Rettighetene til ofre for cyberangrep: varslingsplikt, erstatning og forsikring

Av Tom Meevis, advokat hos Law & More

Cyberangrep som ransomware, phishing, DDoS-angrep og datainnbrudd rammer sjelden bare organisasjonen som er under angrep. Ofre for cyberangrep inkluderer også kunder, ansatte, pasienter, leverandører og andre partnere i forsyningskjeden som kan lide tap, og deres rettslige stilling varierer fra gruppe til gruppe. Alle som ønsker å fastslå, etter et angrep, hvilke forpliktelser som gjelder og hvilke krav som finnes, bør derfor først finne ut nøyaktig hvem som er rammet og hvilken skade som har oppstått.

Denne artikkelen tar for seg hvem som kvalifiserer som offer, når et datainnbrudd må varsles, på hvilke vilkår det foreligger rett til erstatning, hvilke parter som kan være ansvarlige, hvilken rolle straffeloven spiller, hva en cyberforsikring vanligvis dekker, og hvilke tiltak som bør iverksettes umiddelbart etter et angrep.

Hvem er ofrene for cyberangrep?

Tre grupper kan skilles ut i et cyberangrep.

• Den berørte organisasjonen selv, som står overfor systemnedetid, tapt omsetning, gjenopprettingskostnader, kostnader for rettsmedisinsk etterforskning og omdømmeskade.
• Fysiske personer hvis personopplysninger har blitt eksponert, som kunder, ansatte og pasienter. De kan lide økonomisk tap, men også ikke-materiell skade på grunn av tap av kontroll over sine data, usikkerhet eller frykt for identitetssvindel.
• Tredjeparter som er berørt gjennom et kontraktsmessig eller forsyningskjedeforhold, for eksempel fordi de er avhengige av en leverandør hvis systemer har gått ned.

Denne klassifiseringen er juridisk relevant. Grunnlaget for ethvert krav, og parten det kan reises mot, avhenger av offerets stilling. En berørt organisasjon vil vanligvis holde sin IT-leverandør ansvarlig i henhold til kontrakten, mens en registrert person kan påberope seg det frittstående ansvarsgrunnlaget som GDPR gir.

Når må et datainnbrudd varsles?

Når personopplysninger er involvert i et cyberangrep, må det vurderes om det foreligger et brudd på personopplysningssikkerheten og om varsling er obligatorisk. Artikkel 33 i GDPR krever at et brudd varsles til tilsynsmyndigheten uten unødig forsinkelse og, der det er mulig, innen syttito timer, med mindre bruddet sannsynligvis ikke vil føre til en risiko for fysiske personers rettigheter og friheter.

I tillegg kan artikkel 34 i GDPR kreve at organisasjonen selv informerer de registrerte. Denne forpliktelsen oppstår der bruddet sannsynligvis vil føre til en høy risiko for deres rettigheter og friheter. Kommunikasjon kan unnlates der passende tekniske tiltak som kryptering var på plass, der etterfølgende tiltak sikrer at den høye risikoen ikke lenger vil materialisere seg, eller der individuell kommunikasjon ville innebære uforholdsmessig stor innsats; i sistnevnte tilfelle er en offentlig kommunikasjon tilstrekkelig.

For den registrerte er denne kommunikasjonen mer enn en formalitet. Den gjør det mulig for dem å iverksette egne tiltak, for eksempel ved å endre passord eller se etter mistenkelige transaksjoner, og i praksis er det ofte utgangspunktet for ethvert krav om erstatning.

En organisasjon må derfor ikke bare fastslå at et angrep har funnet sted, men også hvilke data som ble berørt, om data faktisk ble stjålet, og hvilke risikoer som følger av dette. En uavhengig rettsmedisinsk undersøkelse er ofte uunnværlig for dette formålet.

