Gepubliceerd op 16 april 2020 · Laatst bijgewerkt op 8 september 2026
Phishing en ransomware zijn de twee vormen van cybercrime waarmee Nederlandse organisaties het vaakst te maken krijgen, en ze horen bij elkaar: een phishingmail is doorgaans de deur waardoor de gijzelsoftware binnenkomt. Strafrechtelijk gaat het om computervredebreuk (artikel 138ab Sr), het onbruikbaar maken van gegevens (artikel 350a Sr) en afpersing (artikel 317 Sr). Daarnaast raakt een aanval vrijwel altijd de meldplicht uit de Algemene verordening gegevensbescherming.
Inhoudsopgave
Welke vormen van cybercrime zijn strafbaar?
Het Wetboek van Strafrecht kent geen enkel delict dat cybercrime heet. De gedragingen zijn verdeeld over verschillende bepalingen, en bij een aanval worden er meestal meerdere tegelijk overtreden. Het binnendringen in een geautomatiseerd werk, bijvoorbeeld met gestolen inloggegevens, is computervredebreuk (artikel 138ab Sr). Het versleutelen, wissen of onbruikbaar maken van gegevens valt onder artikel 350a Sr. Wie de systemen van een organisatie plat legt door er gegevens naartoe te sturen, pleegt het delict van artikel 138b Sr.
De losgeldeis zelf is afpersing (artikel 317 Sr) of, als er met openbaarmaking van gestolen gegevens wordt gedreigd, afdreiging (artikel 318 Sr). Dat laatste komt sinds enkele jaren steeds vaker voor: de aanvaller versleutelt niet alleen, maar kopieert de gegevens eerst en dreigt ze te publiceren. Ook het vervaardigen of verspreiden van hulpmiddelen waarmee zulke delicten worden gepleegd is strafbaar (artikel 139d Sr). Phishing waarbij u wordt bewogen tot betaling of tot afgifte van gegevens levert daarnaast oplichting op (artikel 326 Sr). Een breder overzicht van de strafbare gedragingen leest u in ons artikel over strafbaar online gedrag.
Hoe herkent u een phishingmail?
Phishing is een vorm van internetoplichting waarbij een bericht zo wordt opgemaakt dat het van uw bank, de Belastingdienst, een leverancier of een collega lijkt te komen. Het logo klopt, de opmaak klopt, en er wordt gevraagd op een link te klikken, een bijlage te openen of een achterstallige factuur te betalen. Klikt u door, dan komt u op een inlogpagina die op de echte lijkt, waar uw gebruikersnaam en wachtwoord worden afgevangen.
Let allereerst op het afzenderadres, niet op de weergegeven naam. Vergelijk het domein letter voor letter met het adres op de officiële website van de organisatie; één toegevoegd of weggelaten teken is genoeg. Let daarnaast op tijdsdruk: woorden als dringend, laatste herinnering en binnen vierentwintig uur zijn bedoeld om u te laten handelen voordat u nadenkt. Een onpersoonlijke aanhef en kromme zinnen blijven een signaal, al zijn goed geschreven phishingmails door de inzet van taalmodellen inmiddels gewoon geworden. Twijfelt u, bel dan de afzender via het nummer op de officiële website, nooit via het nummer in het bericht.
Realiseer u dat inloggen niet nodig is om schade te lijden. Bij een deel van de aanvallen is het openen van een bijlage of het bezoeken van een geprepareerde pagina al voldoende om schadelijke software te installeren. Hoe u digitale misleiding achteraf vastlegt en bewijst, beschrijven wij in ons artikel over het bewijzen van online fraude en phishing.
Wat gebeurt er bij een ransomware-aanval?
Ransomware, in het Nederlands gijzelsoftware, versleutelt de bestanden op uw systemen. U krijgt een bericht dat u de sleutel ontvangt na betaling van een bedrag, meestal in cryptovaluta. De software komt binnen via een phishingmail, via een kwetsbaarheid in software die niet is bijgewerkt, via een besmette advertentie of via een leverancier met toegang tot uw netwerk.
De aanval bij de Universiteit Maastricht eind 2019 liet zien hoe zo’n keten loopt: medewerkers gaven na een phishingmail hun inloggegevens prijs, waarna de aanvallers zich weken door het netwerk bewogen en uiteindelijk de servers versleutelden. De schade zit zelden alleen in het losgeld. Uw organisatie ligt dagen tot weken stil, en daarna volgen kosten voor forensisch onderzoek, het opschonen en opnieuw opbouwen van systemen, en het informeren van klanten. De strafrechtelijke positie van de getroffen ondernemer werken wij verder uit in ons artikel over ransomware en strafrechtelijke aansprakelijkheid.
Mag u losgeld betalen?
