Slachtoffer van een cyberaanval: meldplicht, aansprakelijkheid en schadevergoeding

Gepubliceerd op 28 juli 2026 · Laatst bijgewerkt op 27 oktober 2026

Bent u als organisatie getroffen door een cyberaanval waarbij persoonsgegevens zijn gelekt, dan moet u dat in de regel binnen 72 uur melden bij de Autoriteit Persoonsgegevens (artikel 33 AVG). Melding is alleen niet nodig als het onwaarschijnlijk is dat het lek een risico oplevert voor de betrokkenen.

Betrokkenen van wie gegevens zijn gelekt, kunnen schadevergoeding vorderen op grond van artikel 82 AVG, maar alleen als zij een schending, echte schade en causaal verband aantonen. Hieronder bespreken wij wie slachtoffer is, welke meldplichten gelden, wie aansprakelijk kan zijn en welke stappen u direct zet.

Wie zijn slachtoffer van een cyberaanval?

Er zijn drie groepen, en elke groep heeft een eigen grondslag en een eigen aanspreekpunt. Ransomware, phishing, DDoS-aanvallen en computervredebreuk raken zelden alleen de aangevallen organisatie.

• De getroffen organisatie, met systeemuitval, omzetverlies, herstelkosten en kosten van forensisch onderzoek. Zij spreekt haar ICT-leverancier meestal aan op de overeenkomst (artikel 6:74 BW).
• Betrokkenen, zoals klanten, werknemers en patiënten van wie persoonsgegevens zijn gelekt. Zij kunnen zich rechtstreeks beroepen op artikel 82 AVG.
• Ketenpartners die schade lijden doordat een leverancier uitvalt. Zij zijn aangewezen op hun eigen overeenkomst of op onrechtmatige daad (artikel 6:162 BW).

Wanneer moet u een datalek melden?

Meld een inbreuk op persoonsgegevens zonder onnodige vertraging en waar mogelijk binnen 72 uur nadat u ervan weet bij de Autoriteit Persoonsgegevens (artikel 33 AVG). Een verwerker moet de verwerkingsverantwoordelijke direct informeren, zodat die de termijn kan halen.

Levert het lek waarschijnlijk een hoog risico op voor betrokkenen, dan informeert u ook hen zelf (artikel 34 AVG). Dat hoeft niet als de gegevens versleuteld waren, als achteraf genomen maatregelen het hoge risico wegnemen, of als individuele berichten een onevenredige inspanning vergen; dan volstaat een openbare mededeling.

Stel daarom direct vast welke gegevens zijn geraakt en of ze zijn buitgemaakt. Een onafhankelijk forensisch onderzoek is daarvoor vaak nodig. Leg ook vast waarom u wel of niet meldt: dat moet u kunnen verantwoorden (artikel 33 lid 5 AVG).

Geldt ook de Cyberbeveiligingswet?

Bent u een essentiële of belangrijke entiteit, dan geldt sinds 15 augustus 2026 ook de meldplicht uit de Cyberbeveiligingswet. Die staat los van de AVG en geldt ook als er geen persoonsgegevens zijn gelekt.

Een significant incident meldt u bij uw CSIRT en uw bevoegde autoriteit: eerst met een vroegtijdige waarschuwing, onverwijld en uiterlijk binnen 24 uur nadat u ervan weet (artikel 26 Cyberbeveiligingswet), daarna met een melding binnen 72 uur (artikel 27). Uiterlijk een maand na die melding volgt een eindverslag; duurt het incident dan nog voort, dan dient u eerst een voortgangsverslag in (artikel 29). De wet voert daarmee artikel 23 van de NIS2-richtlijn (Richtlijn (EU) 2022/2555) uit.

Kunt u informatie afdwingen bij een gehackte leverancier?

Ja, als de verwerkersovereenkomst daarin voorziet. Artikel 28 AVG verplicht tot zo’n overeenkomst, met afspraken over beveiliging en de afhandeling van datalekken.

