Strategische Reflectie "Grip op digitale dreiging": Tilburg University publiceert analyse over opsporing en vervolging van cybercrime

Tilburg University heeft de Strategische Reflectie Grip op digitale dreiging: De opsporing en vervolging van cybercrime gepubliceerd, geschreven door onderzoeker Marc van der Ham en verschenen als vierde deel in de reeks van het project CoSPIRIT. De publicatie onderzoekt hoe de politie en het Openbaar Ministerie hun positie kunnen versterken bij de opsporing en vervolging van cybercrime waarbij computersystemen zelf het doelwit zijn, door de auteur aangeduid als target-cybercrime. Juridisch draait de reflectie om drie vragen: op welke grondslag overheid en bedrijfsleven operationele gegevens mogen delen, of een wettelijke meldplicht en een identificatieplicht voor hostingdiensten binnen de grondrechtelijke kaders passen, en hoe het Europese e-evidence-pakket zich verhoudt tot de rechtsbescherming van verdachten en andere betrokkenen. Als feitelijke achtergrond schetst de reflectie dat de dreigingsinformatie, de detectiecapaciteit en de infrastructuurkennis die de opsporing nodig heeft grotendeels bij private partijen berusten, terwijl digitaal bewijs vluchtig is en zich vaak bij een partij in het buitenland bevindt. De reflectie werd gepresenteerd rond het symposium Cybercrime in transition dat CoSPIRIT op 28 september 2026 in Den Haag organiseerde. Deze blog zet de beleidsontwikkelingen, de wetenschappelijke inzichten en de strategische aandachtspunten uit de publicatie op een rij.

De publicatie en haar vertrekpunt

Strategische Reflecties zijn volgens de toelichting van CoSPIRIT compacte publicaties waarin wetenschappelijke inzichten worden vertaald naar aandachtspunten voor beleid, gericht aan beleidsmakers, politici en wetgevingsjuristen. De auteur is verbonden aan het Tilburg Institute for Law, Technology, and Society en als buitenpromovendus aan eLaw van de Universiteit Leiden, waar hij promoveert op een proefschrift over de rol van IT-infrastructuurbedrijven bij de opsporing en vervolging van ontwrichtende cybercrime. Tussen 2017 en 2024 bekleedde hij verschillende juridische en leidinggevende functies binnen het Openbaar Ministerie. De publicatie bevat een AI-verklaring waarin wordt toegelicht dat generatieve kunstmatige intelligentie uitsluitend is ingezet voor redactionele en structurele ondersteuning, en dat de analyses en aandachtspunten van de auteur zelf zijn.

Het vertrekpunt is scherp afgebakend. De reflectie onderscheidt target-cybercrime, waarbij het ICT-systeem zelf het doelwit is, van tool-cybercrime, waarbij ICT een hulpmiddel is bij een klassiek delict. Binnen die eerste categorie benoemt de auteur ontwrichtende cybercrime als zwaarste verschijningsvorm: aanvallen die de digitale infrastructuur raken en daarmee het maatschappelijk functioneren kunnen verstoren. Als illustratie wijst de reflectie op de aanval met gijzelsoftware op een Nederlands medisch laboratorium in augustus 2025, waarna bijna een miljoen mensen moesten worden geïnformeerd dat hun gegevens mogelijk waren gestolen. Van alle vormen van cybercrime wordt target-cybercrime volgens de publicatie het minst vaak vervolgd, onder meer door een tekort aan incidentinformatie, anonimiseringstechnieken, vluchtige digitale sporen en trage internationale samenwerking. De reflectie wijst er daarnaast op dat cyber een containerbegrip is geworden waarachter uiteenlopende juridische kaders en verantwoordelijkheidsverdelingen schuilgaan, met het risico van een handhavingsvacuüm.

