Rechten van slachtoffers van cyberaanvallen: meldplicht, schadevergoeding en verzekering

Door Tom Meevis, advocaat bij Law & More

Cyberaanvallen zoals ransomware, phishing, DDoS-aanvallen en computervredebreuk treffen zelden alleen de organisatie die wordt aangevallen. Ook slachtoffers van cyberaanvallen zoals klanten, werknemers, patiënten, leveranciers en andere ketenpartners kunnen schade lijden, en hun juridische positie verschilt per groep. Wie na een aanval wil weten welke verplichtingen gelden en welke aanspraken bestaan, doet er daarom goed aan eerst vast te stellen wie precies is geraakt en welke schade is ontstaan.

Deze bijdrage bespreekt achtereenvolgens wie als slachtoffer kan worden aangemerkt, wanneer een datalek moet worden gemeld, onder welke voorwaarden recht op schadevergoeding bestaat, welke partijen aansprakelijk kunnen zijn, welke rol het strafrecht speelt, wat een cyberverzekering doorgaans dekt en welke stappen direct na een aanval moeten worden gezet.

Wie zijn slachtoffers van cyberaanvallen?

Bij een cyberaanval kunnen drie groepen worden onderscheiden.

• De getroffen organisatie zelf, die te maken krijgt met systeemuitval, omzetverlies, herstelkosten, kosten van forensisch onderzoek en reputatieschade.
• Natuurlijke personen van wie persoonsgegevens zijn blootgesteld, zoals klanten, werknemers en patiënten. Zij kunnen financiële schade lijden, maar ook immateriële schade door verlies van controle over hun gegevens, onzekerheid of vrees voor identiteitsfraude.
• Derden die via een contractuele of ketenrelatie worden geraakt, bijvoorbeeld omdat zij afhankelijk zijn van een leverancier waarvan de systemen zijn uitgevallen.

Deze indeling is juridisch relevant. De grondslag van een eventuele vordering en de partij die kan worden aangesproken, hangen af van de positie van het slachtoffer. Een getroffen organisatie spreekt haar ICT-leverancier doorgaans aan op grond van de overeenkomst, terwijl een betrokkene zich rechtstreeks kan beroepen op de eigen aansprakelijkheidsgrondslag die de AVG biedt.

Wanneer moet een datalek worden gemeld?

Wanneer bij een cyberaanval persoonsgegevens betrokken zijn, moet worden beoordeeld of sprake is van een datalek en of melding verplicht is. Artikel 33 AVG bepaalt dat een inbreuk zonder onnodige vertraging en waar mogelijk binnen tweeënzeventig uur wordt gemeld aan de Autoriteit Persoonsgegevens, tenzij het onwaarschijnlijk is dat de inbreuk een risico oplevert voor de rechten en vrijheden van natuurlijke personen.

Daarnaast kan de organisatie op grond van artikel 34 AVG verplicht zijn de betrokkenen zelf te informeren. Dat is aan de orde wanneer de inbreuk waarschijnlijk een hoog risico voor hun rechten en vrijheden oplevert. Deze kennisgeving kan achterwege blijven wanneer passende technische maatregelen zoals versleuteling zijn getroffen, wanneer achteraf genomen maatregelen het hoge risico wegnemen, of wanneer individuele kennisgeving een onevenredige inspanning zou vergen; in dat laatste geval volstaat een openbare mededeling.

Voor de betrokkene is die kennisgeving meer dan een formaliteit. Zij stelt hem in staat zelf maatregelen te nemen, bijvoorbeeld door wachtwoorden te wijzigen of alert te zijn op verdachte transacties, en vormt in de praktijk vaak het startpunt van een eventuele schadeclaim.

Een organisatie moet daarom niet alleen vaststellen dát een aanval heeft plaatsgevonden, maar ook onderzoeken welke gegevens zijn geraakt, of gegevens daadwerkelijk zijn buitgemaakt en welke risico’s daaruit voortvloeien. Een onafhankelijk forensisch onderzoek is daarvoor vaak onmisbaar.

