Cybercrime & ransomware-zaken: rol van de ondernemer en strafrechtelijke aansprakelijkheid

Gepubliceerd op 26 oktober 2025 · Laatst bijgewerkt op 13 september 2026

Cybercrime raakt steeds meer Nederlandse bedrijven. Vooral ransomware-aanvallen springen eruit als een verontrustende ontwikkeling.

Ongeveer 12% van het MKB in Nederland kreeg ooit met ransomware te maken. Zo’n aanval kan uw hele bedrijf platleggen en dwingt ondernemers tot lastige keuzes over losgeld betalen.

Ondernemers moeten hun bedrijf beschermen tegen cybercrime, maar ze kunnen ook strafrechtelijk aansprakelijk zijn als ze te weinig beveiligingsmaatregelen nemen. Die dubbele druk vraagt om kennis van preventie én van rechten en plichten.

Nieuwe wetgeving als NIS2 legt de lat voor cybersecurity alleen maar hoger.

We duiken in de wereld van cybercrime vanuit het perspectief van de ondernemer. Hoe herkent u bedreigingen, voorkomt u juridische valkuilen, en wat doet u als u ineens moet onderhandelen met criminelen?

Definitie van cybercrime en ransomware

Cybercrime draait om misdrijven waarbij ICT-systemen het middel of het doelwit zijn. Ransomware is momenteel de meest winstgevende vorm: criminelen versleutelen bestanden en eisen losgeld.

Verschillende vormen van cybercrime

Cybercrime richt zich op informatie- en communicatietechnologie. Bij deze delicten gebruikt de dader een ICT-systeem, of valt hij het juist aan.

Gedigitaliseerde criminaliteit werkt net wat anders. Hier gebruiken criminelen digitale middelen om klassieke misdrijven te plegen.

Stel, iemand hackt een social media account (cybercrime) en gebruikt dat om te stalken (gedigitaliseerde criminaliteit). Die grens is soms vaag.

Begrippen als cybercriminaliteit, online criminaliteit (CBS), en digitale criminaliteit (politie) worden door elkaar gebruikt. Iedereen bedoelt ongeveer hetzelfde, maar de terminologie verschilt per organisatie.

Kenmerken van ransomware-aanvallen

Ransomware, ook wel gijzelsoftware, versleutelt bestanden en systemen van organisaties. U kunt ineens nergens meer bij.

Criminelen eisen losgeld, vaak in cryptovaluta. De bedragen zijn soms bizar hoog—miljoenen zijn geen uitzondering.

Gevolgen voor slachtoffers:

• Geen toegang meer tot digitale bestanden
• Stilvallende bedrijfsprocessen
• Financiële schade door uitval
• Reputatieschade

TrickBot is een bekend voorbeeld. Sinds 2016 sluipt deze malware binnen bij bedrijven en particulieren en steelt vertrouwelijke gegevens.

Aanvallen treffen zowel grote als kleine bedrijven. En ja, ook particulieren zijn niet veilig.

Trends en statistieken binnen Nederland

Ransomware is wereldwijd de meest voorkomende cybercrime. De aanvallen stoppen nooit.

Nederland ziet het aantal incidenten flink stijgen. De politie en het CBS zien een toename in digitale criminaliteit.

In Nederland ziet u:

• Meer aanvallen op gemeenten
• Meer meldingen bij cybersecurity-organisaties
• Hogere losgeldbedragen

Criminelen mikken steeds vaker op kritieke infrastructuur. Ziekenhuizen en overheden zijn gewilde doelwitten, want die kunnen zich geen stilstand veroorloven.

Ransomware-groepen worden professioneler. Ze gebruiken geavanceerde technieken en bieden soms zelfs ‘klantenservice’ aan slachtoffers.

Rol van de ondernemer bij ransomware-zaken

Ondernemers staan voor een flinke klus als hun bedrijf wordt getroffen door ransomware. Ze moeten snel handelen, crisismaatregelen coördineren en lastige keuzes maken.

Identificatie en reactie op een aanval

Herkenning van ransomware begint met letten op signalen: bestanden die ineens niet meer open gaan, vreemde extensies, of een losgeldbrief op uw scherm.

Ziet u iets verdachts? Dan moet u direct alle systemen offline halen om verdere verspreiding te voorkomen. Daarna isoleert u de besmette computers van het netwerk.

