Av Tom Meevis, advokat på Law & More
Cyberattacker som ransomware, phishing, DDoS-attacker och dataintrång drabbar sällan bara den attackerade organisationen. Bland offer för cyberattacker finns även kunder, anställda, patienter, leverantörer och andra partners i leveranskedjan som kan drabbas av förlust, och deras rättsliga ställning skiljer sig åt från grupp till grupp. Den som efter en attack försöker fastställa vilka skyldigheter som gäller och vilka anspråk som föreligger gör därför klokt i att först fastställa exakt vem som har drabbats och vilken skada som har uppstått.
Denna artikel tar i sin tur upp vem som kvalificerar som offer, när ett dataintrång måste anmälas, under vilka villkor rätt till ersättning föreligger, vilka parter som kan vara ansvariga, vilken roll straffrätten spelar, vad en cyberförsäkring vanligtvis täcker och vilka åtgärder som bör vidtas omedelbart efter en attack.
Vilka är offer för cyberattacker?
Tre grupper kan urskiljas vid en cyberattack.
- Den drabbade organisationen själv, som drabbas av systemavbrott, förlorad omsättning, återhämtningskostnader, kostnader för forensisk utredning och anseendeskada.
- Fysiska personer vars personuppgifter har exponerats, såsom kunder, anställda och patienter. De kan drabbas av ekonomisk förlust, men även ideell skada genom förlust av kontroll över sina uppgifter, osäkerhet eller rädsla för identitetsbedrägeri.
- Tredje parter som påverkas genom ett avtals- eller leveranskedjeförhållande, till exempel för att de är beroende av en leverantör vars system har gått ner.
Denna klassificering är juridiskt relevant. Grunden för ett eventuellt krav, och mot vilken part det kan riktas, beror på offrets ställning. En berörd organisation kommer i allmänhet att hålla sin IT-leverantör ansvarig enligt avtalet, medan en registrerad person kan förlita sig direkt på den fristående ansvarsgrund som GDPR föreskriver.
När måste ett dataintrång anmälas?
När personuppgifter är inblandade i en cyberattack måste det bedömas om det föreligger ett personuppgiftsintrång och om anmälan är obligatorisk. Artikel 33 i GDPR kräver att ett intrång anmäls till tillsynsmyndigheten utan onödigt dröjsmål och, där så är möjligt, inom sjuttiotvå timmar, såvida inte intrånget sannolikt inte kommer att medföra en risk för fysiska personers rättigheter och friheter.
Dessutom kan artikel 34 i GDPR kräva att organisationen själva informerar de registrerade. Denna skyldighet uppstår när intrånget sannolikt kommer att resultera i en hög risk för deras rättigheter och friheter. Kommunikation får utelämnas om lämpliga tekniska åtgärder, såsom kryptering, har vidtagits, om efterföljande åtgärder säkerställer att den höga risken inte längre föreligger, eller om individuell kommunikation skulle innebära oproportionerlig ansträngning; i det senare fallet räcker det med en offentlig kommunikation.
För den registrerade är den kommunikationen mer än en formalitet. Den gör det möjligt för dem att vidta egna åtgärder, till exempel genom att byta lösenord eller hålla utkik efter misstänkta transaktioner, och i praktiken är det ofta utgångspunkten för alla ersättningskrav.
En organisation måste därför inte bara fastställa att en attack har ägt rum, utan också vilka uppgifter som påverkades, om uppgifter faktiskt stängdes av och vilka risker som följer av detta. En oberoende forensisk undersökning är ofta oumbärlig för detta ändamål.
Detta gäller i ännu högre grad när attacken sker hos en personuppgiftsbehandlare snarare än hos själva organisationen. I det summariska förfarandet mellan Blauw Research och Nebu (Rotterdams tingsrätt, 6 april 2023, ECLI:NL:RBROT:2023:2931) fastslog interimdomaren att den personuppgiftsbehandlare, enligt det databehandlingsavtal som ingåtts mellan parterna, hade rätt till mer information om attacken, dess konsekvenser och de vidtagna åtgärderna än vad som ursprungligen hade lämnats. Personuppgiftsbehandlaren ålades också att låta genomföra en oberoende forensisk undersökning och att regelbundet rapportera. Domen visar att ett väl utformat databehandlingsavtal i praktiken är det viktigaste instrumentet för att erhålla information i tid efter en incident, just för att den personuppgiftsbehandlare behöver den informationen för att fullgöra sina egna anmälningsskyldigheter.
