Hakovanje i sajber kriminal u Holandiji: šta zakon zabranjuje

Hakovanje je krivično djelo u Holandiji: prema članu 138ab holandskog Krivičnog zakona (Sr), namjerni i nezakoniti ulazak u računarski sistem je upad u računarski sistem, kažnjiv zatvorom do dvije godine, čak i ako ništa nije kopirano ili oštećeno. Izuzetak je pristup uz dozvolu: test penetracije unutar pismenog zadatka nije nezakonit, ali holandski zakon nema opšte izuzeće za dobronamjerne "etičke" hakere.

Povezana krivična djela obuhvataju napade uskraćivanjem usluge (Član 138b Sr), presretanje (Članovi 139c do 139e Sr) i nanošenje štete podacima, uključujući ransomware (Članovi 350a do 350d Sr). Odvojeno, Zakon o sajber sigurnosti (Cyberbeveiligingswet), koji je na snazi ​​od 15. augusta 2026. godine, nameće organizacijama dužnosti sigurnosti i izvještavanja.

Koja krivična djela hakovanja su definirana Krivičnim zakonikom?

Kibernetički kriminal nije zaseban zakon, već skup krivičnih djela u Krivičnom zakoniku. Maksimalne kazne navedene u nastavku propisane su zakonom; sud određuje stvarnu kaznu.

Neovlašteni pristup računaru (Član 138ab Sr)

Upad na računar (computervredebreuk) je namjeran i nezakonit ulazak u automatizovani sistem ili njegov dio. Ulazak postoji u svakom slučaju ako se pristup ostvari probijanjem sigurnosne mjere, tehničkom intervencijom, lažnim signalima ili lažnim ključem ili preuzimanjem lažnog identiteta. Maksimalna kazna je dvije godine zatvora ili novčana kazna četvrte kategorije.

Maksimalna kazna se povećava na četiri godine ako uljez potom kopira, presreće ili snima podatke iz sistema (Član 138ab(2) Sr). Isto važi i ako se upad odvija kroz javnu telekomunikacijsku mrežu i uljez koristi kapacitet obrade sistema za nezakonitu dobit ili pređe na sistem treće strane. Ako je krivično djelo počinjeno za stranu silu, maksimalna kazna se povećava za jednu trećinu.

Ometanje sistema (Član 138b Sr)

Napadi uskraćivanja usluge spadaju pod Član 138b Sr: namjerno i nezakonito ometanje pristupa ili korištenja sistema slanjem podataka na njega. Maksimalna kazna je dvije godine, tri godine ako se koristi botnet ili je cilj nezakonita dobit, a pet godina ako napad uzrokuje ozbiljnu štetu ili cilja vitalnu infrastrukturu.

Alati za presretanje i hakovanje (članovi 139c do 139e Sr)

Član 139c Sr zabranjuje namjerno i nezakonito presretanje ili snimanje podataka koji nisu namijenjeni vama tehničkim uređajem, s maksimalnim trajanjem od dvije godine. Postoje izuzeci, na primjer za nosioca veze (osim ako se ne radi o očiglednoj zloupotrebi) i za krivične istrage ili Zakon o obavještajnim i sigurnosnim službama iz 2017. godine.

Član 139d Sr kažnjava pripremu: izradu, prodaju ili posjedovanje alata dizajniranih uglavnom za hakovanje, presretanje ili napade uskraćivanjem usluge, ili lozinki i pristupnih kodova, s namjerom izvršenja takvog krivičnog djela. Maksimalna kazna je dvije godine, odnosno četiri godine ako se namjera odnosi na teže oblike upada u računar. Član 139e Sr kažnjava posjedovanje ili otkrivanje nezakonito presretnutih podataka, s maksimalnom kaznom od šest mjeseci.

Oštećenje podataka i ransomware (članovi 350a do 350d Sr)

Član 350a Sr kažnjava namjerno i nezakonito mijenjanje, brisanje ili onemogućavanje pristupa podacima, s maksimalnom kaznom od dvije godine; primjenjuju se otežavajuće okolnosti iz člana 138b Sr, tako da ransomware usmjeren na nezakonitu dobit kažnjava se do tri godine, a ozbiljna šteta do pet godina. Distribucija zlonamjernog softvera kažnjava se do četiri godine, osim ako cilj nije bio ograničavanje štete koju uzrokuje.

Član 350b Sr je varijanta koja se odnosi na nemar, s maksimalnim trajanjem od jednog mjeseca ako nastane ozbiljna šteta. Član 350c Sr pokriva namjerno uništavanje ili ometanje sistema, a član 350d Sr pokriva pripremne radnje s alatima ili pristupnim kodovima.