Documentatie is vanaf het eerste moment belangrijk. Noteer het tijdstip, welke systemen zijn getroffen en wat er in de losgeldbrief staat. Die informatie hebt u nodig voor de politie en specialisten.

Medewerkers waarschuwen doet u zo snel mogelijk. Iedereen moet weten dat ze geen verdachte bestanden mogen openen en afwijkend gedrag moeten melden.

Verantwoordelijkheden in crisismanagement

De ondernemer draagt de eindverantwoordelijkheid tijdens een ransomware-crisis. U bepaalt wat prioriteit krijgt, wie wat doet en hoe u communiceert met de buitenwereld.

Communicatie naar klanten en leveranciers vraagt om een gebalanceerde aanpak. U wilt transparant zijn, maar niemand onnodig laten schrikken.

Het activeren van back-ups is uw taak. Check welke back-ups bruikbaar zijn en bepaal of u daarmee alles kunt herstellen.

Juridische meldplicht geldt bij datalekken door ransomware. Binnen 72 uur moet u de Autoriteit Persoonsgegevens informeren.

Betrekken van specialisten en onderhandelingsstrategieën

Cybersecurity-experts inschakelen is vaak nodig. Kijk eerst wat u intern kunt oplossen en waar u echt externe hulp moet zoeken.

Onderhandelen met criminelen? Dat gebeurt eigenlijk zelden. Minder dan één op de tien slachtoffers betaalt losgeld, blijkt uit onderzoek.

Toch moet u die keuze zorgvuldig maken, want het is een ethisch en praktisch dilemma.

Politie en justitie worden opvallend weinig ingeschakeld. Veel ondernemers zeggen dat ze de politie zouden bellen, maar uiteindelijk doet slechts een derde dat echt. De rest zoekt liever hulp bij cybersecurity-bedrijven.

U moet verschillende scenario’s in uw achterhoofd houden:

• Volledig herstel zonder losgeld
• Gedeeltelijk herstel via back-ups
• Herbouw van systemen
• Een combinatie van opties

Contractuele verplichtingen naar klanten en partners mag u niet vergeten. Check welke gevolgen de aanval heeft voor lopende afspraken en SLA’s.

Strafrechtelijke aansprakelijkheid van ondernemers

Ondernemers kunnen strafrechtelijk én civielrechtelijk aansprakelijk zijn bij cybercrime-incidenten. De Nederlandse wet stelt eisen aan ondernemers om hun cybersecurity op orde te hebben.

Wettelijke kaders en relevante wetgeving

Het Wetboek van Strafrecht vormt de basis voor aansprakelijkheid bij cybercrime. Artikel 162 maakt computervredebreuk strafbaar, ook als u nalatig bent met beveiliging.

De NIS-2-richtlijn verplicht organisaties tot betere cybervoorbereiding. Bestuurders zijn persoonlijk verantwoordelijk voor het naleven van beveiligingseisen.

Relevante strafbepalingen:

• Artikel 138a Sr: onrechtmatig binnendringen van computersystemen
• Artikel 350a Sr: witwassen via digitale middelen
• Artikel 161sexies Sr: computersabotage

De Richtlijn voor strafvordering cybercrime (2018R001) geeft richtlijnen voor strafeisen. Hierin komen ransomware, DDoS-aanvallen en malware aan bod.

Als ondernemer kunt u zich schuldig maken aan culpose delicten door grove nalatigheid in beveiliging. Dat gebeurt als u bewust risico’s negeert.

Civiele versus strafrechtelijke aansprakelijkheid

Strafrechtelijke aansprakelijkheid draait om het bestraffen van de ondernemer. Het Openbaar Ministerie pakt zulke zaken op.

Sancties lopen uiteen van geldboetes tot zelfs gevangenisstraf. Dat klinkt heftig, en dat is het ook.

Civiele aansprakelijkheid betekent dat ondernemers schade moeten vergoeden aan benadeelden. Slachtoffers kunnen ondernemers aansprakelijk stellen als ze schade lijden door onvoldoende beveiliging.

Belangrijke verschillen:

Bij contractuele aansprakelijkheid kunnen ondernemers opdraaien voor schade bij klanten. Vooral IT-leveranciers die beveiligingsdiensten leveren lopen dit risico.