Dat geldt te meer wanneer de aanval plaatsvindt bij een verwerker in plaats van bij de organisatie zelf. In het kort geding tussen Blauw Research en Nebu (Rechtbank Rotterdam 6 april 2023, ECLI:NL:RBROT:2023:2931) oordeelde de voorzieningenrechter dat de opdrachtgever op grond van de tussen partijen gesloten verwerkersovereenkomst recht had op méér informatie over de aanval, de gevolgen en de getroffen maatregelen dan aanvankelijk was verstrekt. De verwerker werd bovendien bevolen een onafhankelijk forensisch onderzoek te laten uitvoeren en periodiek te rapporteren. De uitspraak laat zien dat een goed geformuleerde verwerkersovereenkomst in de praktijk het belangrijkste instrument is om na een incident tijdig aan informatie te komen, juist omdat de verwerkingsverantwoordelijke die informatie nodig heeft om zijn eigen meldplichten te kunnen nakomen.

Wanneer bestaat recht op schadevergoeding?

Betrokkenen kunnen op grond van artikel 82 AVG schadevergoeding vorderen van de verwerkingsverantwoordelijke of de verwerker. Een cyberaanval leidt echter niet automatisch tot een aanspraak. Onderbouwd moet worden:

• dat de AVG is geschonden;
• dat daadwerkelijk schade is geleden; en
• dat er causaal verband bestaat tussen die schending en die schade.

Materiële schade kan bestaan uit financiële verliezen, herstelkosten of schade door identiteitsfraude. Voor immateriële schade geldt dat het Hof van Justitie van de Europese Unie in de zaak Österreichische Post (HvJ EU 4 mei 2023, C-300/21) heeft geoordeeld dat geen minimumdrempel van ernst geldt, maar dat de enkele schending van de AVG op zichzelf onvoldoende is voor toewijzing van een vergoeding.

Specifiek voor datalekken na een cyberaanval is de zaak Natsionalna agentsia za prihodite van belang (HvJ EU 14 december 2023, C-340/21). Daarin oordeelde het Hof dat de vrees voor mogelijk toekomstig misbruik van gelekte persoonsgegevens op zichzelf immateriële schade kan opleveren. De betrokkene moet die vrees en de gevolgen daarvan wel concreet onderbouwen; een enkele verwijzing naar het feit dat gegevens zijn gelekt volstaat niet. In dezelfde uitspraak bevestigde het Hof dat het aan de verwerkingsverantwoordelijke is om te bewijzen dat de getroffen beveiligingsmaatregelen passend waren, en dat een aanval door een derde niet zonder meer tot vrijstelling van aansprakelijkheid leidt.

De AVG-aansprakelijkheid staat naast de civielrechtelijke grondslagen wanprestatie en onrechtmatige daad. Op grond van artikel 6:162 lid 1 BW moet degene die een toerekenbare onrechtmatige daad pleegt de daardoor veroorzaakte schade vergoeden. Daarbij geldt wel het relativiteitsvereiste van artikel 6:163 BW: de geschonden norm moet strekken tot bescherming tegen de schade zoals de benadeelde die heeft geleden.

Van belang is dat artikel 82 AVG naast deze grondslagen bestaat. Een betrokkene is dus niet gedwongen zijn vordering uitsluitend op wanprestatie of onrechtmatige daad te baseren, maar kan zich rechtstreeks beroepen op de eigen aansprakelijkheidsgrondslag van de AVG. Voor de getroffen organisatie betekent dit samenstel van grondslagen dat na een aanval al snel meerdere partijen tegelijk een vordering kunnen instellen.

Wie kan aansprakelijk zijn?

De getroffen organisatie kan aansprakelijk zijn wanneer zij haar contractuele verplichtingen niet nakomt of onvoldoende beveiligingsmaatregelen heeft getroffen. Ook een ICT-dienstverlener of verwerker kan worden aangesproken. Wat precies van die dienstverlener mocht worden verwacht, wordt in de eerste plaats bepaald door de overeenkomst.