När inträder rätt till ersättning?
Registrerade kan begära ersättning från den personuppgiftsansvarige eller personuppgiftsbehandlaren enligt artikel 82 i GDPR. En cyberattack ger dock inte automatiskt upphov till ett krav. Det måste vara styrkt:
- att GDPR har överträtts;
- att skada faktiskt har uppstått, och
- att det finns ett orsakssamband mellan intrånget och skadan.
Materiella skador kan bestå av ekonomiska förluster, kostnader för återkrav eller förlust orsakad av identitetsbedrägeri. Beträffande ideell skada fastställde Europeiska unionens domstol i Österreichische Post (EU-domstolen 4 maj 2023, C-300/21) att det inte finns någon minimigräns för allvarlighetsgrad, men att en överträdelse av GDPR i sig inte är tillräckligt för ett erkännande.
Av särskild relevans för dataintrång efter en cyberattack är Natsionalna agentsia za prihodite (EU-domstolen 14 december 2023, C-340/21). Där fastslog domstolen att rädslan för eventuellt framtida missbruk av läckta personuppgifter i sig kan utgöra ideell skada. Den registrerade måste dock konkret styrka denna rädsla och dess konsekvenser; det räcker inte att enbart hänvisa till det faktum att uppgifter har läckt ut. I samma dom bekräftade domstolen att det är den registeransvariges uppgift att bevisa att de vidtagna säkerhetsåtgärderna var lämpliga, och att en attack från en tredje part inte i sig befriar den registeransvarige från ansvar.
Ansvar enligt GDPR föreligger vid sidan av de civilrättsliga grunderna för avtalsbrott och skadeståndsgrundande handling. Enligt artikel 6:162(1) i den nederländska civillagen ska en part som begår en tillskrivbar olaglig handling ersätta den orsakade skadan. Relativitetskravet i artikel 6:163 gäller: den norm som åsidosätts ska tjäna till att skydda mot den typ av skada som den skadelidande har lidit.
Viktigt är att artikel 82 i GDPR existerar vid sidan av dessa grunder. En registrerad är därför inte skyldig att grunda ett anspråk enbart på avtalsbrott eller skadeståndsgrund, utan kan direkt åberopa den fristående grund för ansvar som GDPR föreskriver. För den berörda organisationen innebär denna kombination av grunder att flera parter kan väcka anspråk samtidigt efter en attack.
Vem kan vara ansvarig?
Den berörda organisationen kan bli ansvarig om den inte fullgör sina avtalsenliga skyldigheter eller har vidtagit otillräckliga säkerhetsåtgärder. En IT-tjänsteleverantör eller ett databehandlare kan också hållas ansvarig. Vad som kan förväntas av den tjänsteleverantören bestäms först och främst av avtalet.
Inom en behandlingsrelation spelar databehandlingsavtalet en central roll. Artikel 28 GDPR kräver att den registeransvarige och databehandlaren ingår ett sådant avtal, som bland annat reglerar säkerhetsåtgärder och hantering av dataintrång. Om attacken beror på otillräcklig säkerhet hos databehandlaren kan den registeransvarige enligt avtalet hålla databehandlaren ansvarig för den resulterande förlusten.
Detta framgår tydligt av fallet gällande cyberattacken mot kommunen Hof van Twente (Overijssel tingsrätt, 10 maj 2023, ECLI:NL:RBOVE:2023:1731). Parterna hade kommit överens om funktionell övervakning, inte säkerhetsövervakning. Domstolen fann att en IT-administratörs omsorgsplikt inte sträcker sig så långt att säkerhetsövervakning utgör en tyst del av ett uppdrag för funktionell övervakning, och avslog kommunens yrkande. Domstolen beaktade också att kommunen själv hade fattat beslut som ökade risken, inklusive dess lösenordspolicy och öppnandet av en RDP-port.
Spegelbilden är O'Cliance-fallet (Tingsrätten i Amsterdam, 14 november 2018, ECLI:NL:RBAMS:2018:10124). Där hade leverantören installerat en komplett IT-infrastruktur och tagit över dess förvaltning. Efter en ransomware-attack där även säkerhetskopiorna krypterades, fann domstolen att leveransen av ett sådant helhetspaket medförde en långtgående omsorgsplikt och att enkla åtgärder hade underlåtits. Ansvar utdömdes dock inte i sin helhet: på grund av kundens medvållande kvarstod två tredjedelar av skadan för leverantörens räkning.