Gdje je granica između istraživanja sigurnosti i upada u računar?

Testiranje tuđeg sistema je zakonito jer je odobreno, a ne zato što je dobronamjerno. Prema članu 138ab Sr, saglasnost uklanja nezakonitost samo u mjeri u kojoj saglasnost doseže.

Stoga je za test penetracije potreban pisani zadatak u kojem se navode sistemi koji su obuhvaćeni, period, dozvoljene i isključene tehnike, kako se rukuje pronađenim podacima i ko je obavještavan. Ako sisteme hostuje treća strana, taj provajder također mora dati saglasnost, jer klijent ne može dati saglasnost u njegovo ime.

Izvan naručenog testa, mnoge organizacije objavljuju koordiniranu politiku otkrivanja ranjivosti. Takva politika ne stvara imunitet: Javno tužilaštvo (Openbaar Ministerie) i dalje odlučuje hoće li pokrenuti krivični postupak. Relevantni faktori su da li je pronalazač djelovao u javnom interesu, da li je otišao dalje nego što je potrebno, da li nije kopirao ili objavio podatke i da li je odmah prijavio organizaciji.

Zaposleni i bivši zaposleni nisu izuzeti. Prava pristupa prestaju kada se završi uloga; prijavljivanje sa starim računom ili lozinkom kolege je ulazak sa lažnim ključem prema članu 138ab Sr.

Koja krivična djela se odnose na online prevaru?

Većina digitalnih slučajeva prijavljenih policiji su prevare počinjene digitalnim sredstvima. Phishing, prevare s fakturama i lažne web trgovine spadaju pod prevaru (oplichting) prema članu 326 Sr, s maksimalnom kaznom od četiri godine. Korištenje ličnih podataka druge osobe za prikrivanje ili zloupotrebu identiteta je zasebno krivično djelo prema članu 231b Sr, s maksimalnom kaznom od pet godina.

Prebacivanje prihoda putem bankovnih računa ili kripto-imovine predstavlja krivično djelo pranja novca iz članova 420bis do 420quater Sr; namjerno pranje novca kažnjava se do šest godina. Zbog toga se krivično gone i osobe koje posuđuju svoj bankovni račun (novčane mazge). Objavljivanje nečijih ličnih podataka radi zastrašivanja (doxing) je zasebno krivično djelo prema članu 285d Sr, s maksimalnom kaznom od dvije godine. Kako se dokazuje digitalna obmana objašnjeno je u našem članku o online prevarama i phishingu.

Šta Zakon o sajber sigurnosti zahtijeva od organizacija?

Zakon o kibernetičkoj sigurnosti implementira Direktivu EU o NIS2 i primjenjuje se od 15. augusta 2026. godine. Ne kažnjava napadače, ali nameće dužnosti bitnim i važnim subjektima: dostavljanje svojih podataka nacionalnom registru, poduzimanje odgovarajućih sigurnosnih mjera i prijavljivanje značajnih incidenata.

Subjekt mora dati rano upozorenje svom CSIRT-u i svom nadležnom organu bez nepotrebnog odlaganja, a u svakom slučaju u roku od 24 sata od saznanja o značajnom incidentu (Član 26. Zakona o kibernetičkoj sigurnosti). Potpunija obavijest slijedi u roku od 72 sata (Član 27.). Koje su organizacije obuhvaćene objašnjeno je u našem članku o NIS2 i holandskom Zakonu o kibernetičkoj sigurnosti.

Ove dužnosti primjenjuju se uz GDPR. Incident koji uključuje lične podatke je kršenje ličnih podataka koje se mora bez nepotrebnog odlaganja prijaviti holandskoj Agenciji za zaštitu podataka (Autoriteit Persoonsgegevens), osim ako je malo vjerovatno da će predstavljati rizik za dotične pojedince. Građanskopravna strana se razmatra u našem članku o odgovornosti nakon kršenja podataka.

Koja istražna ovlaštenja ima policija?

Od stupanja na snagu Zakona o kompjuterskom kriminalu III (Wet computercriminaliteit III) 2019. godine, policija može daljinski ući u kompjuterski sistem koji koristi osumnjičeni, za teška krivična djela. Prema članu 126nba holandskog Zakona o krivičnom postupku (Sv), javni tužilac može to narediti samo uz pismeno odobrenje istražnog sudije (rechter-commissaris).

