オランダのハッキング法：何が処罰の対象となるのか

オランダではハッキングは犯罪行為です。オランダ刑法第138ab条（Sr）に基づき、コンピュータシステムに故意かつ違法に侵入することはコンピュータ不法侵入とみなされ、たとえ何もコピーしたり破損させたりしていなくても、最長2年の懲役刑が科せられます。ただし、許可を得た上でのアクセスは例外です。書面による課題の中で行われる侵入テストは違法ではありませんが、オランダ法には善意の「倫理的」ハッカーに対する一般的な免除規定はありません。

関連する犯罪には、サービス拒否攻撃（第138b条）、傍受（第139c条～第139e条）、ランサムウェアを含むデータ損害（第350a条～第350d条）などが含まれます。また、2026年8月15日から施行されているサイバーセキュリティ法（Cyberbeveiligingswet）は、組織にセキュリティおよび報告義務を課しています。

刑法では、どのようなハッキング犯罪が規定されていますか？

サイバー犯罪は独立した法律ではなく、刑法典に規定された一連の犯罪行為です。以下の最高刑は法律で定められており、実際の刑罰は裁判所が決定します。

コンピュータ不正侵入（刑法第138条ab項Sr）

コンピュータ侵入（computervredebreuk）とは、自動化システムまたはその一部に故意かつ違法に侵入する行為を指します。セキュリティ対策の突破、技術的な介入、偽の信号や偽の鍵の使用、または偽の身元を装うなど、どのような方法でアクセスした場合でも侵入は成立します。最高刑は懲役2年または第4種罰金です。

侵入者がシステムからデータをコピー、傍受、または記録した場合、最高刑は4年に延長される（第138ab条(2)項sr）。侵入が公衆電気通信網を経由して行われ、侵入者がシステムの処理能力を不正な利益のために利用した場合、または第三者のシステムに移動した場合も同様である。犯罪が外国のために行われた場合は、最高刑が3分の1増加する。

システムの妨害（第138条b項Sr）

サービス拒否攻撃は、第138条b項srに該当します。これは、システムにデータを送信することによって、意図的かつ違法にシステムへのアクセスまたは使用を妨害する行為です。最長刑期は2年、ボットネットが使用された場合または不正な利益を得ることが目的の場合は3年、攻撃によって重大な損害が生じた場合または重要なインフラが標的となった場合は5年です。

傍受およびハッキングツール（第139c条から第139e条Sr項）

第139c条Sr項は、あなた宛てではないデータを、最長2年間、意図的かつ違法に傍受または記録することを技術機器を用いて禁止しています。ただし、例外として、例えば、接続の所有者（明らかに不正な利用の場合を除く）、刑事捜査、または2017年情報・保安サービス法に基づく場合などが挙げられます。

第139条d項は、準備行為、すなわち、ハッキング、傍受、サービス拒否攻撃を主目的としたツール、パスワード、アクセスコードの作成、販売、所持を、そのような犯罪を犯す意図をもって行うことを処罰する。最高刑は2年、ただし、その意図がコンピュータ侵入の加重形態に関するものである場合は4年である。第139条e項は、違法に傍受したデータの所持または開示を処罰し、最高刑は6か月である。

データ破壊およびランサムウェア（第350a条～第350d条Sr項）

第350a条Sr項は、故意かつ違法にデータを改変、削除、またはアクセス不能にする行為を最長2年の懲役で処罰する。第138b条Sr項の加重規定が適用されるため、不正な利益を得る目的でランサムウェアを配布した場合は最長3年、重大な損害を与えた場合は最長5年の懲役となる。マルウェアを配布した場合は、損害を限定する目的で配布した場合を除き、最長4年の懲役となる。

第350b条Sr項は過失による場合の規定であり、重大な損害が発生した場合は最長1ヶ月の刑期となる。第350c条Sr項は故意にシステムを破壊または妨害する行為を対象とし、第350d条Sr項は工具やアクセスコードを用いた準備行為を対象としている。