Binnen een verwerkersrelatie speelt de verwerkersovereenkomst een centrale rol. Artikel 28 AVG schrijft voor dat verwerkingsverantwoordelijke en verwerker een dergelijke overeenkomst sluiten, waarin onder meer de beveiligingsmaatregelen en de afhandeling van datalekken worden geregeld. Is de aanval het gevolg van tekortschietende beveiliging bij de verwerker, dan kan de verwerkingsverantwoordelijke hem op grond van die overeenkomst aanspreken voor de daaruit voortvloeiende schade.

Dat blijkt scherp uit de zaak over de cyberaanval bij de gemeente Hof van Twente (Rechtbank Overijssel 10 mei 2023, ECLI:NL:RBOVE:2023:1731). Partijen waren functionele monitoring overeengekomen en geen security monitoring. De rechtbank oordeelde dat de zorgplicht van een ICT-beheerder niet zo ver gaat dat security monitoring stilzwijgend onderdeel uitmaakt van een opdracht tot functionele monitoring, en wees de vordering van de gemeente af. Ook woog mee dat de gemeente zelf beslissingen had genomen die het risico vergrootten, waaronder het wachtwoordbeleid en het openzetten van een RDP-poort.

Het spiegelbeeld daarvan is de zaak O’Cliance (Rechtbank Amsterdam 14 november 2018, ECLI:NL:RBAMS:2018:10124). Daar had de leverancier een volledige IT-infrastructuur aangelegd en het beheer op zich genomen. Na een ransomware-aanval, waarbij ook de back-ups werden versleuteld, oordeelde de rechtbank dat bij de levering van een dergelijk totaalpakket een vergaande zorgplicht bestond en dat eenvoudige maatregelen achterwege waren gebleven. De aansprakelijkheid werd echter niet volledig toegewezen: wegens eigen schuld van de afnemer bleef twee derde van de schade voor rekening van de leverancier.

Dat de bewijslast rond passende beveiliging zwaar kan wegen, illustreert de zaak over een gehackt e-mailaccount van een autobedrijf. In het tussenarrest van 5 november 2024 (Gerechtshof Arnhem-Leeuwarden, ECLI:NL:GHARL:2024:6812) kreeg het autobedrijf de gelegenheid te bewijzen dat zijn e-mailaccount passend was beveiligd in de zin van de AVG, nadat een hacker via dat account een valse betaalinstructie aan een koper had gestuurd. In het vervolgarrest van 22 juli 2025 (ECLI:NL:GHARL:2025:4556) kwam het hof tot het oordeel dat dit bewijs niet was geleverd, waarna partijen zich nog moesten uitlaten over de eigen schuld van de koper. Beide arresten betreffen dus dezelfde procedure.

De rode draad is dat de contractuele afspraken, de risico’s van de verwerking, de feitelijk getroffen maatregelen, de waarschuwingen die over en weer zijn gegeven en het eigen handelen van de benadeelde alle van belang zijn. Naast civielrechtelijke aansprakelijkheid kan de Autoriteit Persoonsgegevens bovendien bestuurlijke boetes opleggen tot twintig miljoen euro of vier procent van de wereldwijde jaaromzet, waarbij het hoogste bedrag geldt. Die boetes staan los van de vraag of individuele betrokkenen schade hebben geleden.

De strafrechtelijke route

Een cyberaanval kan ook een strafbaar feit opleveren, zoals computervredebreuk, het ontoegankelijk maken van gegevens of het overnemen van niet-openbare gegevens. Artikel 138ab lid 1 Sr stelt het opzettelijk en wederrechtelijk binnendringen in een geautomatiseerd werk strafbaar.

Slachtoffers kunnen aangifte doen bij de politie, die binnen de eenheden gespecialiseerde teams voor cybercrime kent. Wanneer een verdachte wordt vervolgd, kan een slachtoffer zich als benadeelde partij voegen in de strafzaak en daar schadevergoeding vorderen. Deze route bespaart een afzonderlijke civiele procedure, maar de uitkomst is afhankelijk van opsporing, vervolging en bewijsvoering, wat bij internationaal opererende daders lang niet altijd tot resultaat leidt. Voor organisaties is aangifte daarnaast vaak een praktische noodzaak, omdat verzekeraars en ketenpartners erom vragen.

