Gepubliceerd op 8 november 2025 · Laatst bijgewerkt op 9 oktober 2026
Ethisch hacken is in Nederland niet apart toegestaan: wie zonder toestemming een computersysteem binnendringt, pleegt computervredebreuk volgens artikel 138ab van het Wetboek van Strafrecht (Sr). Het Openbaar Ministerie (OM) kan wel afzien van vervolging als u een kwetsbaarheid zorgvuldig en volgens de regels van responsible disclosure meldt, maar een garantie is dat niet.
Voor organisaties is het onderwerp sinds 15 augustus 2026 belangrijker geworden. Toen trad de Cyberbeveiligingswet in werking, de Nederlandse uitwerking van de Europese NIS2-richtlijn. In dit artikel leest u wat een ethisch hacker mag, hoe het OM een melding beoordeelt en wat organisaties moeten regelen.
Inhoudsopgave
Wat is ethisch hacken?
Ethisch hacken is het zoeken naar zwakke plekken in een systeem om die te melden, niet om er misbruik van te maken. Er zijn twee vormen: hacken in opdracht, zoals een pentest, en hacken zonder opdracht waarna de hacker de eigenaar waarschuwt.
Bij een pentest geeft de eigenaar vooraf schriftelijk toestemming en leggen partijen de grenzen vast in een overeenkomst. Bij hacken zonder opdracht ontbreekt die toestemming. Dan hangt veel af van hoe de hacker te werk gaat en hoe hij de kwetsbaarheid meldt. Dat proces heet responsible disclosure of coordinated vulnerability disclosure (CVD).
Wanneer is hacken strafbaar?
Hacken is strafbaar als u opzettelijk en zonder recht binnendringt in een computer, server of netwerk (artikel 138ab Sr). De maximale straf is twee jaar gevangenisstraf of een geldboete van de vierde categorie, en vier jaar als u bijvoorbeeld gegevens overneemt.
Het motief maakt voor de strafbaarheid niet uit. Ook wie met goede bedoelingen een website test, dringt wederrechtelijk binnen als de eigenaar geen toestemming heeft gegeven. Wie een systeem plat legt door het te overbelasten, kan daarnaast strafbaar zijn op grond van artikel 138b Sr. Meer over de grenzen leest u in ons artikel hacken juridisch bekeken.
Hoe beoordeelt het OM een melding van een ethisch hacker?
Het OM kijkt of de hacker een maatschappelijk belang diende, of hij niet verder ging dan nodig en of er geen minder ingrijpende weg was. Deze drie toetsstenen staan in de beleidsbrief over ethisch hacken die het OM in 2013 publiceerde.
- Maatschappelijk belang: de hacker wilde een ernstige kwetsbaarheid aan het licht brengen en zocht geen eigen voordeel.
- Proportionaliteit: de hacker deed niet meer dan nodig om de kwetsbaarheid aan te tonen. Hij kopieerde bijvoorbeeld geen database en veranderde geen gegevens.
- Subsidiariteit: er was geen minder ingrijpende manier, en de hacker meldde eerst bij de eigenaar in plaats van het lek direct openbaar te maken.
Het OM beslist per zaak. Daarbij weegt ook mee of de hacker zich hield aan het meldbeleid van de organisatie. Een beroep op goede bedoelingen alleen is onvoldoende.
Wat is een responsible disclosure-beleid?
Een responsible disclosure-beleid is een openbaar document waarin een organisatie vastlegt hoe zij meldingen van kwetsbaarheden ontvangt en welke spelregels voor melders gelden. Het Nationaal Cyber Security Centrum (NCSC) publiceerde hiervoor in 2018 de Leidraad Coordinated Vulnerability Disclosure.
Een goed beleid noemt in elk geval het meldadres, wat de melder wel en niet mag doen, hoe snel de organisatie reageert en hoe lang de melder de details geheim houdt. Vaak staat erin dat de organisatie geen aangifte doet als de melder zich aan de regels houdt. Let op: die toezegging bindt alleen de organisatie. Computervredebreuk is geen klachtdelict, dus het OM kan ook zonder aangifte vervolgen.
Wat verandert er door de Cyberbeveiligingswet?
De Cyberbeveiligingswet (Cbw) geldt sinds 15 augustus 2026 en vervangt de Wet beveiliging netwerk- en informatiesystemen (Wbni). De wet legt zorgplichten en meldplichten op aan essentiële en belangrijke entiteiten; volgens de overheid gaat het om ruim 8.000 organisaties.
De Cbw maakt hacken zonder toestemming niet legaal. Wel moeten organisaties die onder de wet vallen hun cyberrisico’s beheersen, en daar hoort de omgang met gemelde kwetsbaarheden bij. De NIS2-richtlijn verplicht lidstaten bovendien een CSIRT aan te wijzen dat meldingen van kwetsbaarheden coördineert (artikel 12 NIS2).
Het bestuur van zo’n organisatie moet de beveiligingsmaatregelen goedkeuren en toezien op de uitvoering. Bestuurders kunnen daarop worden aangesproken. Meer daarover leest u in ons artikel over bestuurdersaansprakelijkheid bij cyberaanvallen.
Welke meldtermijnen gelden voor organisaties?