セキュリティ研究とコンピュータへの不正侵入の境界線はどこにあるのか？

他人のシステムをテストすることは、善意に基づいているからではなく、許可されているからこそ合法である。第138ab条Sr項の下では、同意は同意の範囲においてのみ違法性を解除する。

したがって、侵入テストを実施するには、対象システム、期間、許可される手法と除外される手法、検出されたデータの処理方法、および通知先を明記した書面による依頼書が必要です。システムが第三者によってホストされている場合は、クライアントがプロバイダーに代わって同意することはできないため、プロバイダーの同意も必要となります。

委託されたテスト以外では、多くの組織が連携した脆弱性開示ポリシーを公表しています。しかし、このようなポリシーは免責を保証するものではありません。起訴するかどうかは、依然として検察庁（Openbaar Ministerie）が決定します。関連する要素としては、発見者が公共の利益のために行動したか、必要以上の行為を行わなかったか、データを複製または公開しなかったか、そして組織に速やかに報告したかなどが挙げられます。

従業員および元従業員も例外ではありません。アクセス権限は役割が終了すると終了します。古いアカウントまたは同僚のパスワードを使用してログインすることは、第138ab条Sr項に基づく不正なキーによるアクセスとなります。

オンライン詐欺にはどのような犯罪が適用されるのでしょうか？

警察に報告されるデジタル犯罪のほとんどは、デジタル手段による詐欺です。フィッシング、請求書詐欺、偽ウェブショップは、刑法第326条第1項に規定される詐欺（oplichting）に該当し、最高刑は懲役4年です。他人の個人情報を使用して身元を隠蔽または悪用することは、刑法第231条第2項第3項に規定される別の犯罪であり、最高刑は懲役5年です。

銀行口座や暗号資産を通じて収益を移動させると、刑法第420条の2から420条の4に規定される資金洗浄罪に問われます。意図的な資金洗浄は最長6年の懲役刑となります。そのため、銀行口座を貸し出す人（マネーミュール）も起訴されるのです。他人の個人情報を公開して脅迫する行為（ドクシング）は、刑法第285条の2に規定される別の犯罪であり、最長2年の懲役刑となります。デジタル詐欺の立証方法については、オンライン詐欺とフィッシングに関する記事で解説しています。

サイバーセキュリティ法は組織に何を求めているのか？

サイバーセキュリティ法は、EUのNIS2指令を実施するもので、2026年8月15日から施行されている。この法律は攻撃者を処罰するものではないが、重要かつ不可欠な組織に対し、国家登録簿への情報提供、適切なセキュリティ対策の実施、重大なインシデントの報告といった義務を課している。

組織は、重大なインシデントを認識した時点で、遅滞なく、遅くとも24時間以内に、CSIRTおよび管轄当局に早期警告を発しなければなりません（サイバーセキュリティ法第26条）。より詳細な通知は72時間以内に行われます（第27条）。対象となる組織については、NIS2とオランダのサイバーセキュリティ法に関する記事で説明しています。

これらの義務はGDPRと併せて適用されます。個人データに関わるインシデントは個人データ侵害であり、関係者にリスクをもたらす可能性が低い場合を除き、遅滞なくオランダデータ保護庁（Autoriteit Persoonsgegevens）に報告しなければなりません。民事上の側面については、データ侵害後の責任に関する記事で解説しています。

警察にはどのような捜査権限がありますか？

2019年にコンピュータ犯罪法第3条（Wet computercriminaliteit III）が施行されて以来、警察は重大犯罪の容疑者が使用するコンピュータシステムに遠隔でアクセスできるようになりました。オランダ刑事訴訟法（Sv）第126条nba項に基づき、検察官は予審判事（rechter-commissaris）の書面による許可を得た後にのみ、これを命じることができます。