Publiek-private samenwerking zonder eigen wettelijke grondslag

De eerste beleidsontwikkeling betreft de institutionalisering van publiek-private samenwerking. In de nationale aanpak van ransomware noemt de reflectie Project Melissa, waarin politie, Openbaar Ministerie, het Nationaal Cyber Security Centrum en private partijen technische kenmerken van aanvallen delen, zoals kwaadaardige IP-adressen, cryptovaluta-adressen en malware-hashes. Uit dat samenwerkingsverband blijkt volgens de publicatie dat zich in 2024 ten minste 121 ransomware-incidenten in Nederland voordeden, tegenover ongeveer 147 in 2023. De minister van Justitie en Veiligheid schaalt deze samenwerking op in het Programma Cyclotron, zoals beschreven in de Kamerbrief over de voortgang van de integrale aanpak cybercrime.

Het juridische knelpunt dat de reflectie signaleert, is wat zij een grondslagenasymmetrie noemt. Bij gebrek aan een passend wettelijk kader steunen zowel het convenant Melissa uit november 2023 als het convenant Cyclotron uit oktober 2025 op de Algemene verordening gegevensbescherming en de Wet politiegegevens. De publieke partijen verwerken op grond van hun eigen wettelijke taak, terwijl de private partijen uitsluitend kunnen delen op grond van een gerechtvaardigd belang in de zin van artikel 6 lid 1 sub f van de Algemene verordening gegevensbescherming, een open norm die per verstrekking een eigen afweging vergt en achteraf kan worden betwist. Voor incidentele deling volstaat dat volgens de auteur, maar als fundament voor structurele samenwerking met de opsporing acht hij die grondslag kwetsbaar. De reflectie vermeldt bovendien dat de politie en het Openbaar Ministerie nog niet onbelemmerd aan de gezamenlijke analyses kunnen deelnemen en dat de deelnemende partijen en experts daarvoor aanvullende wetswijzigingen nodig achten; het Openbaar Ministerie heeft het convenant Cyclotron niet ondertekend.

De Wet gegevensverwerking door samenwerkingsverbanden biedt sinds juli 2025 voor vier aangewezen samenwerkingsverbanden een algemeen wettelijk kader voor gegevensuitwisseling, waaronder het Financieel Expertisecentrum. Die vier verbanden zijn niet op cybercrime gericht. De reflectie werpt de vraag op of een specifiek op de opsporing van cybercrime gericht verband zich voor opname zou lenen, en tekent daarbij aan dat de wet zelf omstreden is: zowel vanuit de wetenschap als vanuit de Autoriteit Persoonsgegevens is kritiek geuit op onder meer de doelbinding, de transparantie en de dataminimalisatie. Daarnaast wijst de auteur erop dat zulke verbanden geen eigen opsporingsbevoegdheden krijgen en dat de wet de verdedigingsrechten en de rechtsbescherming van de verdachte niet specifiek adresseert.

Een meldplicht richting de opsporing

De Europese Commissie heeft op 20 januari 2026 een voorstel gedaan tot wijziging van Richtlijn (EU) 2022/2555, de NIS2-richtlijn, met het oog op een geharmoniseerde rapportage van ransomware-gegevens. Het voorstel kiest volgens de reflectie een gelaagde benadering: getroffen entiteiten melden standaard een beperkte set gegevens, terwijl gevoeliger informatie over een losgeldeis en de betaling daarvan uitsluitend op gericht verzoek van de autoriteiten wordt gedeeld. De melding blijft gericht aan een Computer Security Incident Response Team, in Nederland het Nationaal Cyber Security Centrum, en dus niet aan de politie of het Openbaar Ministerie. Het kabinet heeft volgens de publicatie met enkele kanttekeningen overwegend positief gereageerd.

