Ransomware: wat moet u als ondernemer doen en wanneer bent u aansprakelijk?

Gepubliceerd op 26 oktober 2025 · Laatst bijgewerkt op 14 oktober 2026

Bij een ransomware-aanval bent u als ondernemer slachtoffer van een strafbaar feit, niet de dader: zwakke beveiliging maakt u niet strafrechtelijk aansprakelijk. Wel gelden meldplichten (de AVG bij persoonsgegevens en sinds 15 augustus 2026 de Cyberbeveiligingswet voor veel organisaties), en kunnen klanten u civielrechtelijk aansprakelijk stellen als u onvoldoende beveiligde.

Hieronder leest u welke strafbare feiten de aanvaller pleegt, welke meldingen u moet doen en binnen welke termijn, hoe het zit met losgeld, en wanneer u of uw IT-leverancier voor de schade aansprakelijk is.

Welke strafbare feiten pleegt een ransomware-aanvaller?

Een ransomware-aanval valt onder meerdere artikelen van het Wetboek van Strafrecht. De aanvaller is strafbaar, niet het getroffen bedrijf.

• Computervredebreuk: opzettelijk en wederrechtelijk binnendringen in een geautomatiseerd werk (artikel 138ab Sr).
• Gegevensaantasting: het versleutelen, wijzigen of onbruikbaar maken van gegevens (artikel 350a Sr).
• Afpersing: het eisen van losgeld onder bedreiging (artikel 317 Sr).
• Stoornis in de werking van een geautomatiseerd werk (artikel 161sexies Sr).

Meer over strafbaar online gedrag leest u in ons artikel over cybercrime in Nederland en over hacken en computervredebreuk.

Wat doet u direct na een aanval?

Koppel getroffen systemen los van het netwerk, leg alles vast en stel vast of er persoonsgegevens zijn geraakt. Van dat laatste hangt af of de termijn van 72 uur voor een melding bij de Autoriteit Persoonsgegevens loopt.

1. Isoleer besmette systemen, maar zet ze niet zomaar uit: forensisch onderzoek heeft sporen nodig.
2. Leg vast wanneer u de aanval ontdekte, welke systemen zijn getroffen en wat er in de losgeldbrief staat.
3. Schakel een incident-responsspecialist in en informeer uw cyberverzekeraar binnen de termijn van de polis.
4. Beoordeel binnen 24 uur of u onder de Cyberbeveiligingswet valt en of er persoonsgegevens zijn gelekt.
5. Doe aangifte bij de politie en controleer of u back-ups hebt die niet zijn aangetast.

Welke meldplichten gelden?

Er zijn twee aparte meldplichten: de AVG bij een datalek met persoonsgegevens, en de Cyberbeveiligingswet voor essentiële en belangrijke entiteiten. Vaak gelden ze allebei.

Melding bij de Autoriteit Persoonsgegevens

Ransomware waarbij persoonsgegevens worden versleuteld of buitgemaakt, is een inbreuk in verband met persoonsgegevens. U meldt die volgens artikel 33 AVG zonder onredelijke vertraging en zo mogelijk binnen 72 uur bij de Autoriteit Persoonsgegevens, tenzij het lek waarschijnlijk geen risico voor de betrokkenen oplevert. Bij een hoog risico informeert u ook de betrokkenen zelf (artikel 34 AVG).

Leg elk datalek, ook een niet-gemeld lek, vast in een intern register. De AP kan bij overtreding van de AVG boetes opleggen tot € 20 miljoen of 4% van de wereldwijde jaaromzet.

Melding onder de Cyberbeveiligingswet

De Cyberbeveiligingswet, de Nederlandse uitvoering van de Europese NIS2-richtlijn, geldt sinds 15 augustus 2026 en vervangt de Wet beveiliging netwerk- en informatiesystemen. Valt uw organisatie eronder, dan meldt u een significant incident in drie stappen.