Wat dekt een cyberverzekering?

Een cyberverzekering kan onder meer dekking bieden voor:

• incidentrespons en forensisch onderzoek;
• herstel van systemen en gegevens;
• bedrijfsschade en omzetderving;
• crisiscommunicatie;
• aansprakelijkheid jegens derden;
• juridische kosten; en
• in sommige gevallen boetes, afkoopsommen of losgeld, voor zover dit naar geldend recht verzekerbaar is.

De precieze dekking hangt af van de polis. Let daarom op uitsluitingen, beveiligingsvoorwaarden, meldtermijnen, eigen risico’s en voorschriften over het inschakelen van deskundigen. Artikel 7:957 lid 1 BW verplicht een verzekerde bovendien binnen redelijke grenzen maatregelen te nemen om schade te voorkomen of te beperken. Wordt die bereddingsplicht niet nagekomen, dan kan de verzekeraar de uitkering verminderen.

De cyberverzekeraar moet daarom zo snel mogelijk worden geïnformeerd. Zonder toestemming van de verzekeraar externe deskundigen inschakelen of losgeld betalen kan gevolgen hebben voor de dekking.

Wat moet u direct na een cyberaanval doen?

• Leg het incident en alle relevante handelingen zorgvuldig vast.
• Isoleer getroffen systemen zonder bewijsmateriaal verloren te laten gaan.
• Schakel een forensisch deskundige in.
• Beoordeel of sprake is van een meldingsplichtig datalek.
• Beoordeel of betrokkenen moeten worden geïnformeerd.
• Doe aangifte bij de politie.
• Meld het incident bij de cyberverzekeraar.
• Bewaar logbestanden, back-ups, e-mails en andere relevante gegevens.
• Inventariseer de schade en de mogelijk aansprakelijke partijen.
• Stel klanten, werknemers en ketenpartners zorgvuldig en tijdig op de hoogte.

Een cyberaanval is daarmee niet uitsluitend een technisch incident. Het is ook een privacyrechtelijk, civielrechtelijk, strafrechtelijk en verzekeringsrechtelijk vraagstuk. Een snelle, goed gedocumenteerde reactie beperkt niet alleen de schade, maar is ook bepalend voor de meldingen, de verzekeringsdekking en de bewijspositie in een eventuele procedure.

Tot slot

De rechten en verplichtingen na een cyberaanval liggen verspreid over verschillende rechtsgebieden en de uitkomst van een zaak hangt sterk af van de concrete feiten, de inhoud van de overeenkomst en de kwaliteit van de vastlegging. De besproken rechtspraak laat zien dat zowel de leverancier als de afnemer op hun eigen handelen worden afgerekend, en dat termijnen zoals de meldtermijn van tweeënzeventig uur weinig ruimte laten voor uitstel.

Law & More begeleidt organisaties en betrokkenen bij de juridische afwikkeling van cyberincidenten: van de beoordeling van de meldplichten en de beoordeling van verwerkersovereenkomsten tot aansprakelijkstelling, verzekeringskwesties en het verhalen van schade. Heeft u te maken met een cyberaanval of een datalek, of wilt u uw contracten vooraf op deze risico’s laten toetsen binnen ons IT-recht team? Neem dan gerust contact op met Law & More voor een vrijblijvend gesprek over uw situatie.

Veelgestelde vragen

Hieronder beantwoorden wij de vragen die ons over dit onderwerp het vaakst worden gesteld.

Wie zijn de slachtoffers van een cyberaanval?

Er zijn drie lagen. Ten eerste de getroffen organisatie zelf, die systeemuitval, omzetverlies, herstelkosten, kosten van forensisch onderzoek en reputatieschade draagt. Ten tweede de betrokkenen, de natuurlijke personen van wie persoonsgegevens zijn blootgesteld, zoals klanten, werknemers en patiënten. Ten derde derden die via een contractuele of ketenrelatie schade lijden, bijvoorbeeld doordat zij afhankelijk zijn van een uitgevallen leverancier. Die indeling bepaalt op welke grondslag iemand een vordering kan instellen en tegen wie.