Het betalen van losgeld is in Nederland niet zelfstandig strafbaar gesteld. Dat betekent niet dat het zonder juridisch risico is. Weet u of vermoedt u dat het geld terechtkomt bij een persoon of organisatie die op een sanctielijst staat, dan kan de betaling een overtreding van de Sanctiewet 1977 opleveren. Daarnaast kan een betaling die via omwegen loopt vragen oproepen in het kader van de witwasbepalingen van de artikelen 420bis tot en met 420quater Sr.
Praktisch is er een sterker argument om niet te betalen: u koopt geen zekerheid. Een sleutel werkt niet altijd, herstel duurt ook daarna nog weken, en de toegang die de aanvaller tot uw netwerk had verdwijnt niet met de betaling. Betaling maakt u bovendien aantrekkelijk voor een volgende aanval. Controleer eerst uw verzekeringspolis: veel cyberpolissen sluiten losgeld uit of stellen voorwaarden zoals voorafgaande toestemming van de verzekeraar. Neem geen beslissing zonder juridisch advies en zonder melding bij politie en het Nationaal Cyber Security Centrum.
De meldplicht datalek onder de AVG
Zijn bij de aanval persoonsgegevens versleuteld, gekopieerd of ingezien, dan is er een inbreuk in verband met persoonsgegevens: een datalek. De verwerkingsverantwoordelijke moet dat zonder onredelijke vertraging en uiterlijk binnen tweeënzeventig uur na ontdekking melden bij de Autoriteit Persoonsgegevens (artikel 33 AVG). Een versleuteling zonder diefstal is óók een datalek, want de beschikbaarheid van de gegevens is aangetast.
Levert het lek een hoog risico op voor de rechten en vrijheden van de betrokkenen, dan moet u die betrokkenen zelf ook informeren (artikel 34 AVG). Los daarvan verplicht artikel 32 AVG u tot passende technische en organisatorische maatregelen; de toezichthouder beoordeelt na een incident vrijwel altijd of daaraan is voldaan. De boetebevoegdheid staat in artikel 83 AVG. Hoe de termijn van tweeënzeventig uur in de praktijk uitpakt en welk verweer mogelijk is, behandelen wij in ons artikel over de meldplicht bij een datalek.
De Cyberbeveiligingswet sinds 15 augustus 2026
Op 15 augustus 2026 zijn de Cyberbeveiligingswet en de Wet weerbaarheid kritieke entiteiten in werking getreden. Daarmee is de Europese NIS2-richtlijn (Richtlijn (EU) 2022/2555) in Nederlands recht omgezet. De Cyberbeveiligingswet legt een zorgplicht, een meldplicht en een registratieplicht op aan organisaties die essentiële of belangrijke diensten leveren in achttien aangewezen sectoren, waaronder energie, zorg, vervoer, digitale infrastructuur en de levensmiddelenketen.
De zorgplicht houdt in dat u passende en evenredige maatregelen neemt om de risico’s voor uw netwerk- en informatiesystemen te beheersen. De meldplicht loopt via het computercrisisteam en de bevoegde autoriteit; de NIS2-richtlijn kent daarvoor een eerste melding binnen vierentwintig uur, een uitgebreidere melding binnen tweeënzeventig uur en een eindrapportage binnen een maand. Registratie vindt plaats in het entiteitenregister dat het Nationaal Cyber Security Centrum beheert. Belangrijk voor bestuurders: de Cyberbeveiligingswet legt de verantwoordelijkheid uitdrukkelijk bij de leiding van de organisatie, niet bij de systeembeheerder.
Wie is aansprakelijk als het misgaat?
Een geslaagde aanval roept vrijwel altijd de vraag op wie de schade draagt. Binnen de vennootschap is de bestuurder gehouden tot een behoorlijke taakvervulling (artikel 2:9 BW). Wie bekende kwetsbaarheden maandenlang laat bestaan, geen back-ups laat maken of waarschuwingen van de eigen beveiligers negeert, loopt het risico dat dit als ernstig verwijtbaar handelen wordt aangemerkt.
Naar buiten toe is de grondslag doorgaans de tekortkoming in de nakoming van een overeenkomst (artikel 6:74 BW) of de onrechtmatige daad (artikel 6:162 BW). Klanten van wie gegevens uitlekken kunnen daarnaast materiële en immateriële schade vorderen op grond van artikel 82 AVG. Richting uw eigen leveranciers geldt het omgekeerde: is de aanval mogelijk geworden door een fout van een ICT-dienstverlener, kijk dan naar de verwerkersovereenkomst en naar de aansprakelijkheidsbeperking in de algemene voorwaarden. Werknemersgedrag speelt hier vaak de sleutelrol; welke maatregelen u daarvoor moet treffen, leest u in ons artikel over cybercrime-risico’s voor werknemers.
Wat doet u direct na een aanval?
