Beide uitsprake het dus betrekking op dieselfde verrigtinge.
Die gemeenskaplike draad is dat die kontraktuele reëlings, die risiko's van die verwerking, die maatreëls wat werklik geneem is, die waarskuwings wat aan beide kante gegee word en die benadeelde party se eie gedrag alles saak maak. Benewens siviele aanspreeklikheid, kan die Nederlandse Databeskermingsowerheid administratiewe boetes van tot 20 miljoen euro of 4 persent van die wêreldwye jaarlikse omset oplê, wat ook al die hoogste is. Daardie boetes is onafhanklik van of individuele datasubjekte skade gely het.
Die strafregtelike roete
'n Kuberaanval kan ook 'n kriminele oortreding wees, soos rekenaarinbraak, die ontoeganklik maak van data of die toeëiening van nie-openbare data. Artikel 138ab(1) van die Nederlandse Strafwetboek maak dit 'n oortreding om opsetlik en onwettig toegang tot 'n outomatiese stelsel te verkry.
Slagoffers kan die oortreding by die polisie aanmeld, wat oor gespesialiseerde kubermisdaadspanne beskik. Waar 'n verdagte vervolg word, kan 'n slagoffer by die strafregtelike verrigtinge as 'n benadeelde party aansluit en daar vergoeding eis. Hierdie roete vermy afsonderlike siviele verrigtinge, maar die uitkoms hang af van opsporing, vervolging en bewyse, wat met internasionaal opererende oortreders dikwels geen resultaat oplewer nie. Vir organisasies is aanmelding dikwels ook 'n praktiese noodsaaklikheid, omdat versekeraars en voorsieningskettingvennote daarvoor vra.
Wat dek kuberversekering?
’n Kuberversekeringspolis kan onder andere dekking bied vir:
- voorvalreaksie en forensiese ondersoek;
- herstel van stelsels en data;
- verliese aan sakeonderbrekings en verlore omset;
- krisiskommunikasie;
- aanspreeklikheid teenoor derde partye;
- regskoste; en
- in sommige gevalle boetes, skikkingsbetalings of losprys, in die mate wat versekerbaar is kragtens die toepaslike wetgewing.
Die presiese dekking hang af van die polis. Gee aandag aan uitsluitings, sekuriteitsvoorwaardes, kennisgewingstydperke, aftrekbare bedrae en vereistes vir die aanstelling van kundiges. Artikel 7:957(1) van die Nederlandse Burgerlike Wetboek verplig 'n versekerde party ook om redelike maatreëls te tref om verlies te voorkom of te beperk. Waar daardie bergingsplig nie nagekom word nie, kan die versekeraar die uitbetaling verminder.
Die kuberversekeraar moet dus so gou as moontlik in kennis gestel word. Die aanstelling van eksterne kundiges of die betaling van 'n losprys sonder die versekeraar se toestemming kan dekking beïnvloed.
Wat moet jy onmiddellik na 'n kuberaanval doen?
- Teken die voorval en alle relevante aksies noukeurig aan.
- Isoleer geaffekteerde stelsels sonder om bewyse te verloor.
- Skakel 'n forensiese kenner in.
- Beoordeel of daar 'n aanmeldbare databreuk is.
- Beoordeel of die datasubjekte ingelig moet word.
- Rapporteer die oortreding by die polisie.
- Stel die voorval in kennis aan jou kuberversekeraar.
- Bewaar logboeke, rugsteun, e-posse en ander relevante data.
- Karteer die skade en die potensiële aanspreeklike partye.
- Stel kliënte, werknemers en voorsieningskettingvennote noukeurig en betyds in kennis.
'n Kuberaanval is dus nie bloot 'n tegniese voorval nie. Dit is ook 'n saak van databeskerming, siviele reg, strafreg en versekeringsreg. 'n Vinnige en goed gedokumenteerde reaksie beperk nie net die skade nie, maar is ook deurslaggewend vir die kennisgewings, die versekeringsdekking en u bewysposisie in enige verrigtinge.
Ter afsluiting
Die regte en verpligtinge na 'n kuberaanval is versprei oor verskeie regsgebiede, en die uitkoms van 'n saak hang sterk af van die spesifieke feite, die inhoud van die kontrak en die gehalte van die rekords. Die besproke regspraak toon dat verskaffer en kliënt ewe veel op hul eie gedrag beoordeel word, en dat sperdatums soos die twee-en-sewentig uur kennisgewingstydperk min ruimte vir vertraging laat.