Voor een wettelijke meldplicht richting de opsporing benoemt de reflectie drie bepalende keuzes. De eerste betreft de reikwijdte: een algemene meldplicht voor alle cybercrime-incidenten zou volgens de auteur de proportionaliteitstoets niet doorstaan, zodat alleen een strikte afbakening tot ontwrichtende cybercrime en tot bedrijven met een kernpositie in de Nederlandse internetinfrastructuur in beeld komt. De tweede betreft de toetsing aan de grondrechten, waarbij de inbreuk zich volgens de reflectie pas voordoet wanneer te delen gegevens herleidbaar zijn tot personen, en waarbij de grootste kwetsbaarheid niet bij verdachten ligt maar bij de bonafide gebruikers en klanten van de betrokken bedrijven. Omdat gemelde gegevens later als bewijs kunnen dienen, moeten herkomst, integriteit en verwerking controleerbaar en betwistbaar blijven voor de verdediging, mede met het oog op de gelijke procespositie van verdediging en Openbaar Ministerie. De derde keuze betreft de wettelijke verankering: volgens de auteur kan een meldplicht haar rechtsstatelijke waarborgen alleen dragen wanneer zij op wetsniveau is vastgelegd, met onafhankelijk toezicht, en niet via gedelegeerde regelgeving of bestuurlijke richtsnoeren.

Hosting, resellers en een identificatieplicht naar het model van de Wwft

De tweede beleidsontwikkeling betreft kwaadwillende of onverantwoordelijke hostingdienstverlening. De reflectie onderscheidt bulletproof hosters, die bewust criminaliteit faciliteren en juridische bevelen negeren, van bad hosters, die als onwetende of nalatige aanbieders te weinig preventieve maatregelen nemen. Dat strafrechtelijk optreden mogelijk is, illustreert de publicatie met een onderzoek naar een malafide hoster dat in november 2025 leidde tot inbeslagname van ruim 250 fysieke en daarmee duizenden virtuele servers; die aanbieder kwam sinds 2022 in meer dan tachtig cybercrime-onderzoeken voor. Tegelijk wijst de reflectie erop dat dergelijke onderzoeken maanden tot jaren duren, terwijl de meeste gevallen directe interventie vereisen.

Anders dan de financiële sector, die via de Wet ter voorkoming van witwassen en financieren van terrorisme aan strikte identificatieplichten is gebonden, kent de hostingsector die niet. Het beleidsdebat richt zich daarom op een know your customer-verplichting voor aanbieders van hostingdiensten. De reflectie ziet dogmatische parallellen met het cliëntenonderzoek onder de Wwft, maar tekent aan dat voor de financiële sector een ander Europeesrechtelijk kader geldt: door de maximumharmonisatie van de Digital Services Act, in het Nederlands de digitaledienstenverordening, kunnen nationaal geen algemene aanvullende zorgvuldigheidsplichten aan tussenhandeldiensten worden opgelegd. Daarnaast signaleert de minister een waterbedeffect, omdat een louter nationale plicht malafide aanbieders kan doen uitwijken naar lidstaten met een lichter regime. In de begroting van het ministerie van Justitie en Veiligheid voor 2027 staat dat het kabinet de problematiek van bad hosting op Europees niveau agendeert, onder meer via een verplicht know your customer-beleid.

Een tweede spoor is de resellerproblematiek, waarbij doorverkopers capaciteit inkopen bij een datacenter of hoofdprovider en deze via whitelabel-schakels anoniem doorverhuren. Doorverhuren van hostingruimte is niet verboden, en hoofdproviders weten vaak niet wie de feitelijke eindgebruiker is. De politie verspreidt daarom een jaarlijkse resellerbrief aan marktpartijen, een instrument dat volgens de reflectie vooral effect sorteert bij bonafide aanbieders omdat het op vrijwillige naleving leunt. Achterliggend speelt wat de auteur loss of location noemt: door softwarematig gedefinieerde netwerken en virtualisatie kan de opsporing vaak noch de fysieke plaats van servers en gegevens, noch de identiteit van degene die er controle over uitoefent achterhalen.