Koppel eerst de getroffen systemen los van het netwerk, maar zet ze niet uit: geheugen dat wordt gewist, is bewijs dat verdwijnt. Leg vast wanneer u wat heeft geconstateerd en bewaar logbestanden, het losgeldbericht en de betrokken e-mails. Die vastlegging heeft u nodig voor de politie, voor de Autoriteit Persoonsgegevens en voor uw verzekeraar.
Doe vervolgens aangifte bij de politie; ernstige aanvallen op organisaties komen bij het Team High Tech Crime terecht. Meld het incident bij het Nationaal Cyber Security Centrum, en beoordeel binnen tweeënzeventig uur of er een meldplichtig datalek is. Informeer daarna pas uw klanten en relaties, met een boodschap die klopt en die u later niet hoeft te herroepen. Welke rechten u als getroffen partij heeft, zetten wij uiteen in ons artikel over de rechten van slachtoffers van cyberaanvallen.
Hoe voorkomt u phishing en ransomware?
Techniek en organisatie moeten hier samen optrekken. Zet tweestapsverificatie aan op alle accounts die van buitenaf bereikbaar zijn, werk software en firmware bij zodra er beveiligingsupdates verschijnen, en beperk de rechten van gebruikers tot wat zij werkelijk nodig hebben. Maak regelmatig back-ups, bewaar ten minste één kopie los van het netwerk en test of terugzetten daadwerkelijk lukt; een back-up die mee versleuteld raakt, is geen back-up.
Organisatorisch is bewustwording het sluitstuk. Train medewerkers op het herkennen van phishing, spreek af hoe zij een verdacht bericht melden en zorg dat melden nooit tot verwijten leidt, want dan wordt er niet meer gemeld. Leg in uw beleid vast wie bij een incident welke beslissing neemt, en wie contact opneemt met de politie, de toezichthouder en uw advocaat. Beoordeel ten slotte de beveiligingsafspraken met uw leveranciers: uw beveiliging is zo sterk als de zwakste partij met toegang tot uw netwerk.
Veelgestelde vragen
Is een ransomware-aanval altijd een datalek?
Vrijwel altijd. Ook als de aanvaller niets kopieert, tast versleuteling de beschikbaarheid van persoonsgegevens aan, en dat is een inbreuk in verband met persoonsgegevens. U moet dus beoordelen of melding bij de Autoriteit Persoonsgegevens nodig is (artikel 33 AVG) en dat oordeel vastleggen, ook als u niet meldt.
Kan ik de aanvaller aansprakelijk stellen?
Juridisch wel: de aanval is een onrechtmatige daad (artikel 6:162 BW) en meerdere strafbare feiten. Praktisch stuit het bijna altijd op de anonimiteit en de buitenlandse locatie van de dader. Verhaal loopt daarom meestal via uw verzekering of via een nalatige leverancier.
Wat als een werknemer op de phishinglink heeft geklikt?
Dat levert zelden een grond voor ontslag of voor verhaal op de werknemer op. Een werknemer is voor schade aan de werkgever alleen aansprakelijk bij opzet of bewuste roekeloosheid. De verantwoordelijkheid ligt bij de werkgever om beveiliging, training en procedures op orde te hebben.
Geldt de Cyberbeveiligingswet ook voor mijn mkb-onderneming?
Dat hangt af van sector en omvang. De wet richt zich op essentiële en belangrijke entiteiten in achttien sectoren; kleinere ondernemingen buiten die sectoren vallen er in beginsel niet onder. De AVG-verplichtingen gelden echter voor iedere organisatie die persoonsgegevens verwerkt, ongeacht de omvang.
Moet ik klanten informeren over een aanval?
Als het lek een hoog risico oplevert voor hun rechten en vrijheden, bent u daartoe verplicht (artikel 34 AVG). Ook zonder die verplichting is transparantie vaak verstandig, maar stem de inhoud en het tijdstip af met uw advocaat, omdat de mededeling later tegen u kan worden gebruikt.
Juridische hulp bij cybercrime
Na een aanval lopen strafrecht, privacyrecht, contractenrecht en verzekeringsrecht door elkaar, terwijl de klok van tweeënzeventig uur al tikt. De wettelijke kaders vindt u in het Wetboek van Strafrecht, in de Algemene verordening gegevensbescherming en in de toelichting van de rijksoverheid op de Cyberbeveiligingswet. Bent u ook geld kwijtgeraakt door een valse webwinkel of verkoper, lees dan onze uitleg over internetoplichting.
Bent u getroffen door phishing of ransomware, of wilt u weten of uw organisatie voldoet aan de zorg- en meldplichten? Neem contact op met Law & More in Eindhoven. Wij begeleiden u bij de meldingen, de aangifte, het aanspreken van leveranciers en het verweer tegen aanspraken van klanten.