検察官は、データの暗号化方法を知っていると思われる人物に対し、データの復号化を命じることができますが、刑法第126条第2項(sv)に基づき、被疑者に対してそのような命令を下すことはできません。被疑者は、警察の尋問前および尋問中に、黙秘権と弁護士に相談する権利を有します。

攻撃者と被害者が異なる国にいることが多いため、国際協力が重要となる。オランダは欧州評議会サイバー犯罪条約（ブダペスト条約）の締約国であり、EU域内で欧州捜査命令制度を活用し、ユーロポール、ユーロジャスト、インターポールと連携している。

被害者として、あなたは何ができるでしょうか？

捜査の根拠として警察に届け出てください。届け出の方法については、こちらのガイドをご覧ください。システムを再インストールする前に証拠を保全し、支払いが不正に流用された場合は、すぐに銀行に連絡してください。迅速な返金請求が、お金を取り戻す唯一のチャンスとなる場合が多いからです。

刑事訴訟に被害者として参加し、損害賠償を請求することができます。ただし、請求が刑事事件に過度の負担をかけないことが条件です。より高額な請求や係争中の請求は、オランダ民法典第6条162項に基づく違法行為として民事裁判所に持ち込まれます。略式手続きを利用すれば、資料を迅速にオフラインで削除できます。最初のステップについては、サイバー攻撃の被害者向けの記事をご覧ください。

攻撃を受けた組織として、どのような点を確認すべきでしょうか？

サイバーセキュリティ法における必須または重要な組織に該当するかどうかを確認し、24時間以内および72時間以内の報告期限をスケジュールに記録してください。
個人データが関係していたかどうか、また、その漏洩をAutoriteit Persoonsgegevens（アイルランド個人データ保護庁）に報告する必要があるかどうかを確認してください。
システムを復元する前に、ログファイル、影響を受けたシステム、電子メールヘッダー、およびタイムラインを安全に保管してください。
銀行に、不正に流用された支払いをその日のうちに取り消すよう依頼してください。
警察に被害届を提出し、関与した供給業者またはサービス提供業者を記録してください。

容疑者またはセキュリティ研究者として、どのような点を確認すべきでしょうか？

使用したシステム、期間、手法について、書面による許可を得ていたかどうか確認してください。
ホスティングプロバイダーやその他の第三者の同意も必要だったかどうかを確認してください。
弁護士に相談する前に、警察に供述をしてはいけません。
捜査が行われていることを知った後も、データやデバイスを削除しないでください。
組織の情報開示ポリシーに基づき、脆弱性が迅速かつ無条件に報告されたかどうかを確認してください。

サイバー犯罪やハッキングに関して、弊社はどのようなお手伝いができますか？

当事務所のサイバー犯罪専門弁護士は、サイバー攻撃を受けた組織、および捜査対象となっている個人や企業を代理します。

行為が第 138ab 条、第 138b 条、第 139c 条、または第 350a 条に該当するかどうかを評価します。
私たちは、警察の事情聴取から刑事捜査全体を通して、あなたをサポートいたします。
サイバーセキュリティ法およびGDPRに基づく報告義務については、最初の24時間以内に確認いたします。
私たちは被害者として、警察への報告書と損害賠償請求書類を作成します。
盗まれたデータや公開されたデータをオフラインにするための略式手続きを開始します。
作業開始前に、侵入テストの割り当て内容と脆弱性開示ポリシーを確認します。

製品概要

許可なくコンピュータシステムに侵入することは、刑法第138ab条Sr項に基づくコンピュータ不法侵入であり、最長2年の懲役、データがコピーされた場合は最長4年の懲役が科せられる。
サービス拒否攻撃、傍受、ハッキングツール、ランサムウェアは、第138b条、第139c条～第139e条、第350a条～第350d条で別個の犯罪として規定されています。
倫理的ハッキングは、書面による許可がある場合に限り合法であり、情報開示ポリシーは免責を与えるものではない。
サイバーセキュリティ法に基づき、重大なインシデントが発生した場合は、24時間以内の早期警告と72時間以内の通知が義務付けられています。