De meldtermijnen gelden voor organisaties, niet voor de hacker die een kwetsbaarheid ontdekt. Een organisatie die onder de Cbw valt, meldt een significant incident binnen 24 uur met een vroegtijdige waarschuwing, binnen 72 uur met een incidentmelding en uiterlijk een maand later met een eindverslag.
De melding gaat naar het CSIRT en de toezichthouder van de sector. Zijn er persoonsgegevens gelekt, dan geldt daarnaast de meldplicht uit artikel 33 AVG: melden bij de Autoriteit Persoonsgegevens binnen 72 uur na ontdekking. Een gemelde kwetsbaarheid is niet vanzelf een incident of datalek. Heeft de hacker zelf persoonsgegevens ingezien, dan kan dat wel een datalek zijn. Zie ook ons artikel datalek melden: wanneer bent u daartoe verplicht?
Fabrikanten van producten met digitale elementen hebben sinds 11 september 2026 ook een meldplicht onder de Europese Cyber Resilience Act. Zij melden een actief misbruikte kwetsbaarheid binnen 24 uur.
Waar let u als ethisch hacker op?
- Zoek vooraf het responsible disclosure-beleid of het security.txt-bestand van de organisatie op en houd u aan de regels daarin.
- Doe niet meer dan nodig om de kwetsbaarheid aan te tonen: geen gegevens downloaden, wijzigen of verwijderen en geen toegang achterlaten.
- Meld de kwetsbaarheid zo snel mogelijk bij de organisatie zelf en houd de details geheim tot het lek is gedicht.
- Leg vast wat u wanneer heeft gedaan, met tijdstippen en schermafbeeldingen. Dat helpt als het OM later vragen stelt.
- Maak een beloning nooit een voorwaarde voor uw melding. Dat kan worden opgevat als afpersing of afdreiging.
Waar let u als organisatie op?
- Stel vast of u onder de Cyberbeveiligingswet valt als essentiële of belangrijke entiteit en of u zich moet registreren.
- Publiceer een responsible disclosure-beleid en een security.txt-bestand met een vast meldadres.
- Leg intern vast wie een melding binnen welke tijd beoordeelt, zodat u de termijnen van 24 en 72 uur haalt als een melding een incident blijkt.
- Toets bij een melding waarbij persoonsgegevens zijn ingezien direct of u binnen 72 uur moet melden bij de Autoriteit Persoonsgegevens.
- Sluit voor een pentest een schriftelijke overeenkomst met scope, periode, geheimhouding en aansprakelijkheid.
Wat kunnen wij voor u doen bij ethisch hacken en cybersecurity?
Wij staan zowel organisaties als melders bij; meer over onze aanpak leest u op de pagina ICT-recht, en voor strafrechtelijke vragen op de pagina strafrecht.
- Wij beoordelen of uw organisatie onder de Cyberbeveiligingswet valt en welke zorg- en meldplichten daaruit volgen.
- Wij stellen een responsible disclosure-beleid op dat aansluit bij de Leidraad CVD van het NCSC.
- Wij stellen pentestovereenkomsten op met een duidelijke scope, geheimhouding en aansprakelijkheidsregeling.
- Wij beoordelen na een melding of er een datalek is dat binnen 72 uur bij de Autoriteit Persoonsgegevens moet worden gemeld.
- Wij staan een ethisch hacker bij die als verdachte wordt gehoord en toetsen zijn handelen aan artikel 138ab Sr en de criteria van het OM.
Samengevat
- Hacken zonder toestemming is computervredebreuk (artikel 138ab Sr), ook met goede bedoelingen.
- Het OM kan afzien van vervolging als de hacker een maatschappelijk belang diende, proportioneel handelde en eerst bij de eigenaar meldde.
- De Cyberbeveiligingswet geldt sinds 15 augustus 2026 en legt zorg- en meldplichten op aan organisaties, niet aan hackers.
- Een organisatie meldt een significant incident binnen 24 uur, 72 uur en een maand; een datalek meldt zij binnen 72 uur bij de Autoriteit Persoonsgegevens.
Veelgestelde vragen
Moet ik als ethisch hacker zelf iets binnen 72 uur melden?
Nee. De termijnen van 24 en 72 uur uit de Cyberbeveiligingswet en de AVG gelden voor de organisatie. Als hacker meldt u de kwetsbaarheid zo snel mogelijk bij de organisatie, volgens haar meldbeleid.
Mag ik een kwetsbaarheid openbaar maken als de organisatie niet reageert?
Maak het lek niet op eigen houtje openbaar zolang het niet is gedicht. Dat weegt zwaar mee in de beoordeling door het OM. Spreek liever een termijn af en leg uw pogingen om de organisatie te bereiken vast.
Biedt een responsible disclosure-beleid mij volledige bescherming?
Nee. De organisatie kan toezeggen geen aangifte te doen, maar het OM kan zelfstandig vervolgen. Het beleid helpt wel: wie zich eraan houdt, maakt aannemelijk dat hij zorgvuldig en proportioneel handelde.
Kan een organisatie een ethisch hacker aansprakelijk stellen voor schade?
Dat kan in beginsel, op grond van onrechtmatige daad (artikel 6:162 BW). Bijvoorbeeld als de hacker een systeem verstoorde of gegevens beschadigde. Wie binnen de regels van het meldbeleid blijft, loopt dat risico veel minder.