Law & More help organisasies en datasubjekte met die wetlike hantering van kubervoorvalle: van die assessering van kennisgewingspligte en die hersiening van dataverwerkingsooreenkomste tot die vasstelling van aanspreeklikheid, versekeringskwessies en die verhaal van verliese. Het u te doen met 'n kuberaanval of 'n databreuk, of wil u hê dat u kontrakte vooraf deur ons teen hierdie risiko's hersien word. IT-reg span? Voel gerus vry om kontak Law & More vir 'n bespreking van u situasie sonder enige verpligting.
Algemene vrae
Hieronder beantwoord ons die vrae wat ons die meeste oor hierdie onderwerp gevra word.
Wie is die slagoffers van 'n kuberaanval?
Daar is drie lae. Eerstens, die betrokke organisasie self, wat stelselonderbrekings, verlore omset, herstelkoste, die koste van forensiese ondersoek en reputasieskade dra. Tweedens, die datasubjekte, die natuurlike persone wie se persoonlike data blootgestel is, soos kliënte, werknemers en pasiënte. Derdens, derde partye wat verlies ly deur 'n kontraktuele of voorsieningskettingverhouding, byvoorbeeld omdat hulle afhanklik is van 'n verskaffer wat ondergegaan het. Daardie klassifikasie bepaal op watter basis 'n party 'n eis kan instel, en teen wie.
Binne watter tydperk moet ek 'n datalek aanmeld?
Artikel 33 van die AVG vereis dat die toesighoudende owerheid sonder onnodige vertraging en, waar moontlik, binne twee-en-sewentig uur nadat hulle van die oortreding bewus geword het, in kennis gestel word. Die plig is nie van toepassing waar die oortreding waarskynlik nie 'n risiko vir die regte en vryhede van natuurlike persone sal inhou nie. Daardie assessering vereis 'n ontleding van die aard van die oortreding, die kategorieë data wat geraak word en die moontlike gevolge.
Wanneer moet ek die datasubjekte self in kennis stel?
Ingevolge Artikel 34 van die AVG, waar die oortreding waarskynlik 'n hoë risiko vir die regte en vryhede van die datasubjekte tot gevolg sal hê. Kommunikasie kan weggelaat word waar toepaslike tegniese maatreëls soos enkripsie in plek was, waar daaropvolgende maatreëls verseker dat die hoë risiko nie meer sal realiseer nie, of waar individuele kommunikasie onevenredige moeite sou verg. In laasgenoemde geval is 'n openbare kommunikasie voldoende.
Kan ek inligting afdwing van 'n verskaffer wat gehack is?
Ja, waar 'n dataverwerkingsooreenkoms daarvoor voorsiening maak. In die summiere verrigtinge tussen Blauw Research en Nebu (Distrikshof van Rotterdam, 6 April 2023, ECLI:NL:RBROT:2023:2931) het die tussentydse regter beslis dat die beheerder ingevolge die dataverwerkingsooreenkoms geregtig was op meer inligting oor die aanval, die gevolge daarvan en die maatreëls wat getref is as wat verskaf is, en het die verwerker gelas om 'n onafhanklike forensiese ondersoek te laat uitvoer en periodiek verslag te doen. Daardie inligting is nodig om u eie kennisgewingspligte na te kom.
Is ek as 'n datasubjek outomaties geregtig op vergoeding na 'n databreuk?
Nee. Artikel 82 van die AVG bied 'n alleenstaande basis, maar u moet staaf dat die AVG oortree is, dat u werklik skade gely het, en dat daar 'n oorsaaklike verband is tussen die oortreding en daardie skade. Die bewyslas rus op die eiser.
Kwalifiseer vrees vir identiteitsbedrog as nie-materiële skade?
Dit mag. In Natsionalna agentsia za prihodite (HvJEU 14 Desember 2023, C-340/21) het die Hof van Justisie beslis dat die vrees vir moontlike toekomstige misbruik van gelekte persoonlike data op sigself nie-materiële skade kan uitmaak. Die betrokke persoon moet egter daardie vrees en die gevolge daarvan konkreet staaf. Österreichische Post (HvJEU 4 Mei 2023, C-300/21) voeg by dat daar geen minimum drempel van erns is nie, maar dat 'n oortreding van die AVG alleen nie voldoende is nie.
Wie moet bewys dat die sekuriteitsmaatreëls gepas was?
Die beheerder. In C-340/21 het die Hof van Justisie bevestig dat dit die verantwoordeliker se verantwoordelikheid is om aan te toon dat die sekuriteitsmaatreëls wat getref is, gepas was, en dat 'n aanval deur 'n derde party hom nie op sigself van aanspreeklikheid vrystel nie. In Nederland het dit gebeur in die geval van 'n motorhandelaar se gekapte e-posrekening, waar die Appèlhof van Arnhem-Leeuwarden eers die handelaar die geleentheid gegee het om daardie bewys te lewer (ECLI:NL:GHARL:2024:6812) en toe beslis het dat dit nie gelewer is nie (ECLI:NL:GHARL:2025:4556).