Javni tužilac može naložiti osobi za koju se vjeruje da zna kako su podaci šifrirani da pomogne u njihovom dešifriranju, ali prema članu 126nh(2) Sv, taj nalog se ne može dati osumnjičenom. Kao osumnjičeni, zadržavate pravo da šutite i pravo da se konsultujete sa advokatom prije i tokom policijskog ispitivanja.

Budući da se napadač i žrtva često nalaze u različitim zemljama, međunarodna saradnja je važna. Holandija je stranka Konvencije Vijeća Evrope o sajber kriminalu (Budimpeštanska konvencija), koristi Evropski istražni nalog unutar EU i sarađuje s Europolom, Eurojustom i Interpolom.

Šta možete učiniti kao žrtva?

Podnesite policijski izvještaj (aangifte) kao osnovu za istragu; naš vodič za podnošenje policijskog izvještaja objašnjava kako. Sačuvajte dokaze prije ponovne instalacije sistema i odmah kontaktirajte svoju banku ako su plaćanja preusmjerena, jer je brzi zahtjev za opoziv često jedina šansa za povrat novca.

Možete se pridružiti krivičnom postupku kao oštećena strana (benadeelde partij) i tamo tražiti naknadu štete, pod uslovom da zahtjev ne opterećuje previše krivični slučaj. Veći ili osporeni zahtjevi idu na građanski sud kao nezakonito djelo prema članu 6:162 holandskog građanskog zakonika (BW). Skraćeni postupak (kort geding) može se koristiti za brzo uklanjanje materijala s mreže. Prvi koraci su navedeni u našem članku za žrtve sajber napada.

Šta biste trebali provjeriti kao organizacija koja je napadnuta?

• Provjerite jeste li bitan ili važan entitet prema Zakonu o kibernetičkoj sigurnosti i zabilježite rokove za izvještavanje od 24 i 72 sata.
• Provjerite da li su u pitanju lični podaci i da li se povreda mora prijaviti Agenciji za zaštitu ličnih podataka.
• Osigurajte datoteke zapisnika, pogođene sisteme, zaglavlja e-pošte i vremensku liniju prije vraćanja sistema u prvobitno stanje.
• Zatražite od svoje banke da opozove preusmjerene uplate istog dana.
• Podnesite policijski izvještaj i zabilježite koji su dobavljači ili pružatelji usluga bili uključeni.

Šta biste trebali provjeriti kao osumnjičeni ili sigurnosni istraživač?

• Provjerite da li ste imali pismenu dozvolu koja pokriva tačne sisteme, period i korištene tehnike.
• Provjerite da li je i provajder hostinga ili neka treća strana morala dati saglasnost.
• Ne dajte izjavu policiji prije nego što se konsultujete sa advokatom.
• Ne brišite podatke ili uređaje nakon što saznate za istragu.
• Provjerite da li je ranjivost prijavljena odmah i bez ikakvih uslova u skladu sa politikom otkrivanja informacija organizacije.

Šta možemo učiniti za vas u vezi sa sajber kriminalom i hakovanjem?

Naši advokati za sajber kriminal zastupaju organizacije koje su napadnute, kao i pojedince i kompanije pod istragom.

• Procjenjujemo da li ponašanje spada pod članove 138ab, 138b, 139c ili 350a Sr.
• Pomažemo vam tokom policijskog ispitivanja i tokom cijele kriminalističke istrage.
• Provjeravamo vaše obaveze izvještavanja prema Zakonu o kibernetičkoj sigurnosti i GDPR-u u prvih 24 sata.
• Sastavljamo policijski izvještaj i tužbu kao oštećena strana.
• Pokrećemo skraćeni postupak za uklanjanje ukradenih ili objavljenih podataka s mreže.
• Prije početka rada pregledavamo zadatke testiranja penetracije i politike otkrivanja ranjivosti.

rezime

• Ulazak u računarski sistem bez dozvole je prekršaj računarskog pristupa prema članu 138ab Sr, sa kaznom do dvije godine, ili četiri godine ako se podaci kopiraju.
• Napadi uskraćivanja usluge, presretanje, alati za hakovanje i ransomware su zasebna krivična djela u članovima 138b, 139c-139e i 350a-350d Sr.
• Etičko hakovanje je zakonito samo uz pismenu dozvolu; politika otkrivanja podataka ne daje imunitet.
• Prema Zakonu o sajber sigurnosti, značajni incidenti zahtijevaju rano upozorenje u roku od 24 sata i obavještenje u roku od 72 sata.

Često Postavljena Pitanja