Nederland tekent het VN-cybercrimeverdrag: wat verandert er naast Boedapest?

Op 23 september 2026 ondertekende Nederland in New York het VN-Verdrag tegen cybercriminaliteit. Het verdrag werd op 24 december 2024 door de Algemene Vergadering aangenomen en lag in oktober 2025 open voor ondertekening in Hanoi, vandaar de bijnaam Hanoi Convention. Nederland tekende daar nog niet. Ambassadeur voor cyberzaken Ernst Noorman liet in Hanoi weten dat Nederland om administratieve redenen niet kon tekenen, maar dat op korte termijn alsnog zou doen. Bijna een jaar later is het zover. De tekst met Nederlandse vertaling is inmiddels gepubliceerd in Tractatenblad 2026, 115. Een goed moment om stil te staan bij de vraag wat dit verdrag toevoegt aan het Verdrag van Boedapest, dat al sinds 2001 de basis vormt voor de internationale aanpak van cybercrime.

Stand van zaken

Volgens de UN Treaty Collection hebben inmiddels 95 staten getekend, waaronder de Europese Unie en een groeiend aantal lidstaten. Ondertekening is mogelijk tot en met 31 december 2026. Partij zijn tot nu toe alleen Qatar, Azerbeidzjan en Vietnam. Het verdrag treedt in werking op de negentigste dag na de veertigste ratificatie, dus dat zal nog wel even duren. De Raad stelde op 4 juni 2026 het besluit tot sluiting namens de Unie vast. Omdat zowel de EU als de lidstaten bevoegdheden hebben op de terreinen van het verdrag, worden beide partij. Voor Nederland betekent ondertekening nog geen binding. Of en wanneer een goedkeuringswet volgt, is nog niet bekend.

Wat het verdrag regelt

Inhoudelijk leunt het verdrag sterk op Boedapest. Het bevat strafbaarstellingen van de klassieke cybercrimedelicten, zoals wederrechtelijke toegang, onderschepping, aantasting van gegevens en systemen, misbruik van apparatuur en ICT-fraude. Daarnaast regelt het enkele delicten die in Boedapest ontbreken, zoals grooming en de verspreiding van intieme beelden zonder toestemming, en witwassen. Het procedurele hoofdstuk kent bevoegdheden tot bevriezing van gegevens, verstrekkingsbevelen, doorzoeking en inbeslagname, het vergaren van verkeersgegevens in real time en de interceptie van inhoud.

Het meest besproken onderdeel is de reikwijdte van de samenwerking. Die beperkt zich niet tot cybercrime. Staten moeten elkaar ook helpen bij het verzamelen en delen van elektronisch bewijs van elk ernstig misdrijf, gedefinieerd als een feit met een strafmaximum van ten minste vier jaar. Daar tegenover staan waarborgen. Art. 6 bepaalt dat het verdrag in overeenstemming met internationaal mensenrechtenrecht moet worden uitgevoerd en niet mag worden uitgelegd als een vrijbrief voor het onderdrukken van mensenrechten. Art. 24 onderwerpt de bevoegdheden aan nationale waarborgen, waaronder evenredigheid en waar passend onafhankelijk toezicht. Een staat hoeft geen rechtshulp te verlenen als er substantiële gronden zijn om aan te nemen dat een verzoek is gericht op vervolging wegens bijvoorbeeld politieke overtuiging.

Kritiek

Die waarborgen overtuigen niet iedereen. In een gezamenlijke verklaring van negentien organisaties, waaronder Human Rights Watch, Access Now en Privacy International, staat dat het verdrag veel verder gaat dan het bestrijden van cybercrime. Het delen van bewijs voor elk ernstig misdrijf kan volgens hen ook protest, kritiek en klokkenluiden raken, de waarborgen zijn zwak en er is geen schorsingsmechanisme. Ook de techsector maakte zich al bij de onderhandelingen zorgen, met name over de bescherming van beveiligingsonderzoekers. Andere waarnemers wijzen er juist op dat het verdrag op het Boedapest-kader voortbouwt en daarmee verenigbaar is. Nederland benadrukte in Hanoi dat het een sterke verankering van mensenrechten belangrijk vond.

Boedapest en het Tweede Aanvullend Protocol

Wat het VN-verdrag niet doet, is een rechtstreeks grensoverschrijdend bevel aan providers mogelijk maken. Een verstrekkingsbevel kan alleen worden gericht aan een aanbieder die diensten verleent op het eigen grondgebied, en voor de rest blijft de route van rechtshulp en het 24/7-netwerk. Op dat punt gaat het Tweede Aanvullend Protocol bij het Verdrag van Boedapest verder: dat maakt het mogelijk om abonneegegevens rechtstreeks bij een provider in een andere verdragsstaat op te vragen. Voor inwerkingtreding zijn vijf ratificaties nodig. Met Costa Rica kwam het aantal in april 2026 op vier. Nederland tekende het op 12 mei 2022, maar heeft het nog niet geratificeerd. Volgens het kabinet moet het bij wet worden goedgekeurd zodra duidelijk is hoe het wordt uitgevoerd. Binnen de EU geldt bovendien sinds 18 augustus 2026 de e-Evidence-verordening, die voor het verkeer tussen lidstaten een eigen regime kent.

De praktijk krijgt dus te maken met een lappendeken van instrumenten. Welke route geldt voor een verzoek aan een provider in een staat die wel partij is bij het VN-verdrag maar niet bij Boedapest? En welke waarborgen gelden dan voor de verdachte in Nederland? Het VN-verdrag biedt in elk geval een rechtsgrondslag voor samenwerking met landen die buiten Boedapest staan. Of dat in de praktijk meer oplevert dan het kost, zal moeten blijken.

Verdieping in de Specialisatieopleiding Cybercrime

Het Cybercrimeverdrag en rechtshulp, rechtsmacht bij cybercrime en de toekomstige wetgeving voor internationale opsporing staan centraal in bijeenkomst 5 van de Specialisatieopleiding Cybercrime 2027, op 5 november 2027. Jan-Jaap Oerlemans, universitair docent strafrecht aan de Universiteit Leiden, behandelt het juridisch kader van jurisdictie en grensoverschrijdende digitale opsporing, inclusief de verhouding tussen Boedapest, het VN-verdrag en het e-Evidence-pakket. Marc van der Ham, postdoctoraal onderzoeker bij het Tilburg Institute for Law, Technology and Society en voorheen werkzaam bij het OM, laat zien hoe internationale samenwerking bij cybercrime-operaties in de praktijk verloopt en waar die vastloopt. De opleiding bestaat uit zes bijeenkomsten, fysiek in Den Haag, live online of achteraf terug te kijken. Bij aanmelding vóór 10 januari 2027 geldt het early bird-tarief. Meer informatie en inschrijven via de opleidingspagina.