Bewaring en analyse op bevel

Een identificatieplicht veronderstelt volgens de reflectie het bewaren van klantgegevens, want identificatie die niet wordt vastgelegd levert de opsporing geen aanknopingspunten op. De auteur benadrukt dat zo'n impliciete bewaarplicht naar aard verschilt van een algemene bewaarplicht, omdat zij uitsluitend ziet op de gegevens die nodig zijn om serverruimte te herleiden tot een identificeerbare natuurlijke persoon of rechtspersoon, en niet op dataverkeer, locatie of inhoud van communicatie. Dat onderscheid is in de rechtspraak bepalend: het Hof van Justitie van de Europese Unie heeft algemene en ongedifferentieerde dataretentie onverenigbaar geacht met het recht op privacy en gegevensbescherming, terwijl voor gebruikersgegevens meer ruimte bestaat dan voor verkeers- en locatiegegevens. In Nederland ontbreekt sinds het buiten werking stellen van de Wet bewaarplicht telecommunicatiegegevens in 2015 een algemene bewaarplicht, en de wetgever heeft een eventuele nieuwe verplichting willen beperken tot abonneegegevens.

Daarnaast bespreekt de reflectie een zwaardere, incidentele laag. Bij een incident van ontwrichtende cybercrime of een concrete dreiging daarvan zou een officier van justitie een aanbieder gericht kunnen bevelen bepaalde gegevens te bewaren die buiten de reguliere identificatiegegevens vallen, met voorafgaande toetsing door de rechter-commissaris. Die bevelsgebonden bewaarplicht sluit volgens de auteur aan bij de quick freeze-benadering die in de rechtspraak als toelaatbaar alternatief voor generieke bewaring is aangemerkt. In het verlengde daarvan is een analyseverplichting geopperd, waarbij de aanbieder bewaarde gegevens op verzoek bewerkt of doorzoekt, aansluitend bij de bevoegdheid in het nieuwe Wetboek van Strafvordering om een derde te bevelen gegevens te bewerken en het resultaat te verstrekken. De reflectie wijst erop dat bewerking niet louter vaststaande gegevens ontsluit, maar nieuwe gegevens en inzichten oplevert, en dat de normering van die analysebevoegdheid in de literatuur nog als onderbelicht wordt beschouwd.

Grensoverschrijdend bewijs en de grenzen van wederzijds vertrouwen

De derde beleidsontwikkeling betreft de grensoverschrijdende verkrijging van digitaal bewijs. Verordening (EU) 2023/1543 over Europese verstrekkings- en bewaringsbevelen voor elektronisch bewijsmateriaal is per 18 augustus 2026 van toepassing en stelt justitiële autoriteiten in staat bevelen rechtstreeks te richten tot aanbieders in andere lidstaten, via de door hen aangewezen wettelijke vertegenwoordigers. De aanbieder verricht daarbij een eerste, marginale controle van het certificaat en kan een bevel slechts op een beperkt aantal gronden weigeren. In de literatuur wordt volgens de reflectie de vraag opgeworpen of aanbieders die controle in de praktijk daadwerkelijk zullen uitvoeren, mede gezien de sancties bij niet-naleving, en of die marginale rol zich verhoudt tot hun eigen verplichtingen onder de Algemene verordening gegevensbescherming.

De reflectie noemt verder twee knelpunten in de Nederlandse uitvoering. Door vertragingen in de Europese IT-specificaties voor een decentraal uitwisselingssysteem kan Nederland zijn beoogde nationale systeem niet tijdig realiseren, waardoor de toezichthouder op de richtlijn voorlopig moet afzien van handhaving. Daarnaast legt de parlementaire behandeling zorgen bloot over het passeren van traditionele soevereiniteitswaarborgen, omdat buitenlandse autoriteiten voortaan rechtstreeks data kunnen vorderen zonder standaard voorafgaande toetsing door een Nederlandse autoriteit of rechter. Bij het notificatiemechanisme signaleert de auteur dat niet de lidstaat waar de betrokkene verblijft wordt genotificeerd, maar de lidstaat waar de aanbieder een wettelijke vertegenwoordiger heeft aangewezen, een staat die met de zaak vaak slechts een zwakke band heeft.

