Hakerstwo i cyberprzestępczość w Holandii: czego zabrania prawo

Hackowanie jest przestępstwem w Holandii: zgodnie z artykułem 138ab holenderskiego Kodeksu karnego (Sr), umyślne i bezprawne włamanie do systemu komputerowego stanowi wtargnięcie na jego teren, zagrożone karą do dwóch lat pozbawienia wolności, nawet jeśli nic nie zostanie skopiowane ani uszkodzone. Wyjątkiem jest dostęp za zgodą: test penetracyjny w ramach pisemnego zadania nie jest niezgodny z prawem, ale holenderskie prawo nie przewiduje ogólnego wyjątku dla hakerów o dobrych intencjach i „etycznych”.

Powiązane przestępstwa obejmują ataki typu „odmowa usługi” (art. 138b § 1), przechwytywanie (art. 139c–139e § 1) oraz uszkadzanie danych, w tym oprogramowanie ransomware (art. 350a–350d § 1). Odrębnie, ustawa o cyberbezpieczeństwie (Cyberbeveiligingswet), obowiązująca od 15 sierpnia 2026 r., nakłada na organizacje obowiązki w zakresie bezpieczeństwa i raportowania.

Jakie przestępstwa hakerskie definiuje Kodeks karny?

Cyberprzestępczość nie jest odrębną ustawą, lecz zbiorem przestępstw w Kodeksie karnym. Maksymalne kary wymienione poniżej są określone przez prawo; ostateczną karę ustala sąd.

Wtargnięcie na teren komputera (artykuł 138ab Sr)

Wtargnięcie do systemu komputerowego (computervredebreuk) to celowe i bezprawne wtargnięcie do systemu zautomatyzowanego lub jego części. Wtargnięcie ma miejsce w każdym przypadku, gdy dostęp do niego uzyskano poprzez złamanie zabezpieczeń, ingerencję techniczną, użycie fałszywych sygnałów lub fałszywego klucza albo poprzez przywłaszczenie sobie fałszywej tożsamości. Maksymalna kara to dwa lata pozbawienia wolności lub grzywna czwartej kategorii.

Maksymalny okres karny wzrasta do czterech lat, jeśli intruz kopiuje, przechwytuje lub rejestruje dane z systemu (art. 138ab(2) sr). To samo dotyczy sytuacji, gdy włamanie odbywa się za pośrednictwem publicznej sieci telekomunikacyjnej, a intruz wykorzystuje moc obliczeniową systemu w celu osiągnięcia bezprawnego zysku lub przechodzi do systemu osoby trzeciej. Jeśli przestępstwo zostało popełnione na rzecz państwa obcego, maksymalny okres karny wzrasta o jedną trzecią.

Utrudnianie działania systemu (artykuł 138b ust. 1)

Ataki typu „odmowa usługi” podlegają przepisom artykułu 138b ust. 1 Kodeksu karnego: celowe i bezprawne utrudnianie dostępu do systemu lub korzystania z niego poprzez przesyłanie do niego danych. Maksymalny okres kar wynosi dwa lata, trzy lata w przypadku użycia botnetu lub w celu uzyskania bezprawnego zysku oraz pięć lat, jeśli atak powoduje poważne szkody lub jest skierowany na infrastrukturę o kluczowym znaczeniu.

Narzędzia do przechwytywania i hakowania (artykuły 139c–139e Sr)

Artykuł 139c Sr zabrania celowego i niezgodnego z prawem przechwytywania lub rejestrowania danych, które nie są dla Ciebie przeznaczone, za pomocą urządzeń technicznych, z maksymalnym okresem dwóch lat. Istnieją wyjątki, na przykład dla posiadacza połączenia (chyba że ewidentnie dopuścił się nadużycia) oraz w przypadku dochodzeń karnych lub na podstawie ustawy o służbach wywiadowczych i bezpieczeństwa z 2017 r.