Dette gjelder i enda større grad der angrepet skjer hos en databehandler snarere enn hos selve organisasjonen. I den summariske forhandlingene mellom Blauw Research og Nebu (Rotterdam tingrett, 6. april 2023, ECLI:NL:RBROT:2023:2931) slo den midlertidige dommeren fast at den behandlingsansvarlige, i henhold til databehandleravtalen inngått mellom partene, hadde rett til mer informasjon om angrepet, dets konsekvenser og tiltakene som ble iverksatt enn det som opprinnelig var gitt. Databehandleren ble også pålagt å få utført en uavhengig rettsmedisinsk undersøkelse og å rapportere regelmessig. Dommen viser at en godt utformet databehandleravtale i praksis er det viktigste instrumentet for å innhente informasjon i tide etter en hendelse, nettopp fordi den behandlingsansvarlige trenger denne informasjonen for å utføre sine egne varslingsplikter.

Når oppstår retten til erstatning?

Registrerte kan kreve erstatning fra den behandlingsansvarlige eller databehandleren i henhold til artikkel 82 i GDPR. Et cyberangrep gir imidlertid ikke automatisk grunnlag for et krav. Det må begrunnes:

• at GDPR er blitt brutt;
• at skaden faktisk er blitt lidt; og
• at det er en årsakssammenheng mellom denne krenkelsen og denne skaden.

Materiell skade kan bestå av økonomiske tap, kostnader til inndriving eller tap forårsaket av identitetssvindel. Når det gjelder ikke-materiell skade, fastslo EU-domstolen i Österreichische Post (EU-domstolen 4. mai 2023, C-300/21) at det ikke finnes noen minimumsgrense for alvorlighetsgrad, men at et brudd på GDPR alene ikke er tilstrekkelig for tildeling av erstatning.

Av særlig relevans for datainnbrudd etter et cyberangrep er Natsionalna agentsia za prihodite (EU-domstolen 14. desember 2023, C-340/21). Der slo retten fast at frykten for mulig fremtidig misbruk av lekkede personopplysninger i seg selv kan utgjøre ikke-materiell skade. Den registrerte må imidlertid konkret begrunne denne frykten og dens konsekvenser; det er ikke nok å bare peke på det faktum at data har blitt lekket. I samme dom bekreftet retten at det er opp til den behandlingsansvarlige å bevise at sikkerhetstiltakene som er truffet var passende, og at et angrep fra en tredjepart ikke i seg selv fritar den behandlingsansvarlige for ansvar.

Ansvar i henhold til GDPR eksisterer ved siden av de sivilrettslige grunnlagene for kontraktsbrudd og erstatningsansvar. I henhold til artikkel 6:162(1) i den nederlandske sivilloven må en part som begår en tilskrivelig ulovlig handling erstatte den forårsakede skaden. Relativitetskravet i artikkel 6:163 gjelder: den krenkede normen må tjene til å beskytte mot den typen skade den skadelidte har lidt.

Det er viktig å merke seg at artikkel 82 i GDPR eksisterer ved siden av disse grunnlagene. En registrert person er derfor ikke forpliktet til å reise et krav utelukkende på grunnlag av kontraktsbrudd eller erstatningsrettslig handling, men kan påberope seg direkte det frittstående ansvarsgrunnlaget som GDPR gir. For den berørte organisasjonen betyr denne kombinasjonen av grunnlag at flere parter kan fremme krav samtidig etter et angrep.

Hvem kan være ansvarlig?

Den berørte organisasjonen kan være ansvarlig dersom den ikke oppfyller sine kontraktsmessige forpliktelser eller ikke har tatt tilstrekkelige sikkerhetstiltak. En IT-tjenesteleverandør eller databehandler kan også holdes ansvarlig. Hva som kan forventes av denne tjenesteleverandøren bestemmes først og fremst av kontrakten.

Innenfor et behandlingsforhold spiller databehandleravtalen en sentral rolle. Artikkel 28 i GDPR krever at den behandlingsansvarlige og databehandleren inngår en slik avtale, som blant annet regulerer sikkerhetstiltak og håndtering av datainnbrudd. Dersom angrepet skyldes utilstrekkelig sikkerhet hos databehandleren, kan den behandlingsansvarlige holde databehandleren ansvarlig i henhold til denne avtalen for det resulterende tapet.

Dette fremgår tydelig av saken om cyberangrepet på Hof van Twente kommune (Overijssel tingrett, 10. mai 2023, ECLI:NL:RBOVE:2023:1731). Partene hadde avtalt funksjonell overvåking, ikke sikkerhetsovervåking. Retten slo fast at en IT-administrators aktsomhetsplikt ikke strekker seg så langt at sikkerhetsovervåking er en stilltiende del av et oppdrag for funksjonell overvåking, og avviste kommunens krav. Den vurderte også at kommunen selv hadde tatt beslutninger som økte risikoen, inkludert dens passordpolicy og åpningen av en RDP-port.