In het kort geding tussen Blauw Research en Nebu (Rechtbank Rotterdam 6 april 2023, ECLI:NL:RBROT:2023:2931) moest de gehackte verwerker op grond van de verwerkersovereenkomst binnen twee werkdagen informatie verstrekken, dagelijks updates geven en binnen vijf werkdagen een onafhankelijk forensisch onderzoeker inschakelen, op straffe van een dwangsom. De opdrachtgever had die informatie nodig om zijn eigen meldplichten na te komen.

Wanneer heeft u recht op schadevergoeding?

Als u aantoont dat de AVG is geschonden, dat u daardoor echte schade heeft geleden en dat er causaal verband is (artikel 82 AVG). Een cyberaanval geeft dus niet automatisch recht op een vergoeding.

Materiële schade is bijvoorbeeld een financieel verlies door identiteitsfraude. Voor immateriële schade geldt geen drempel van ernst, maar de enkele schending van de AVG is niet genoeg (HvJ EU 4 mei 2023, C-300/21, Österreichische Post).

In de zaak Natsionalna agentsia za prihodite (HvJ EU 14 december 2023, C-340/21) oordeelde het Hof dat vrees voor toekomstig misbruik van gelekte gegevens immateriële schade kan zijn, mits de betrokkene die vrees concreet onderbouwt. Het Hof oordeelde ook dat de verwerkingsverantwoordelijke moet bewijzen dat zijn beveiliging passend was, en dat een aanval door een derde hem niet automatisch vrijpleit.

Artikel 82 AVG staat naast wanprestatie en onrechtmatige daad (artikel 6:162 BW). Bij onrechtmatige daad geldt het relativiteitsvereiste: de geschonden norm moet bescherming bieden tegen de geleden schade (artikel 6:163 BW).

Wie kan aansprakelijk zijn?

De getroffen organisatie, haar ICT-leverancier of een verwerker. Wat van een leverancier mocht worden verwacht, hangt in de eerste plaats af van de overeenkomst.

In de zaak over de gemeente Hof van Twente (Rechtbank Overijssel 10 mei 2023, ECLI:NL:RBOVE:2023:1731) was alleen functionele monitoring afgesproken, geen security monitoring. De rechtbank wees de vordering van ruim € 3,9 miljoen af: de zorgplicht van de ICT-beheerder ging niet zo ver dat security monitoring stilzwijgend in de opdracht zat. Ook de eigen keuzes van de gemeente, zoals het wachtwoordbeleid en een opengezette RDP-poort, telden mee.

Het spiegelbeeld is O’Cliance (Rechtbank Amsterdam 14 november 2018, ECLI:NL:RBAMS:2018:10124). De IT-dienstverlener had een netwerk zonder firewall en zonder externe back-ups aangelegd en schoot tekort. Omdat de klant zelf had ingestemd met eenvoudige wachtwoorden, bleef een derde van de schade voor zijn rekening (eigen schuld, artikel 6:101 BW).

Bij een gehackt e-mailaccount van een autobedrijf stuurde een hacker een valse betaalinstructie aan een koper. Het gerechtshof Arnhem-Leeuwarden liet het autobedrijf bewijzen dat zijn account passend was beveiligd (ECLI:NL:GHARL:2024:6812) en oordeelde op 22 juli 2025 dat dat bewijs niet was geleverd (ECLI:NL:GHARL:2025:4556). De vergoeding voor vrees voor identiteitsfraude wees het hof af, omdat die niet concreet was onderbouwd.

Daarnaast kan de Autoriteit Persoonsgegevens een boete opleggen tot € 20 miljoen of 4% van de wereldwijde jaaromzet, als dat hoger is (artikel 83 AVG). Die boete staat los van individuele schade.

Kunt u aangifte doen en schade via het strafproces vorderen?

Ja. Opzettelijk en wederrechtelijk binnendringen in een geautomatiseerd werk is computervredebreuk (artikel 138ab lid 1 Sr).

Na aangifte bij de politie kunt u zich als benadeelde partij voegen als een verdachte wordt vervolgd (artikel 51f Sv). Dat bespaart een aparte civiele procedure, maar hangt af van opsporing en vervolging, wat bij daders in het buitenland vaak niet lukt. Verzekeraars en ketenpartners vragen daarnaast vaak om een aangifte.

Wat dekt een cyberverzekering?