• Een vroegtijdige waarschuwing direct en uiterlijk binnen 24 uur na ontdekking.
• Een incidentmelding met een eerste beoordeling uiterlijk binnen 72 uur.
• Een eindverslag binnen een maand na de eerste melding.

U meldt via het centrale meldpunt van het Nationaal Cyber Security Centrum (NCSC); de melding gaat door naar de sectorale CSIRT en de toezichthouder. Voor organisaties die ook onder DORA of de Netcode elektriciteit vallen, gelden kortere termijnen.

Mag u losgeld betalen?

Het betalen van losgeld is in Nederland niet als zodanig strafbaar. Het wordt wel verboden als de ontvanger op een sanctielijst staat: dan overtreedt u de Sanctiewet 1977 en de Europese sanctieverordeningen.

Politie en NCSC raden betalen af. Er is geen garantie dat u een werkende sleutel krijgt of dat buitgemaakte gegevens worden verwijderd, en betaling maakt u een aantrekkelijk doelwit voor een volgende aanval. Overweegt u toch te betalen, laat dan eerst onderzoeken wie de aanvaller is, overleg met uw verzekeraar en leg de afweging vast in een bestuursbesluit.

Een betaling ontslaat u niet van de meldplichten. Ook als de gegevens worden “teruggegeven”, is er een inbreuk geweest die u moet beoordelen en zo nodig melden.

Wanneer bent u civielrechtelijk aansprakelijk?

Als klanten of zakenpartners schade lijden doordat uw beveiliging tekortschoot, kunnen zij u aansprakelijk stellen. Dat kan op grond van wanprestatie (artikel 6:74 BW) als u contractuele beveiligingsafspraken niet nakwam, of op grond van onrechtmatige daad (artikel 6:162 BW).

Bij persoonsgegevens geldt daarnaast artikel 82 AVG: wie materiële of immateriële schade lijdt door een AVG-overtreding, heeft recht op vergoeding. Artikel 32 AVG verplicht u passende technische en organisatorische maatregelen te nemen; schoot u daarin tekort, dan is aansprakelijkheid snel aan de orde. Meer leest u in ons artikel over aansprakelijkheid bij datalekken.

Een exoneratieclausule in uw contracten kan de aansprakelijkheid beperken, maar niet bij opzet of bewuste roekeloosheid van de leiding. Zie ons artikel over beperking van aansprakelijkheid in B2B-contracten.

Wanneer is uw IT-leverancier aansprakelijk?

Een IT-leverancier die een netwerk beheert of inricht, moet handelen als een goed opdrachtnemer (artikel 7:401 BW). Daaronder valt een waarschuwingsplicht: wijst de klant een noodzakelijke beveiligingsmaatregel af, dan moet de leverancier duidelijk en schriftelijk op de risico’s wijzen.

Rechters hebben IT-leveranciers aansprakelijk gehouden voor ransomwareschade als zij geen gescheiden back-ups, netwerksegmentatie of tweestapsverificatie inrichtten en daar niet voor waarschuwden. Eigen schuld van de klant, bijvoorbeeld zwakke wachtwoorden, kan de vergoeding verminderen (artikel 6:101 BW). Wat de leverancier precies moest doen, hangt sterk af van de opdracht en de SLA.

Wat moet het bestuur zelf doen?

Onder de Cyberbeveiligingswet moet het bestuur van een essentiële of belangrijke entiteit de beveiligingsmaatregelen goedkeuren en toezicht houden op de uitvoering. Leeft de organisatie de wet niet na, dan kan de toezichthouder handhaven, ook met een bestuurlijke boete.

Een bestuurder van een bv kan ook civielrechtelijk persoonlijk aansprakelijk zijn bij een ernstig verwijt (artikel 2:9 BW), bijvoorbeeld als hij bekende beveiligingsrisico’s bewust liet liggen. Dat is een hoge drempel. Voor strafbare feiten binnen de onderneming leest u meer in ons artikel over bestuurdersaansprakelijkheid bij strafbare feiten.

Hoe beperkt u het risico vooraf?