Onrechtmatige daad speelt hier een grote rol. Als u als ondernemer slecht beveiligt, kunt u onrechtmatig handelen tegenover anderen.

Cases van aansprakelijkheid in de praktijk

De Rechtbank Noord-Nederland hield in 2019 een IT-reseller aansprakelijk voor ransomware-schade. Het bedrijf had verzuimd te waarschuwen voor beveiligingsrisico’s.

Kernpunten van de uitspraak:

• Geen duidelijke waarschuwingen over risico’s
• Slechte netwerkbeveiliging zonder segmentatie

Het bedrijf gebruikte zelfs identieke wachtwoorden voor verschillende accounts. Oei, dat is vragen om problemen.

De rechtbank vond dat netwerksegmentatie en gescheiden back-ups de schade waarschijnlijk hadden voorkomen.

IT-leveranciers krijgen steeds vaker claims. Zij moeten klanten goed beveiligen en waarschuwen voor risico’s.

Een andere zaak liet zien dat contractuele afspraken zwaar wegen. Leveranciers die beveiliging moeten beoordelen maar dat nalaten, zijn aansprakelijk als het misgaat.

Praktische lessen:

• Leg alle beveiligingsadviezen schriftelijk vast
• Waarschuw duidelijk voor concrete risico’s

Zorg voor voldoende beveiligingslagen. Maak ook heldere contractuele afspraken over wie waarvoor verantwoordelijk is.

Strategieën en valkuilen bij het omgaan met ransomware

Een goede voorbereiding en duidelijke communicatie zijn echt de basis als u met ransomware te maken krijgt. Documenteer alles en neem geen overhaaste beslissingen—da’s belangrijk om de schade te beperken.

Voorbereiding en risicoanalyse

Zorg dat u vooraf een noodplan klaar hebt liggen voor ransomware-aanvallen. Zo’n plan hoort concrete stappen te bevatten voor beoordeling van de situatie en het activeren van een crisisteam.

Begin met het identificeren van versleutelde gegevens en kijk hoe groot de aanval is. Schakel meteen cyberbeveiligingsdeskundigen in om de technische kant te beoordelen.

Essentiële voorbereidingsmaatregelen:

• Maak een gedetailleerd incident response plan
• Stel een crisisteam samen met duidelijke rollen

Bepaal vooraf welke communicatiekanalen u gebruikt in noodgevallen. Test back-upsystemen regelmatig—dat voorkomt gedoe achteraf.

Beoordeel altijd hoe geloofwaardig de bedreiging is. Niet alle ransomware-groepen geven data terug na betaling, hoe graag u dat ook zou willen geloven.

Haal juridische experts er zo vroeg mogelijk bij. Losgeld betalen is soms illegaal of heeft andere juridische gevolgen.

Documentatie en communicatie met cybercriminelen

Leg alle communicatie met aanvallers zorgvuldig vast, liefst via beveiligde kanalen. Deze documentatie kan later belangrijk zijn voor juridische procedures.

Blijf objectief tijdens onderhandelingen. Geef geen informatie weg die uw onderhandelingspositie verzwakt.

Communicatieregels:

• Gebruik alleen geautoriseerde communicatiekanalen
• Noteer tijdstip, inhoud en context van elk contact

Betrek gespecialiseerde onderhandelaars bij lastige zaken. Laat emoties buiten uw berichten—hoe lastig dat soms ook is.

Onderzoek laat zien dat empathie en waardigheid vaak tot betere resultaten leiden. Soms levert die benadering zelfs een lager geëist bedrag op.

Cyberbeveiligingsdeskundigen of crisisonderhandelaars kunnen u bijstaan. Zij kennen de psychologische en tactische kneepjes van onderhandelen met cybercriminelen.

Veelvoorkomende fouten tijdens onderhandelingen

De grootste fout? Te snel akkoord gaan met losgeld zonder alternatieven te onderzoeken. Veel organisaties proberen niet eens eerst hun back-ups.

Wie zich niet voorbereidt, maakt onder druk slechte keuzes. Organisaties zonder duidelijk beleid maken tijdens een ransomware-incident vaak dure fouten.

Typische valkuilen:

• Te snel betalen zonder te onderhandelen
• Gevoelige bedrijfsinformatie weggeven

Handel niet zonder juridisch advies. Vergeet niet te checken of u back-ups hebt.