Artykuł 139d Sr przewiduje karę za przygotowywanie: wytwarzanie, sprzedawanie lub posiadanie narzędzi przeznaczonych głównie do hakowania, przechwytywania lub ataków typu „odmowa usługi” (DDoS), a także haseł i kodów dostępu, z zamiarem popełnienia takiego przestępstwa. Maksymalna kara wynosi dwa lata, a w przypadku zaostrzonych form włamania komputerowego – cztery lata. Artykuł 139e Sr przewiduje karę sześciu miesięcy pozbawienia wolności za posiadanie lub ujawnianie bezprawnie przechwyconych danych.

Niszczenie danych i oprogramowanie wymuszające okup (artykuły 350a–350d Sr.)

Artykuł 350a Sr przewiduje karę za umyślną i niezgodną z prawem modyfikację, usunięcie lub uniemożliwienie dostępu do danych, do dwóch lat; zastosowanie mają również kary zaostrzające określone w artykule 138b Sr, zatem w przypadku ransomware, którego celem jest uzyskanie bezprawnego zysku, kara wynosi do trzech lat, a w przypadku poważnych szkód – do pięciu. Rozpowszechnianie złośliwego oprogramowania jest zagrożone karą do czterech lat, chyba że celem było ograniczenie wyrządzonych szkód.

Artykuł 350b Sr dotyczy wariantu zaniedbania, z maksymalnym okresem jednego miesiąca w przypadku wystąpienia poważnych szkód. Artykuł 350c Sr dotyczy umyślnego zniszczenia lub zakłócenia działania systemu, a artykuł 350d Sr dotyczy działań przygotowawczych z użyciem narzędzi lub kodów dostępu.

Gdzie przebiega granica między badaniami nad bezpieczeństwem a bezprawnym dostępem do komputera?

Testowanie cudzego systemu jest zgodne z prawem, ponieważ jest autoryzowane, a nie dlatego, że ma dobre intencje. Zgodnie z artykułem 138ab Sr, zgoda usuwa bezprawność tylko w zakresie objętym zgodą.

Test penetracyjny wymaga zatem pisemnego zadania określającego zakres systemów, okres, dozwolone i wykluczone techniki, sposób przetwarzania napotkanych danych oraz osoby, które są informowane. Jeśli systemy są hostowane przez podmiot zewnętrzny, dostawca również musi wyrazić zgodę, ponieważ klient nie może wyrazić zgody w jego imieniu.

Poza zleconym testem, wiele organizacji publikuje skoordynowaną politykę ujawniania luk w zabezpieczeniach. Taka polityka nie zapewnia immunitetu: o wszczęciu postępowania karnego decyduje Prokuratura Generalna (Openbaar Ministerie). Istotnymi czynnikami są: czy osoba, która znalazła lukę, działała w interesie publicznym, nie posunęła się dalej niż było to konieczne, nie skopiowała ani nie opublikowała danych oraz czy niezwłocznie zgłosiła to organizacji.

Pracownicy i byli pracownicy nie są zwolnieni z tego obowiązku. Prawa dostępu wygasają wraz z końcem kadencji; logowanie się przy użyciu starego konta lub hasła współpracownika jest równoznaczne z użyciem fałszywego klucza zgodnie z artykułem 138ab Sr.

Jakie przestępstwa można zakwalifikować jako oszustwa internetowe?

Większość przypadków cyfrowych zgłaszanych policji to oszustwa popełniane za pośrednictwem środków cyfrowych. Phishing, oszustwa związane z fakturami i fałszywe sklepy internetowe podlegają przepisom o oszustwie (oplichting) zgodnie z artykułem 326 Sr, z karą pozbawienia wolności do czterech lat. Wykorzystanie danych osobowych innej osoby w celu ukrycia lub nadużycia jej tożsamości stanowi odrębne przestępstwo zgodnie z artykułem 231b Sr, z karą pozbawienia wolności do pięciu lat.