Is my IT-verskaffer aanspreeklik as dit nie daarin slaag om 'n aanval op te spoor nie?
Dit hang af van wat ooreengekom is. In die saak rakende die kuberaanval op die munisipaliteit Hof van Twente (Distrikshof van Overijssel, 10 Mei 2023, ECLI:NL:RBOVE:2023:1731) het die partye ooreengekom oor funksionele monitering, nie sekuriteitsmonitering nie. Die hof het bevind dat die sorgplig van 'n IT-administrateur nie so ver strek dat sekuriteitsmonitering 'n stilswyende deel daarvan vorm nie, en het die eis van die hand gewys. Waar 'n breër totale pakket verskaf word, kan die sorgplig eerder verreikend wees, soos in O'Cliance (Distrikshof van Amsterdam, 14 November 2018, ECLI:NL:RBAMS:2018:10124), waar die verskaffer aanspreeklik gehou is vir twee derdes van die verlies.
Kan my eie gedrag die vergoeding verminder?
Ja. Bydraende skuld speel 'n herhalende rol in hierdie gevalle. In O'Cliance het een derde van die verlies vir die kliënt se rekening gebly, en in die geval van die gekraakte e-posrekening moes die partye die koper se bydraende skuld aanspreek. Jou eie wagwoordbeleid, poorte wat oopgelaat word of waarskuwings wat geïgnoreer word, kan dus direk die uitkoms beïnvloed.
Watter boetes kan die databeskermingsowerheid oplê?
Vir oortredings van die AVG kan die toesighoudende owerheid administratiewe boetes van tot 20 miljoen euro of 4 persent van die wêreldwye jaarlikse omset oplê, wat ook al die hoogste is. Hierdie boetes is onafhanklik van of individuele datasubjekte werklik skade gely het en verteenwoordig dus 'n aparte risiko naas siviele aanspreeklikheid.
Kan ek die oortreding aanmeld en my verlies deur die strafregtelike verrigtinge eis?
Ja. Artikel 138ab(1) van die Nederlandse Strafwetboek maak dit 'n oortreding om opsetlik en onwettig toegang tot 'n outomatiese stelsel te verkry. Jy kan die oortreding by die polisie aanmeld en, waar 'n verdagte vervolg word, as 'n benadeelde party by die strafregtelike verrigtinge aansluit om daar vergoeding te eis. Die uitkoms hang wel af van opsporing, vervolging en bewyse, wat met internasionaal opererende oortreders dikwels geen resultaat oplewer nie.
Wat dek kuberversekering gewoonlik?
Gewoonlik insidentrespons en forensiese ondersoek, herstel van stelsels en data, verliese weens sakeonderbrekings en verlore omset, krisiskommunikasie, aanspreeklikheid teenoor derde partye en regskoste, en in sommige gevalle boetes, skikkingsbetalings of losprys in die mate wat versekerbaar is onder die toepaslike wetgewing. Let op uitsluitings, sekuriteitsvoorwaardes, kennisgewingstydperke en aftrekbare bedrae, en hersien die polis voordat 'n insident plaasvind.
Kan ek dekking verloor deur verkeerd op te tree na 'n aanval?
Dit is moontlik. Artikel 7:957(1) van die Nederlandse Burgerlike Wetboek verplig 'n versekerde party om redelike maatreëls te tref om verlies te voorkom of te beperk; waar daardie bergingsplig nie nagekom word nie, kan die versekeraar die uitbetaling verminder. Die aanstelling van eksterne kundiges of die betaling van 'n losprys sonder die versekeraar se toestemming kan ook dekking beïnvloed. Stel u versekeraar so gou as moontlik in kennis.
Watter stappe moet ek onmiddellik na 'n kuberaanval neem?
Teken die voorval en alle stappe wat geneem is aan, isoleer die betrokke stelsels sonder om bewyse te verloor, en skakel 'n forensiese kenner in. Beoordeel dan of daar 'n aanmeldbare data-oortreding is en of die betrokke persone ingelig moet word. Rapporteer die oortreding, stel u kuberversekeraar in kennis, bewaar logboeke, rugsteun en korrespondensie, karteer die skade en die potensiële aanspreeklike partye, en stel kliënte, werknemers en voorsieningskettingvennote noukeurig en betyds in kennis.