Vaak ontdekken organisaties pas na een aanval dat hun beveiliging niet op orde is. Basisprotocollen ontbreken of zijn hopeloos verouderd.

Betrek altijd alle belanghebbenden. IT, juridische zaken, management en PR moeten allemaal weten wat er speelt.

Alternatieven voor losgeldbetaling

Controleer altijd of u back-ups hebt waarmee u gegevens kunt herstellen. Zo voorkomt u financiële schade en ontmoedigt u nieuwe aanvallen.

Soms kunnen beveiligingsbedrijven de versleuteling kraken zonder hulp van aanvallers. Voor bepaalde ransomware-varianten zijn er gratis decoderingstools.

Herstelopties:

• Gebruik recente, geïsoleerde back-ups
• Schakel gespecialiseerde recovery services in

Probeer beschikbare decryptietools. Soms kunt u kritieke systemen gedeeltelijk herstellen.

Sommige verzekeringen dekken de kosten van ransomware, inclusief herstel en bedrijfsschade. Dat is vaak aantrekkelijker dan losgeld betalen.

Weeg goed af of u echt wilt betalen. Denk aan ethische en juridische gevolgen—dat mag u niet onderschatten.

Welke oplossing u ook kiest, verbeter altijd uw beveiligingsprotocollen. Zo voorkomt u dat u wéér slachtoffer wordt.

Juridische en ethische overwegingen voor ondernemers

Ondernemers staan voor lastige keuzes als ze slachtoffer worden van cybercrime. De gevolgen zijn juridisch ingrijpend en ethisch soms behoorlijk ingewikkeld.

Implicaties van losgeld betalingen

Losgeld betalen na een ransomware-aanval brengt flinke juridische risico’s mee. U kunt onbedoeld strafbare feiten plegen.

Strafbare feiten bij betaling:

• Medefinanciering van terrorisme
• Witwassen van geld

U kunt ook criminele organisaties faciliteren. De Nederlandse wet verbiedt betalingen aan gesanctioneerde terroristische organisaties.

Veel ransomware-groepen staan op sanctielijsten van de EU en VS. Betalen kan dus een overtreding van sanctiewetgeving betekenen.

Ondernemers riskeren boetes tot €870.000 of 10% van de jaaromzet. Bestuurders kunnen zelfs persoonlijk aansprakelijk worden.

Ethisch gezien versterkt elke betaling het ransomware-ecosysteem. Het geld financiert nieuwe aanvallen op andere bedrijven.

Alternatieven voor betaling:

• Incident response teams inschakelen
• Back-ups terugzetten

Herbouw uw systemen. Gebruik uw cyberverzekering als dat kan.

Samenwerking met opsporingsinstanties

Samenwerken met politie en opsporingsdiensten is niet alleen juridisch verplicht, maar ook ethisch verstandig. U vergroot de kans dat daders worden opgespoord.

Meld cybercriminaliteit altijd bij de politie. Zeker als ransomware uw bedrijf platlegt.

Het niet melden kan gevolgen hebben voor uw verzekeringsclaim. De voordelen van samenwerking zijn aanzienlijk.

Voordelen van samenwerking:

• U krijgt toegang tot expertise van NCSC
• Mogelijkheid op recovery van gestolen data

U draagt bij aan landelijke criminaliteitsbestrijding. U beschermt uw bedrijf tegen nieuwe aanvallen.

De politie kan technische hulp bieden via het Team High Tech Crime. Zij weten veel van ransomware-groepen en hun aanpak.

Sommige ondernemers zijn bang voor reputatieschade door openheid. Toch levert transparantie vaak meer op dan u denkt.

Stakeholders waarderen eerlijke communicatie over incidenten. Door informatie te delen helpt u andere bedrijven zich te beschermen.

Samen bouwt u aan een collectieve verdediging tegen cybercriminelen.

Juridische gevolgen bij onvoldoende beveiliging

Ondernemers hebben wettelijke verplichtingen om fatsoenlijke cybersecurity in te voeren. Doet u dat niet, dan kunt u aansprakelijk worden gesteld door allerlei partijen.