Speilbildet er O'Cliance-saken (Tingretten i Amsterdam, 14. november 2018, ECLI:NL:RBAMS:2018:10124). Der hadde leverandøren installert en komplett IT-infrastruktur og tatt på seg forvaltningen av denne. Etter et ransomware-angrep der sikkerhetskopiene også var kryptert, slo retten fast at levering av en slik totalpakke medførte en vidtrekkende aktsomhetsplikt og at enkle tiltak var utelatt. Ansvar ble imidlertid ikke tilkjent fullt ansvar: på grunn av kundens medvirkende skyld forble to tredjedeler av skaden for leverandørens regning.

Hvor tung bevisbyrden for tilstrekkelig sikkerhet kan veie, illustreres av saken der en bilforhandler ble hacket med sin e-postkonto. I den midlertidige dommen av 5. november 2024 (Lagmannsretten i Arnhem-Leeuwarden, ECLI:NL:GHARL:2024:6812) fikk forhandleren muligheten til å bevise at e-postkontoen deres var tilstrekkelig sikret i henhold til GDPR, etter at en hacker hadde brukt kontoen til å sende en falsk betalingsinstruksjon til en kjøper. I oppfølgingsdommen av 22. juli 2025 (ECLI:NL:GHARL:2025:4556) fant retten at dette beviset ikke var fremlagt, hvoretter partene fortsatt måtte ta stilling til kjøperens medvirkningsskyld. Begge dommene gjelder derfor den samme saken.

Den fellesnevneren er at kontraktsavtalene, risikoen ved behandlingen, de faktisk iverksatte tiltakene, advarslene som gis fra begge sider og den skadelidtes egen oppførsel alle har betydning. Ved siden av sivilrettslig ansvar kan den nederlandske datatilsynet ilegge administrative bøter på opptil 20 millioner euro eller 4 prosent av den globale årlige omsetningen, avhengig av hva som er høyest. Disse bøtene er uavhengige av om individuelle registrerte har lidd skade.

Den strafferettslige ruten

Et cyberangrep kan også utgjøre en straffbar handling, som for eksempel datainnbrudd, utilgjengelighet av data eller tilegnelse av ikke-offentlige data. Artikkel 138ab(1) i den nederlandske straffeloven gjør det til en straffbar handling å forsettlig og ulovlig tilegne seg tilgang til et automatisert system.

Ofre kan anmelde lovbruddet til politiet, som har spesialiserte team for nettkriminalitet. Når en mistenkt blir tiltalt, kan offeret bli med i straffesaken som skadelidt og kreve erstatning der. Denne ruten unngår separate sivile retterganger, men resultatet avhenger av oppdagelse, tiltale og bevis, noe som med internasjonalt opererende lovbrytere ofte ikke gir noe resultat. For organisasjoner er rapportering ofte også en praktisk nødvendighet, fordi forsikringsselskaper og partnere i forsyningskjeden ber om det.

Hva dekker cyberforsikring?

En cyberforsikring kan blant annet dekke:

• hendelsesrespons og rettsmedisinsk etterforskning;
• gjenoppretting av systemer og data;
• tap ved driftsavbrudd og tapt omsetning;
• krisekommunikasjon;
• ansvar overfor tredjeparter;
• saksomkostninger; og
• i noen tilfeller bøter, forliksbetalinger eller løsepenger, i den grad det er forsikringsbart i henhold til gjeldende lov.

Den nøyaktige dekningen avhenger av forsikringen. Vær oppmerksom på unntak, sikkerhetsbetingelser, varslingsfrister, egenandeler og krav om å engasjere eksperter. Artikkel 7:957(1) i den nederlandske sivilloven forplikter også en forsikret part til å iverksette rimelige tiltak for å forhindre eller begrense tap. Dersom denne bergingsplikten ikke overholdes, kan forsikringsselskapet redusere utbetalingen.