Goede voorbereiding beperkt zowel de schade als de juridische gevolgen. Zorg dat u kunt aantonen welke maatregelen u nam; dat is uw belangrijkste verweer bij een aansprakelijkheidsclaim of een AP-onderzoek.

• Offline of onveranderbare back-ups die u periodiek test op terugzetten.
• Tweestapsverificatie op e-mail, VPN en beheeraccounts.
• Snel installeren van beveiligingsupdates en beperkte toegangsrechten.
• Een incidentresponsplan met contactgegevens van specialisten, verzekeraar en advocaat, dat u oefent.
• Training van medewerkers in het herkennen van phishing en internetfraude.

Waar let u op als getroffen ondernemer?

• Noteer het tijdstip van ontdekking: daar lopen de termijnen van 24 en 72 uur vanaf.
• Controleer of de aanvaller op een sanctielijst staat voordat u een betaling overweegt.
• Bewaar logbestanden en communicatie met de aanvaller voor aangifte en verzekeraar.
• Stel uw IT-leverancier schriftelijk aansprakelijk als u vermoedt dat die tekortschoot.

Waar let u op als IT-leverancier?

• Leg in de opdracht of SLA vast welke beveiliging wel en niet onder uw taak valt.
• Waarschuw schriftelijk als de klant een noodzakelijke maatregel weigert.
• Controleer of uw aansprakelijkheidsbeperking en verzekering ransomwareschade dekken.
• Ga na of u als beheerde dienstverlener zelf onder de Cyberbeveiligingswet valt.

Wat kunnen wij voor u doen bij ransomware en cybercrime?

• Binnen de eerste uren beoordelen welke meldplichten gelden en de meldingen mee opstellen.
• De sanctierechtelijke kant van een losgeldbetaling beoordelen.
• Uw IT-leverancier aansprakelijk stellen of een claim van klanten beoordelen en verweren.
• Beveiligingsafspraken, SLA’s en aansprakelijkheidsbeperkingen opstellen of beoordelen.
• Het bestuur adviseren over de plichten onder de Cyberbeveiligingswet, via onze ondernemingsrecht advocaat.

Samengevat

• De aanvaller pleegt onder meer computervredebreuk (138ab Sr), gegevensaantasting (350a Sr) en afpersing (317 Sr); u bent slachtoffer.
• Bij persoonsgegevens meldt u binnen 72 uur bij de Autoriteit Persoonsgegevens (artikel 33 AVG).
• Onder de Cyberbeveiligingswet (sinds 15 augustus 2026) geldt een melding binnen 24 uur, 72 uur en een eindverslag binnen een maand.
• Losgeld betalen is niet als zodanig strafbaar, maar wel bij een ontvanger op een sanctielijst.
• Civiele aansprakelijkheid kan ontstaan bij onvoldoende beveiliging, voor u en voor uw IT-leverancier.

Veelgestelde vragen

Ben ik strafbaar als mijn beveiliging slecht was?

Nee. Zwakke beveiliging is geen strafbaar feit. Wel kan de Autoriteit Persoonsgegevens of de toezichthouder onder de Cyberbeveiligingswet een bestuurlijke boete opleggen, en kunnen benadeelden schadevergoeding vorderen.

Waar doe ik aangifte van ransomware?

Bij de politie, bij voorkeur op afspraak, zodat u logbestanden en de losgeldbrief kunt overhandigen. Lees ook onze gids over aangifte doen bij de politie.

Vergoedt mijn verzekering het losgeld?

Dat hangt af van uw polis. Veel cyberverzekeringen vergoeden herstel- en onderzoekskosten en bedrijfsschade; de dekking voor losgeld verschilt. Meld het incident binnen de termijn van de polis.

Valt mijn bedrijf onder de Cyberbeveiligingswet?

Dat hangt af van de sector en de omvang. De wet richt zich op middelgrote en grote organisaties in sectoren als energie, transport, zorg, digitale infrastructuur, maakindustrie en voedsel; sommige organisaties vallen er ongeacht hun omvang onder.

Lees ook: cybercrime, phishing en ransomware.