De NIS2-richtlijn schrijft minimumeisen voor cyberbeveiliging voor bij veel bedrijven. Denk aan risicoanalyses, incidentafhandeling en plannen voor bedrijfscontinuïteit.

Wettelijke verplichtingen:

• Passende technische beveiligingsmaatregelen
• Organisatorische waarborgen
• Regelmatige beveiligingsaudits
• Incident response procedures

Bij een dataschending kunnen ondernemers civielrechtelijk aansprakelijk zijn. Klanten die schade hebben, mogen vergoeding eisen via onrechtmatige daad.

Het bedrijf moet aantonen dat ze genoeg maatregelen hebben genomen. Toezichthouders kunnen boetes uitdelen als de beveiliging niet op orde is.

De Autoriteit Persoonsgegevens kan boetes opleggen tot 4% van de jaaromzet bij GDPR-overtredingen. Bestuurders lopen persoonlijk risico als ze ernstig nalatig zijn.

Ze kunnen zelfs privé aansprakelijk worden voor schade door te weinig te investeren in cybersecurity. Verzekeraars keren soms niet uit als basismaatregelen ontbreken.

Dit geldt vooral bij niet-gepatchte systemen en geen back-ups. Het is dus niet alleen een technisch verhaal, maar ook een juridisch risico.

Preventieve maatregelen en toekomstbestendige beveiliging

Ondernemers kunnen cybercrime en ransomware-aanvallen voor zijn met sterke technische beveiliging. Goed getraind personeel, betrouwbare back-ups en duidelijke noodplannen maken het verschil.

Deze maatregelen verkleinen niet alleen de kans op aanvallen. Ze beperken ook de schade en juridische ellende als het toch misgaat.

Technische beschermingsmaatregelen

Firewalls en antivirussoftware zijn de basis. U moet die systemen up-to-date houden, anders hebt u er weinig aan.

Multi-factor authenticatie (MFA) maakt inloggen een stuk veiliger. Medewerkers hebben dan bijvoorbeeld een extra code op hun telefoon nodig.

Netwerkbeveiliging vraagt om meerdere lagen:

• Beveiligde WiFi met sterke wachtwoorden
• VPN voor medewerkers die op afstand werken
• Updates voor alle apparaten, altijd

E-mailbeveiliging beschermt tegen phishing. Spamfilters en beveiligde mailservers houden verdachte berichten tegen.

Bedrijven moeten toegangsrechten beperken. Medewerkers krijgen alleen toegang tot wat ze echt nodig hebben.

Wordt een account gehackt, dan blijft de schade zo beperkt. Dat klinkt logisch, maar het wordt vaak vergeten.

Training en bewustwording van personeel

Cybersecurity-training is echt nodig, want mensen blijven het zwakste punt. Ze moeten leren phishing-e-mails herkennen en weten wat ze met gekke links doen.

Regelmatige oefeningen houden iedereen scherp. U kunt nepphishing-mails sturen om te testen of medewerkers alert zijn.

Wachtwoordbeleid moet duidelijk zijn:

• Sterke, unieke wachtwoorden voor elk systeem
• Wachtwoorden regelmatig vernieuwen
• Gebruik van een wachtwoordmanager

Incident melden moet makkelijk zijn. Werknemers moeten weten bij wie ze terechtkunnen zonder bang te zijn voor gedoe.

Training werkt alleen als u het blijft herhalen. Cyberdreigingen veranderen steeds, dus kennis moet mee.

Het belang van back-ups en incidentrespons

Back-upstrategie is onmisbaar bij ransomware. De 3-2-1-regel helpt: drie kopieën van data, op twee verschillende media, waarvan één offline.

Automatische back-ups voorkomen dat mensen het vergeten. Het systeem maakt dagelijks kopieën zonder dat iemand ernaar omkijkt.

Back-ups testen is minstens zo belangrijk als het maken ervan. Check regelmatig of u data echt kunt terughalen.

Incidentrespons begint bij snel signaleren. Monitoring-tools geven direct een seintje bij verdachte activiteiten.

Systemen isoleren voorkomt dat de schade zich verspreidt. Bij een aanval moet u besmette computers direct loskoppelen.

Snel reageren maakt het verschil tussen een kleine storing en een complete ramp. Dat weet iedereen die het ooit meemaakte.