Cyberforsikringsselskapet bør derfor informeres så raskt som mulig. Å engasjere eksterne eksperter eller betale løsepenger uten forsikringsselskapets samtykke kan påvirke dekningen.

Hva bør du gjøre umiddelbart etter et cyberangrep?

• Registrer hendelsen og alle relevante handlinger nøye.
• Isoler berørte systemer uten å miste bevis.
• Engasjer en rettsmedisinsk ekspert.
• Vurder om det foreligger et varslingspliktig datainnbrudd.
• Vurder om de registrerte må informeres.
• Anmeld lovbruddet til politiet.
• Varsle om hendelsen til ditt cyberforsikringsselskap.
• Behold logger, sikkerhetskopier, e-poster og andre relevante data.
• Kartlegg skaden og de potensielt ansvarlige partene.
• Informer kunder, ansatte og partnere i forsyningskjeden nøye og i god tid.

Et cyberangrep er derfor ikke bare en teknisk hendelse. Det er også et spørsmål om databeskyttelse, sivilrett, strafferett og forsikringsrett. En rask og godt dokumentert respons begrenser ikke bare skaden, men er avgjørende for varslingene, forsikringsdekningen og din bevismessige posisjon i enhver sak.

Avslutning

Rettighetene og pliktene etter et cyberangrep er spredt over flere rettsfelt, og utfallet av en sak avhenger i stor grad av de spesifikke fakta, innholdet i kontrakten og kvaliteten på dokumentene. Rettspraksisen som er omtalt viser at både leverandør og kunde bedømmes ut fra sin egen oppførsel, og at frister som varslingsperioden på syttito timer gir lite rom for forsinkelser.

Law & More bistår organisasjoner og registrerte med juridisk håndtering av cyberhendelser: fra vurdering av varslingsplikter og gjennomgang av databehandleravtaler til fastsettelse av ansvar, forsikringsspørsmål og dekning av tap. Har du å gjøre med et cyberangrep eller et datainnbrudd, eller ønsker du at kontraktene dine skal gjennomgås mot disse risikoene på forhånd av våre IT-lov lag? Ta gjerne kontakt kontakt Law & More for en uforpliktende prat om din situasjon.

Ofte stilte spørsmål

Nedenfor svarer vi på spørsmålene vi oftest får om dette emnet.

Hvem er ofrene for et cyberangrep?

Det er tre lag. For det første, den berørte organisasjonen selv, som bærer systemnedetid, tapt omsetning, gjenopprettingskostnader, kostnadene for rettsmedisinsk etterforskning og omdømmeskade. For det andre, de registrerte, de fysiske personene hvis personopplysninger har blitt eksponert, for eksempel kunder, ansatte og pasienter. For det tredje, tredjeparter som lider tap gjennom et kontraktsmessig eller forsyningskjedeforhold, for eksempel fordi de er avhengige av en leverandør som har gått ned. Denne klassifiseringen avgjør på hvilket grunnlag en part kan fremme et krav, og mot hvem.

Innen hvilken frist må jeg varsle om datainnbrudd?

Artikkel 33 i GDPR krever at tilsynsmyndigheten varsles uten unødig forsinkelse, og der det er mulig, innen syttito timer etter at bruddet er blitt kjent med. Plikten gjelder ikke der bruddet sannsynligvis ikke vil føre til en risiko for fysiske personers rettigheter og friheter. Denne vurderingen krever en analyse av bruddets art, de berørte datakategoriene og de mulige konsekvensene.

Når må jeg informere de registrerte selv?

I henhold til artikkel 34 i GDPR, der bruddet sannsynligvis vil føre til høy risiko for de registrertes rettigheter og friheter, kan kommunikasjon unnlates der det er truffet passende tekniske tiltak, som kryptering, der etterfølgende tiltak sikrer at den høye risikoen ikke lenger vil oppstå, eller der individuell kommunikasjon ville innebære uforholdsmessig stor innsats. I sistnevnte tilfelle er det tilstrekkelig med offentlig kommunikasjon.

Kan jeg kreve informasjon fra en leverandør som har blitt hacket?