Hur tung bevisbördan för lämplig säkerhet kan väga illustreras av fallet med en bilhandlares hackade e-postkonto. I interimdomen den 5 november 2024 (Hovrätten i Arnhem-Leeuwarden, ECLI:NL:GHARL:2024:6812) gavs återförsäljaren möjlighet att bevisa att dess e-postkonto hade varit lämpligt säkrat i enlighet med GDPR, efter att en hackare hade använt det kontot för att skicka en falsk betalningsinstruktion till en köpare. I uppföljningsdomen den 22 juli 2025 (ECLI:NL:GHARL:2025:4556) fann domstolen att detta bevis inte hade lämnats in, varefter parterna fortfarande hade att ta itu med köparens medvållande. Båda domarna rör därför samma förfarande.
Den gemensamma nämnaren är att avtalsarrangemangen, riskerna med behandlingen, de åtgärder som faktiskt vidtagits, de varningar som givits från båda sidor och den skadelidande partens eget beteende alla spelar roll. Vid sidan av civilrättsligt ansvar kan den nederländska dataskyddsmyndigheten ålägga administrativa böter på upp till 20 miljoner euro eller 4 procent av den globala årsomsättningen, beroende på vilket som är högst. Dessa böter är oberoende av om enskilda registrerade har lidit skada.
Den straffrättsliga vägen
En cyberattack kan också utgöra ett brott, såsom dataintrång, otillgänglighetsgörande av data eller tillägnande av icke-offentliga data. Artikel 138ab(1) i den nederländska brottsbalken gör det till ett brott att avsiktligt och olagligen få tillgång till ett automatiserat system.
Brottsoffer kan anmäla brottet till polisen, som har specialiserade team för cyberbrottslighet. Om en misstänkt åtalas kan offret ansluta sig till det straffrättsliga förfarandet som skadelidande och kräva ersättning där. Denna väg undviker separata civilrättsliga förfaranden, men resultatet beror på upptäckt, åtal och bevis, vilket med internationellt verksamma gärningsmän ofta inte ger något resultat. För organisationer är anmälan ofta också en praktisk nödvändighet, eftersom försäkringsbolag och partners i leveranskedjan begär det.
Vad täcker cyberförsäkringen?
En cyberförsäkring kan täcka bland annat:
- incidenthantering och kriminalteknisk utredning;
- återställning av system och data;
- förluster vid avbrott i verksamheten och förlorad omsättning;
- kriskommunikation;
- ansvar gentemot tredje part;
- rättegångskostnader; och
- i vissa fall böter, förlikningsbetalningar eller lösensumma, i den utsträckning det är försäkringsbart enligt tillämplig lag.
Den exakta täckningen beror på försäkringen. Var uppmärksam på undantag, säkerhetsvillkor, anmälningstider, självrisker och krav på att anlita experter. Artikel 7:957(1) i den nederländska civillagen ålägger också en försäkrad att vidta rimliga åtgärder för att förhindra eller begränsa förlust. Om denna bärgningsplikt inte iakttas kan försäkringsgivaren minska utbetalningen.
Cyberförsäkringsgivaren bör därför informeras så snart som möjligt. Att anlita externa experter eller betala en lösensumma utan försäkringsgivarens samtycke kan påverka skyddet.
Vad ska man göra omedelbart efter en cyberattack?
- Registrera händelsen och alla relevanta åtgärder noggrant.
- Isolera berörda system utan att förlora bevis.
- Anlita en kriminalteknisk expert.
- Bedöm om det föreligger ett anmälningspliktigt dataintrång.
- Bedöm om de registrerade måste informeras.
- Anmäl brottet till polisen.
- Anmäl händelsen till ditt cyberförsäkringsbolag.
- Spara loggar, säkerhetskopior, e-postmeddelanden och annan relevant data.
- Kartlägg skadan och de potentiellt ansvariga parterna.
- Informera kunder, anställda och partners i leveranskedjan noggrant och i god tid.
En cyberattack är därför inte bara en teknisk incident. Det är också en fråga om dataskydd, civilrätt, straffrätt och försäkringsrätt. En snabb och väl dokumenterad respons begränsar inte bara skadan, utan är avgörande för anmälningar, försäkringsskydd och din bevisposition i eventuella förfaranden.