Het opstellen van een noodplan

Noodplannen bevatten concrete stappen voor verschillende scenario’s. Elk bedrijf is anders, dus een standaardplan werkt niet.

Contactlijsten moeten kloppen. Zet telefoonnummers van IT-support, cybersecurity-experts en relevante autoriteiten erin.

Communicatiestrategie bepaalt wat klanten en partners horen. Openheid beschermt de reputatie van uw bedrijf, al voelt het soms spannend.

Taken verdelen zorgt dat iedereen weet wat te doen. Geef duidelijk aan wie waarvoor verantwoordelijk is bij een incident.

Regelmatig oefenen houdt het noodplan bruikbaar. Teams moeten minstens twee keer per jaar een cybercrisis naspelen.

Plan bijwerken is nodig als uw bedrijf groeit of verandert. Nieuwe systemen of mensen vragen om aanpassingen in het plan.

Frequently asked questions

Ondernemers hebben specifieke taken bij cybersecurity en moeten snel handelen bij incidenten. De wet stelt heldere eisen voor meldingen en aansprakelijkheid.

Hoe voorkomt u cybercrime?

Gebruik sterke wachtwoorden en vernieuw ze regelmatig. Installeer antivirussoftware en houd die bij.

Train medewerkers over phishing-e-mails en verdachte links. Maak back-ups van belangrijke data en test die af en toe.

Beveilig invoervelden op websites tegen misbruik. Controleer systemen vaak op verdachte activiteiten.

Hoe beschermt u zich tegen ransomware?

Installeer goede antivirussoftware en firewalls. Open geen verdachte bijlagen of links in e-mails.

Maak regelmatig back-ups en bewaar die offline. Leer medewerkers phishing te herkennen, want zo komt ransomware meestal binnen.

Update software en besturingssystemen zodra het kan. Betaal geen losgeld; dat zegt de politie ook.

Welke plichten heeft u bij een datalek?

Digitale dienstverleners en aanbieders van essentiële diensten moeten melding doen bij het Nationaal Cyber Security Centrum. Ze melden ook bij de Rijksinspectie Digitale Infrastructuur.

Bedrijven in vitale sectoren, zoals energie en drinkwater, melden incidenten bij NCSC. De Wet beveiliging netwerk- en informatiesystemen stelt eisen aan beveiliging.

Bij datalekken met persoonsgegevens gelden aparte stappen volgens de Autoriteit Persoonsgegevens. Ondernemers moeten getroffen klanten informeren.

Wanneer bent u strafrechtelijk aansprakelijk?

Ondernemers zijn aansprakelijk als ze te weinig beveiligingsmaatregelen namen. Schade door nalatigheid valt onder onrechtmatige daad.

Contractuele aansprakelijkheid ontstaat als afspraken over IT-beveiliging niet worden nagekomen. Het hangt af van wat u afspreekt met uw IT-leverancier.

Negeert u wettelijke beveiligingseisen? Dan loopt u juridische risico’s. Goede cybersecurity en heldere afspraken beperken uw aansprakelijkheid.

Waar meldt u een incident?

Ondernemers doen online aangifte of bellen 0900-8844 na een cyberincident. Bij fraude meldt u ook bij de Fraudehelpdesk Zakelijk.

Bedrijven met meldplicht rapporteren bij NCSC en de Rijksinspectie Digitale Infrastructuur. Een vrijwillige melding bij NCSC kan ook nuttig zijn; u krijgt soms advies of hulp.

Wilt u namens uw bedrijf aangifte doen van ransomware? Maak dan een afspraak op het politiebureau. Snel handelen na een incident is echt belangrijk.

Welke steun biedt de overheid?

Het Nationaal Cyber Security Centrum helpt ondernemers na meldingen van cyberincidenten. Ze geven advies en zoeken samen naar oplossingen.

De Fraudehelpdesk Zakelijk denkt mee bij vragen over zakelijke fraude. U kunt er terecht voor tips en ondersteuning.

Het Digitaal Trust Centrum (DTC) deelt informatie over verschillende vormen van cybercrime. Ze hebben ook kennisquizzes over phishing en digital skimming—best handig als u wilt weten waar u staat.

De Rijksoverheid wil Nederland weerbaarder maken tegen online dreigingen. Ondernemers kunnen een anonieme WBNI Self-assessment invullen om hun verplichtingen te checken.