Dat hangt af van de polis. Vaak gedekt zijn incidentrespons en forensisch onderzoek, herstel van systemen, bedrijfsschade, crisiscommunicatie, aansprakelijkheid tegenover derden en juridische kosten.

Let op uitsluitingen, beveiligingsvoorwaarden, meldtermijnen en eigen risico. Een verzekerde moet binnen redelijke grenzen schade voorkomen of beperken (artikel 7:957 lid 1 BW); doet hij dat niet en lijdt de verzekeraar daardoor nadeel, dan kan de uitkering lager worden. Schakel daarom de verzekeraar direct in, en betaal geen losgeld en huur geen deskundigen in zonder overleg.

Wat doet u direct na een cyberaanval?

1. Leg het incident en elke handeling vast, met tijdstip.
2. Isoleer de getroffen systemen zonder bewijs te wissen en bewaar logbestanden en back-ups.
3. Schakel een forensisch deskundige in.
4. Beoordeel binnen 72 uur de meldplicht bij de Autoriteit Persoonsgegevens en zo nodig binnen 24 uur bij uw CSIRT en bevoegde autoriteit onder de Cyberbeveiligingswet.
5. Beoordeel of betrokkenen moeten worden geïnformeerd.
6. Meld het incident bij de cyberverzekeraar en doe aangifte bij de politie.
7. Inventariseer de schade en de mogelijk aansprakelijke partijen.

Waar let u op als getroffen organisatie?

• Controleer of de verwerkersovereenkomst informatie- en onderzoeksplichten bevat.
• Ga na of beveiliging of alleen functioneel beheer is uitbesteed.
• Documenteer welke beveiligingsmaatregelen u had: u moet bewijzen dat ze passend waren.
• Stel uw leverancier tijdig schriftelijk aansprakelijk.

Waar let u op als betrokkene?

• Bewaar de melding van het datalek die u ontving.
• Wijzig wachtwoorden en houd uw rekeningen in de gaten.
• Leg concrete gevolgen vast, zoals phishingberichten of misbruik van uw gegevens.
• Onderbouw financiële schade met stukken.

Wat kunnen wij voor u doen bij een cyberaanval?

• De meldplichten onder de AVG en de Cyberbeveiligingswet beoordelen en termijnen bewaken.
• Informatie afdwingen bij een verwerker, zo nodig in kort geding.
• Uw leverancier aansprakelijk stellen of een claim van betrokkenen beoordelen.
• Dekkingsvragen met uw cyberverzekeraar afhandelen.
• Verwerkersovereenkomsten en ICT-contracten vooraf toetsen; zie onze dienst advocaat ICT-recht.

Samengevat

• Een datalek meldt u in de regel binnen 72 uur bij de Autoriteit Persoonsgegevens (artikel 33 AVG).
• Schadevergoeding vraagt een schending, echte schade en causaal verband (artikel 82 AVG).
• De verwerkingsverantwoordelijke moet bewijzen dat zijn beveiliging passend was (C-340/21).
• Of een ICT-leverancier aansprakelijk is, hangt vooral af van wat is afgesproken.

Veelgestelde vragen

Heb ik als betrokkene automatisch recht op schadevergoeding?

Nee. U moet een schending van de AVG, echte schade en causaal verband aantonen (artikel 82 AVG; HvJ EU C-300/21).

Is vrees voor identiteitsfraude schade?

Dat kan, als u die vrees en de gevolgen concreet onderbouwt (HvJ EU C-340/21). Een algemene verwijzing naar het lek is niet genoeg.

Is mijn ICT-leverancier aansprakelijk als hij de aanval niet opmerkte?

Dat hangt af van de opdracht. Was alleen functionele monitoring afgesproken, dan hoefde hij niet op beveiliging te letten (ECLI:NL:RBOVE:2023:1731).

Kan mijn eigen handelen de vergoeding verlagen?

Ja. Bij eigen schuld wordt de schade verdeeld (artikel 6:101 BW); in O’Cliance bleef een derde voor rekening van de klant.

Kan ik dekking verliezen door verkeerd te handelen?

Ja. Wie de bereddingsplicht van artikel 7:957 BW niet nakomt of zonder overleg losgeld betaalt, riskeert een lagere uitkering.