Avslutningsvis
Rättigheterna och skyldigheterna efter en cyberattack är spridda över flera rättsområden, och utgången av ett mål beror i hög grad på de specifika omständigheterna, avtalets innehåll och kvaliteten på dokumentationen. Den rättspraxis som diskuterats visar att både leverantör och kund bedöms utifrån sitt eget beteende, och att tidsfrister som den sjuttitvå timmar långa anmälningsperioden lämnar litet utrymme för förseningar.
Law & More bistår organisationer och registrerade med den juridiska hanteringen av cyberincidenter: från att bedöma anmälningsskyldigheter och granska databehandlingsavtal till att fastställa ansvar, försäkringsfrågor och ersätta förluster. Har du att göra med en cyberattack eller ett dataintrång, eller vill du att dina avtal granskas mot dessa risker i förväg av våra IT lag laget? Tveka inte att kontakta Law & More för ett förutsättningslöst samtal om din situation.
Vanliga frågor och svar
Nedan svarar vi på de frågor vi oftast får om detta ämne.
Vilka är offren för en cyberattack?
Det finns tre lager. För det första, den berörda organisationen själv, som bär systemavbrott, förlorad omsättning, återhämtningskostnader, kostnader för forensisk utredning och anseendeskador. För det andra, de registrerade, de fysiska personer vars personuppgifter har exponerats, såsom kunder, anställda och patienter. För det tredje, tredje parter som lider förlust genom ett avtals- eller leveranskedjeförhållande, till exempel för att de är beroende av en leverantör som har gått ner. Den klassificeringen avgör på vilken grund en part kan väcka talan, och mot vem.
Inom vilken tidsfrist måste jag anmäla ett dataintrång?
Artikel 33 i GDPR kräver att tillsynsmyndigheten anmäls utan onödigt dröjsmål och, där så är möjligt, inom sjuttiotvå timmar efter att intrånget blivit medvetet. Skyldigheten gäller inte om intrånget sannolikt inte kommer att medföra en risk för fysiska personers rättigheter och friheter. Den bedömningen kräver en analys av intrångets art, de berörda kategorierna av uppgifter och de möjliga konsekvenserna.
När måste jag informera de registrerade själva?
Enligt artikel 34 i GDPR, om intrånget sannolikt kommer att resultera i en hög risk för de registrerades rättigheter och friheter, får kommunikation utelämnas om lämpliga tekniska åtgärder, såsom kryptering, har vidtagits, om efterföljande åtgärder säkerställer att den höga risken inte längre föreligger, eller om individuell kommunikation skulle kräva oproportionerlig ansträngning. I det senare fallet räcker det med en offentlig kommunikation.
Kan jag tvinga fram information från en leverantör som har blivit hackad?
Ja, där ett databehandlingsavtal föreskriver det. I det summariska förfarandet mellan Blauw Research och Nebu (Rotterdams tingsrätt, 6 april 2023, ECLI:NL:RBROT:2023:2931) fastslog interimistdomaren att den registeransvarige enligt databehandlingsavtalet hade rätt till mer information om attacken, dess konsekvenser och de vidtagna åtgärderna än vad som hade lämnats, och beordrade personuppgiftsbehandlaren att låta genomföra en oberoende forensisk undersökning och att rapportera regelbundet. Den informationen behövs för att du ska kunna fullgöra dina egna anmälningsskyldigheter.
Har jag som registrerad automatiskt rätt till ersättning efter ett dataintrång?
Nej. Artikel 82 i GDPR ger en fristående grund, men du måste styrka att GDPR har överträtts, att du faktiskt lidit skada och att det finns ett orsakssamband mellan överträdelsen och den skadan. Bevisbördan ligger hos käranden.
Kvalificeras rädsla för identitetsbedrägeri som ideell skada?
Det kan det. I målet Natsionalna agentsia za prihodite (EU-domstolen 14 december 2023, C-340/21) fastslog domstolen att rädslan för eventuellt framtida missbruk av läckta personuppgifter i sig kan utgöra ideell skada. Den registrerade måste dock konkret styrka denna rädsla och dess konsekvenser. Österreichische Post (EU-domstolen 4 maj 2023, C-300/21) tillägger att det inte finns någon minimigräns för allvar, men att enbart ett brott mot GDPR inte är tillräckligt.
Vem måste bevisa att säkerhetsåtgärderna var lämpliga?