Binnen welke termijn moet ik een datalek melden?

Artikel 33 AVG verplicht tot melding aan de Autoriteit Persoonsgegevens zonder onnodige vertraging en waar mogelijk binnen tweeënzeventig uur nadat u kennis van de inbreuk heeft genomen. De meldplicht geldt niet wanneer het onwaarschijnlijk is dat de inbreuk een risico oplevert voor de rechten en vrijheden van natuurlijke personen. Die beoordeling vergt een analyse van de aard van de inbreuk, de soort gegevens en de mogelijke gevolgen.

Wanneer moet ik de betrokkenen zelf informeren?

Op grond van artikel 34 AVG wanneer de inbreuk waarschijnlijk een hoog risico oplevert voor de rechten en vrijheden van de betrokkenen. Kennisgeving kan achterwege blijven wanneer passende technische maatregelen zoals versleuteling zijn getroffen, wanneer achteraf genomen maatregelen het hoge risico wegnemen, of wanneer individuele kennisgeving een onevenredige inspanning zou vergen. In dat laatste geval volstaat een openbare mededeling.

Kan ik als klant informatie afdwingen bij een leverancier die is gehackt?

Ja, wanneer een verwerkersovereenkomst daarin voorziet. In het kort geding tussen Blauw Research en Nebu (Rechtbank Rotterdam 6 april 2023, ECLI:NL:RBROT:2023:2931) oordeelde de voorzieningenrechter dat de verwerkingsverantwoordelijke op grond van de verwerkersovereenkomst recht had op meer informatie over de aanval, de gevolgen en de getroffen maatregelen dan was verstrekt, en werd de verwerker bevolen een onafhankelijk forensisch onderzoek te laten uitvoeren en periodiek te rapporteren. Die informatie is nodig om de eigen meldplichten te kunnen nakomen.

Heb ik als betrokkene automatisch recht op schadevergoeding na een datalek?

Nee. Artikel 82 AVG geeft een zelfstandige grondslag, maar u moet onderbouwen dat de AVG is geschonden, dat u daadwerkelijk schade heeft geleden en dat er causaal verband bestaat tussen die schending en die schade. De bewijslast daarvan rust op de eisende partij.

Komt vrees voor identiteitsfraude in aanmerking als immateriële schade?

Die kan daarvoor in aanmerking komen. In de zaak Natsionalna agentsia za prihodite (HvJ EU 14 december 2023, C-340/21) oordeelde het Hof van Justitie dat de vrees voor mogelijk toekomstig misbruik van gelekte persoonsgegevens op zichzelf immateriële schade kan opleveren. De betrokkene moet die vrees en de gevolgen daarvan wel concreet onderbouwen. Uit de zaak Österreichische Post (HvJ EU 4 mei 2023, C-300/21) volgt daarnaast dat geen minimumdrempel van ernst geldt, maar dat de enkele schending van de AVG onvoldoende is.

Wie moet bewijzen dat de beveiliging passend was?

De verwerkingsverantwoordelijke. Het Hof van Justitie bevestigde in C-340/21 dat het aan de verwerkingsverantwoordelijke is om aan te tonen dat de getroffen beveiligingsmaatregelen passend waren, en dat een aanval door een derde niet zonder meer tot vrijstelling van aansprakelijkheid leidt. In Nederland werkte dit bijvoorbeeld door in de zaak over een gehackt e-mailaccount van een autobedrijf, waarin het gerechtshof Arnhem-Leeuwarden het bedrijf eerst de gelegenheid gaf dat bewijs te leveren (ECLI:NL:GHARL:2024:6812) en vervolgens oordeelde dat het bewijs niet was geleverd (ECLI:NL:GHARL:2025:4556).

Is mijn ICT-leverancier aansprakelijk als hij een aanval niet heeft opgemerkt?