Przepływ środków pieniężnych za pośrednictwem rachunków bankowych lub kryptoaktywów podlega karze prania pieniędzy zgodnie z artykułami 420bis do 420quater Sr; umyślne pranie pieniędzy podlega karze do sześciu lat. Dlatego osoby pożyczające swoje konta bankowe (tzw. muły finansowe) również podlegają karze. Publikowanie czyichś danych osobowych w celu zastraszenia (doxing) stanowi osobne przestępstwo zgodnie z artykułem 285d Sr, zagrożone karą do dwóch lat pozbawienia wolności. W naszym artykule na temat oszustw internetowych i phishingu wyjaśniono, jak udowodnić oszustwo cyfrowe.

Czego wymaga ustawa o cyberbezpieczeństwie od organizacji?

Ustawa o cyberbezpieczeństwie wdraża unijną dyrektywę NIS2 i obowiązuje od 15 sierpnia 2026 r. Nie karze ona atakujących, lecz nakłada na kluczowe i ważne podmioty obowiązki: udostępnianie swoich danych do krajowego rejestru, podejmowanie odpowiednich środków bezpieczeństwa i zgłaszanie istotnych incydentów.

Podmiot musi niezwłocznie powiadomić swój zespół CSIRT i właściwy organ, nie zwlekając, a w każdym razie w ciągu 24 godzin od momentu powzięcia informacji o poważnym incydencie (art. 26 ustawy o cyberbezpieczeństwie). Pełne powiadomienie zostanie wysłane w ciągu 72 godzin (art. 27). Wyjaśnienie, które organizacje są objęte tym obowiązkiem, znajduje się w naszym artykule na temat NIS2 i holenderskiej ustawy o cyberbezpieczeństwie.

Obowiązki te obowiązują równolegle z RODO. Incydent dotyczący danych osobowych stanowi naruszenie ochrony danych osobowych, które należy zgłosić bez zbędnej zwłoki holenderskiemu organowi ochrony danych (Autoriteit Persoonsgegevens), chyba że jest mało prawdopodobne, aby stanowiło ono zagrożenie dla osób, których dane dotyczą. Kwestia cywilna jest omówiona w naszym artykule na temat odpowiedzialności po naruszeniu ochrony danych.

Jakie uprawnienia śledcze ma policja?

Od czasu wejścia w życie Ustawy o Przestępstwach Komputerowych III (Wet computercriminaliteit III) w 2019 roku policja może zdalnie włamać się do systemu komputerowego używanego przez podejrzanego w przypadku poważnych przestępstw. Zgodnie z artykułem 126nba holenderskiego Kodeksu Postępowania Karnego (Sv) prokurator może nakazać to wyłącznie po uzyskaniu pisemnego upoważnienia od sędziego śledczego (rechter-commissaris).

Prokurator może nakazać osobie, co do której istnieje podejrzenie, że zna sposób szyfrowania danych, pomoc w ich odszyfrowaniu, ale zgodnie z artykułem 126nh(2) Sv, nakaz ten nie może zostać wydany podejrzanemu. Jako podejrzany zachowujesz prawo do milczenia oraz prawo do konsultacji z prawnikiem przed i w trakcie przesłuchania przez policję.

Ponieważ atakujący i ofiara często znajdują się w różnych krajach, współpraca międzynarodowa ma znaczenie. Holandia jest stroną Konwencji Rady Europy o cyberprzestępczości (Konwencji Budapeszteńskiej), korzysta z Europejskiego Nakazu Dochodzeniowego w UE i współpracuje z Europolem, Eurojustem i Interpolem.

Co możesz zrobić jako ofiara?

Złóż raport policyjny (aangifte) jako podstawę dochodzenia; nasz poradnik wyjaśnia, jak to zrobić. Zachowaj dowody przed ponowną instalacją systemów i natychmiast skontaktuj się z bankiem, jeśli płatności zostały przekierowane, ponieważ szybkie żądanie zwrotu jest często jedyną szansą na odzyskanie pieniędzy.