Den registeransvarige. I C-340/21 bekräftade domstolen att det är den registeransvariges uppgift att visa att de vidtagna säkerhetsåtgärderna var lämpliga, och att en attack från en tredje part inte i sig befriar denne från ansvar. I Nederländerna utspelade sig detta i fallet med en bilhandlares hackade e-postkonto, där hovrätten i Arnhem-Leeuwarden först gav återförsäljaren möjlighet att lägga fram detta bevis (ECLI:NL:GHARL:2024:6812) och sedan fastslog att det inte hade lagts fram (ECLI:NL:GHARL:2025:4556).
Är min IT-leverantör ansvarig om den inte upptäckte en attack?
Det beror på vad som överenskommits. I fallet gällande cyberattacken mot kommunen Hof van Twente (Overijssel tingsrätt, 10 maj 2023, ECLI:NL:RBOVE:2023:1731) hade parterna kommit överens om funktionell övervakning, inte säkerhetsövervakning. Domstolen fann att en IT-administratörs omsorgsplikt inte sträcker sig så långt att säkerhetsövervakning utgör en tyst del av den, och avslog yrkandet. När ett bredare helhetspaket tillhandahålls kan omsorgsplikten istället vara långtgående, som i O'Cliance (Overijssel tingsrätt Amsterdam, 14 november 2018, ECLI:NL:RBAMS:2018:10124), där leverantören hölls ansvarig för två tredjedelar av förlusten.
Kan mitt eget agerande minska ersättningen?
Ja. Medvållande spelar en återkommande roll i dessa fall. I O'Cliance låg en tredjedel av förlusten kvar på kundens konto, och i fallet med det hackade e-postkontot var parterna skyldiga att åtgärda köparens medvållande. Din egen lösenordspolicy, portar som lämnats öppna eller varningar som ignorerats kan därför direkt påverka resultatet.
Vilka böter kan dataskyddsmyndigheten utdöma?
För överträdelser av GDPR kan tillsynsmyndigheten ålägga administrativa böter på upp till 20 miljoner euro eller 4 procent av den globala årsomsättningen, beroende på vilket som är högst. Dessa böter är oberoende av om enskilda registrerade faktiskt lidit skada och utgör därför en separat risk vid sidan av civilrättsligt ansvar.
Kan jag anmäla brottet och begära skadestånd genom det straffrättsliga förfarandet?
Ja. Artikel 138ab(1) i den nederländska brottsbalken gör det till ett brott att avsiktligt och olagligen få tillgång till ett automatiserat system. Du kan anmäla brottet till polisen och, om en misstänkt åtalas, ansluta dig till det straffrättsliga förfarandet som skadelidande för att kräva ersättning där. Resultatet beror på upptäckt, åtal och bevis, vilket med internationellt verksamma gärningsmän ofta inte ger något resultat.
Vad täcker vanligtvis cyberförsäkringar?
Vanligtvis incidenthantering och forensisk utredning, återställning av system och data, förluster vid avbrott i verksamheten och förlorad omsättning, kriskommunikation, ansvar gentemot tredje part och juridiska kostnader, och i vissa fall böter, förlikningsbetalningar eller lösensumma i den utsträckning det är försäkringsbart enligt gällande lag. Var uppmärksam på undantag, säkerhetsvillkor, anmälningstider och självrisker, och granska försäkringen innan en incident inträffar.
Kan jag förlora skydd genom att agera felaktigt efter en attack?
Det är möjligt. Artikel 7:957(1) i den nederländska civillagen ålägger en försäkrad att vidta rimliga åtgärder för att förhindra eller begränsa förlust; om denna bärgningsplikt inte iakttas kan försäkringsgivaren minska ersättningen. Att anlita externa experter eller betala en lösensumma utan försäkringsgivarens samtycke kan också påverka försäkringsskyddet. Informera ditt försäkringsbolag så snart som möjligt.
Vilka åtgärder bör jag vidta omedelbart efter en cyberattack?
Registrera händelsen och alla vidtagna åtgärder, isolera de berörda systemen utan att förlora bevis och anlita en forensisk expert. Bedöm sedan om det föreligger ett anmälningspliktigt dataintrång och om de registrerade måste informeras. Rapportera brottet, meddela ditt cyberförsäkringsbolag, bevara loggar, säkerhetskopior och korrespondens, kartlägg skadan och de potentiellt ansvariga parterna samt informera kunder, anställda och partners i leveranskedjan noggrant och i god tid.