Tot slot wijst de reflectie op een leemte in de rechtsbescherming. Het Nederlandse stelsel kent volgens de aangehaalde literatuur een scherpe scheiding tussen het verzamelen van gegevens, genormeerd door het Wetboek van Strafvordering, en de verdere verwerking en analyse daarvan, genormeerd door de Wet politiegegevens, terwijl juist die analysefase nog nauwelijks concreet is genormeerd. Omdat zaken over target-cybercrime vrijwel nooit op zitting komen, blijft rechterlijke toetsing achteraf volgens de auteur feitelijk uit.

Kunstmatige intelligentie in de strafrechtketen

Het laatste aandachtspunt betreft de inzet van kunstmatige intelligentie. De reflectie beschrijft dat AI niet per se een nieuw type criminaliteit introduceert, maar voortbouwt op en versnelt wat daders al deden, zoals afpersing met versleutelingssoftware en het buitmaken van klantgegevens. Aan de kant van de opsporing verandert AI het werk van analyse van grote datasets tot systemen die patronen herkennen en beslissingen ondersteunen, met doorwerking bij het Openbaar Ministerie dat op basis van deels geautomatiseerde analyses vervolgingsbeslissingen neemt, en bij de rechter die de uitkomsten daarvan moet kunnen toetsen. Naarmate modellen complexer en meer zelflerend worden, wordt het volgens de auteur moeilijker de uitkomsten uit te leggen en te controleren, terwijl transparantie en controleerbaarheid voorwaarden zijn voor een deugdelijke motivering en voor een eerlijk proces. Hij beveelt aan de inzet van AI tijdig van een passend normenkader te voorzien en de verantwoordelijkheid van het Openbaar Ministerie te borgen om de verdediging in staat te stellen AI-gedreven bewijs te onderzoeken en te betwisten.

De vijf strategische aandachtspunten

De reflectie sluit af met vijf aandachtspunten, gericht aan de wetgever en het beleid. Het eerste is dat ransomware-incidenten ook richting de opsporing worden gemeld, waarbij de doorstroom van informatie naar politie en Openbaar Ministerie wordt omkleed met strikte doelbinding, een heldere grondslag en effectieve rechtsbescherming voor de getroffen organisaties. Het tweede is de wettelijke verankering van identificatie- en bewaarverplichtingen voor hostingaanbieders en resellers, bij voorkeur langs Europese weg, waarbij de auteur aantekent dat een verplichting die slechts een deel van de sector bindt het probleem verplaatst naar niet-gereguleerde aanbieders. Het derde betreft het benutten van Europol en Eurojust om de internationale samenwerking te versnellen en te standaardiseren, met heldere waarborgen tegen misbruik van bevoegdheden en tegen te ruime gegevensdeling. Het vierde is een gedifferentieerde aanpak per type cybercrime, met een scherpere afbakening tussen de rechtshandhavingsketen en de inlichtingen- en veiligheidsdiensten en een visie op de houdbaarheid van de strafrechtelijke aanpak van ontwrichtende cybercrime. Het vijfde is het normenkader voor kunstmatige intelligentie in de strafrechtketen.

Afsluiting

De Strategische Reflectie Grip op digitale dreiging is de vierde uitgave in de reeks van het project CoSPIRIT van het Tilburg Institute for Law, Technology, and Society. De publicatie beschrijft drie beleidsontwikkelingen rond de opsporing en vervolging van target-cybercrime, draagt wetenschappelijke inzichten aan over de grondslagen voor gegevensdeling, een meldplicht, een identificatie- en bewaarplicht in de hostingsector en de grensoverschrijdende bewijsvergaring, en formuleert vijf aandachtspunten voor wetgever en beleid. Het voorstel van de Europese Commissie van 20 januari 2026 tot wijziging van de NIS2-richtlijn ligt nog voor; de implementatie van het e-evidence-pakket loopt, en de wetgeving die identificatie- en bewaarverplichtingen voor hostingaanbieders zou verankeren bestaat nog niet. De aanbevelingen in de reflectie richten zich op die toekomstige besluitvorming; parlementaire behandeling daarvan moet nog plaatsvinden.

Klik hier voor de volledige Strategische Reflectie Grip op digitale dreiging.