Możesz przystąpić do postępowania karnego jako strona poszkodowana (benadeelde partij) i dochodzić odszkodowania, pod warunkiem że roszczenie nie obciąży nadmiernie sprawy karnej. Większe lub sporne roszczenia trafiają do sądu cywilnego jako czyn bezprawny na podstawie art. 6:162 holenderskiego kodeksu cywilnego (BW). Postępowanie uproszczone (kort geding) może być wykorzystane do szybkiego usunięcia materiałów z sieci. Pierwsze kroki opisano w naszym artykule dla ofiar cyberataków.

Na co powinnaś zwrócić uwagę, będąc organizacją, która padła ofiarą ataku?

• Sprawdź, czy jesteś podmiotem niezbędnym lub ważnym w rozumieniu ustawy o cyberbezpieczeństwie i zanotuj 24-godzinne i 72-godzinne terminy składania sprawozdań.
• Sprawdź, czy doszło do naruszenia danych osobowych i czy należy zgłosić je do Urzędu Ochrony Danych Osobowych.
• Zabezpiecz pliki dziennika, zagrożone systemy, nagłówki wiadomości e-mail i harmonogram przed przywróceniem systemów.
• Poproś swój bank o wycofanie przekierowanych płatności tego samego dnia.
• Złóż raport na policję i zanotuj, którzy dostawcy lub usługodawcy byli zaangażowani w sprawę.

Na co powinieneś zwrócić uwagę jako podejrzany lub badacz ds. bezpieczeństwa?

• Sprawdź, czy posiadałeś pisemną zgodę obejmującą dokładne systemy, okres i zastosowane techniki.
• Sprawdź, czy dostawca hostingu lub inna osoba trzecia również wyraziła zgodę.
• Nie składaj zeznań na policji bez uprzedniej konsultacji z prawnikiem.
• Nie usuwaj danych ani urządzeń po dowiedzeniu się o prowadzonym dochodzeniu.
• Sprawdź, czy podatność została zgłoszona niezwłocznie i bez spełnienia warunków określonych w polityce ujawniania informacji obowiązującej w organizacji.

Co możemy dla Ciebie zrobić w związku z cyberprzestępczością i hakowaniem?

Nasi prawnicy specjalizujący się w cyberprzestępczości reprezentują organizacje, które padły ofiarą ataków, a także osoby i firmy objęte dochodzeniem.

• Oceniamy, czy dane zachowanie mieści się w ramach artykułów 138ab, 138b, 139c lub 350a Sr.
• Pomagamy Państwu podczas przesłuchania przez policję i w trakcie śledztwa karnego.
• W ciągu pierwszych 24 godzin sprawdzamy, czy wypełniasz obowiązki sprawozdawcze wynikające z ustawy o cyberbezpieczeństwie i rozporządzenia RODO.
• Sporządzamy raport policyjny i roszczenie jako strona poszkodowana.
• Wszczynamy postępowanie w trybie doraźnym, aby usunąć skradzione lub opublikowane dane.
• Przed rozpoczęciem pracy dokonujemy przeglądu zadań związanych z testami penetracyjnymi i polityk ujawniania luk w zabezpieczeniach.

Podsumowanie

• Wejście do systemu komputerowego bez pozwolenia stanowi naruszenie przepisów komputerowych w rozumieniu artykułu 138ab Sr. i może skutkować karą do dwóch lat pozbawienia wolności lub czterech lat w przypadku kopiowania danych.
• Ataki typu „odmowa usługi”, przechwytywanie, narzędzia hakerskie i oprogramowanie wymuszające okup stanowią odrębne przestępstwa określone w artykułach 138b, 139c-139e i 350a-350d Sr.
• Etyczne hakowanie jest dozwolone wyłącznie na podstawie pisemnego pozwolenia; polityka ujawniania informacji nie zapewnia immunitetu.
• Zgodnie z Ustawą o cyberbezpieczeństwie, poważne incydenty wymagają wczesnego ostrzeżenia w ciągu 24 godzin i powiadomienia w ciągu 72 godzin.

PYTANIA I ODPOWIEDZI