Dat hangt af van wat is overeengekomen. In de zaak over de cyberaanval bij de gemeente Hof van Twente (Rechtbank Overijssel 10 mei 2023, ECLI:NL:RBOVE:2023:1731) waren partijen functionele monitoring overeengekomen en geen security monitoring. De rechtbank oordeelde dat de zorgplicht van een ICT-beheerder niet zo ver gaat dat security monitoring daarvan stilzwijgend deel uitmaakt, en wees de vordering af. Bij een breder totaalpakket kan de zorgplicht juist vergaand zijn, zoals in de zaak O’Cliance (Rechtbank Amsterdam 14 november 2018, ECLI:NL:RBAMS:2018:10124), waarin de leverancier voor twee derde aansprakelijk werd gehouden.

Kan mijn eigen handelen de schadevergoeding verminderen?

Ja. Eigen schuld speelt in deze zaken een terugkerende rol. In de zaak O’Cliance bleef een derde van de schade voor rekening van de afnemer, en in de zaak over het gehackte e-mailaccount moesten partijen zich uitlaten over de eigen schuld van de koper. Een eigen wachtwoordbeleid, opengezette poorten of het negeren van waarschuwingen kunnen dus rechtstreeks doorwerken in de uitkomst.

Welke boetes kan de Autoriteit Persoonsgegevens opleggen?

Bij overtreding van de AVG kan de toezichthouder bestuurlijke boetes opleggen tot twintig miljoen euro of vier procent van de wereldwijde jaaromzet, waarbij het hoogste van beide bedragen geldt. Deze boetes staan los van de vraag of individuele betrokkenen daadwerkelijk schade hebben geleden en vormen daarmee een afzonderlijk risico naast de civielrechtelijke aansprakelijkheid.

Kan ik aangifte doen en mijn schade via het strafproces vorderen?

Ja. Artikel 138ab lid 1 Sr stelt het opzettelijk en wederrechtelijk binnendringen in een geautomatiseerd werk strafbaar. U kunt aangifte doen bij de politie en, wanneer een verdachte wordt vervolgd, u als benadeelde partij voegen in de strafzaak om daar schadevergoeding te vorderen. De uitkomst hangt wel af van opsporing, vervolging en bewijsvoering, wat bij internationaal opererende daders lang niet altijd resultaat oplevert.

Wat dekt een cyberverzekering doorgaans?

Meestal incidentrespons en forensisch onderzoek, herstel van systemen en gegevens, bedrijfsschade en omzetderving, crisiscommunicatie, aansprakelijkheid jegens derden en juridische kosten, en in sommige gevallen boetes, afkoopsommen of losgeld voor zover naar geldend recht verzekerbaar. Let op uitsluitingen, beveiligingsvoorwaarden, meldtermijnen en eigen risico’s, en beoordeel de polis vóórdat zich een incident voordoet.

Kan ik dekking verliezen door verkeerd te handelen na een aanval?

Dat is mogelijk. Artikel 7:957 lid 1 BW verplicht een verzekerde binnen redelijke grenzen maatregelen te nemen om schade te voorkomen of te beperken; bij niet-nakoming van die bereddingsplicht kan de verzekeraar de uitkering verminderen. Ook het zonder toestemming van de verzekeraar inschakelen van externe deskundigen of het betalen van losgeld kan gevolgen hebben voor de dekking. Informeer de verzekeraar daarom zo snel mogelijk.

Welke stappen zet ik direct na een cyberaanval?

Leg het incident en alle handelingen vast, isoleer de getroffen systemen zonder bewijs te verliezen en schakel een forensisch deskundige in. Beoordeel vervolgens of sprake is van een meldingsplichtig datalek en of de betrokkenen moeten worden geïnformeerd. Doe aangifte, meld het incident bij de cyberverzekeraar, bewaar logbestanden, back-ups en correspondentie, inventariseer de schade en de mogelijk aansprakelijke partijen, en informeer klanten, werknemers en ketenpartners zorgvuldig en tijdig.