Ja, der en databehandleravtale gir bestemmelser om det. I den summariske saken mellom Blauw Research og Nebu (Rotterdam tingrett, 6. april 2023, ECLI:NL:RBROT:2023:2931) slo den midlertidige dommeren fast at den behandlingsansvarlige i henhold til databehandleravtalen hadde rett til mer informasjon om angrepet, dets konsekvenser og de iverksatte tiltakene enn det som var gitt, og beordret databehandleren til å få utført en uavhengig rettsmedisinsk undersøkelse og rapportere regelmessig. Denne informasjonen er nødvendig for å utføre dine egne varslingsplikter.

Har jeg som registrert person automatisk rett til erstatning etter et datainnbrudd?

Nei. Artikkel 82 i GDPR gir et frittstående grunnlag, men du må dokumentere at GDPR er blitt brutt, at du faktisk har lidt skade, og at det er en årsakssammenheng mellom bruddet og denne skaden. Bevisbyrden ligger hos saksøker.

Kvalifiserer frykt for identitetssvindel som ikke-materiell skade?

Det kan det. I saken Natsionalna agentsia za prihodite (EU-domstolen 14. desember 2023, C-340/21) slo EU-domstolen fast at frykten for mulig fremtidig misbruk av lekkede personopplysninger i seg selv kan utgjøre ikke-materiell skade. Den registrerte må imidlertid konkret begrunne denne frykten og dens konsekvenser. Österreichische Post (EU-domstolen 4. mai 2023, C-300/21) legger til at det ikke finnes noen minimumsterskel for alvorlighetsgrad, men at et brudd på GDPR alene ikke er tilstrekkelig.

Hvem må bevise at sikkerhetstiltakene var tilstrekkelige?

Den behandlingsansvarlige. I C-340/21 bekreftet EU-domstolen at det er den behandlingsansvarliges oppgave å vise at sikkerhetstiltakene som ble tatt var passende, og at et angrep fra en tredjepart ikke i seg selv fritar vedkommende fra ansvar. I Nederland utspilte dette seg i saken om en bilforhandlers hackede e-postkonto, hvor lagmannsretten i Arnhem-Leeuwarden først ga forhandleren muligheten til å fremlegge dette beviset (ECLI:NL:GHARL:2024:6812) og deretter slo fast at det ikke var blitt fremlagt (ECLI:NL:GHARL:2025:4556).

Er IT-leverandøren min ansvarlig hvis den ikke oppdaget et angrep?

Det avhenger av hva som ble avtalt. I saken om cyberangrepet på Hof van Twente kommune (Overijssel tingrett, 10. mai 2023, ECLI:NL:RBOVE:2023:1731) hadde partene avtalt funksjonell overvåking, ikke sikkerhetsovervåking. Retten slo fast at en IT-administrators aktsomhetsplikt ikke strekker seg så langt at sikkerhetsovervåking utgjør en stilltiende del av den, og avviste kravet. Der en bredere totalpakke leveres, kan aktsomhetsplikten i stedet være vidtrekkende, som i O'Cliance (Overijssel tingrett Amsterdam, 14. november 2018, ECLI:NL:RBAMS:2018:10124), hvor leverandøren ble holdt ansvarlig for to tredjedeler av tapet.

Kan min egen oppførsel redusere erstatningen?

Ja. Medvirkende feil spiller en tilbakevendende rolle i disse sakene. I O'Cliance forble en tredjedel av tapet for kundens konto, og i saken om den hackede e-postkontoen var partene pålagt å håndtere kjøperens medvirkende feil. Din egen passordpolicy, porter som er stående åpne eller advarsler som ignoreres, kan derfor påvirke resultatet direkte.

Hvilke bøter kan datatilsynet ilegge?

For brudd på GDPR kan tilsynsmyndigheten ilegge administrative bøter på opptil 20 millioner euro eller 4 prosent av den globale årlige omsetningen, avhengig av hva som er høyest. Disse bøtene er uavhengige av om individuelle registrerte faktisk har lidt skade, og representerer derfor en separat risiko ved siden av sivilrettslig ansvar.

Kan jeg anmelde lovbruddet og kreve tapet mitt gjennom straffesaken?

Ja. Artikkel 138ab(1) i den nederlandske straffeloven gjør det straffbart å forsettlig og ulovlig få tilgang til et automatisert system. Du kan anmelde lovbruddet til politiet, og dersom en mistenkt blir tiltalt, bli med i straffesaken som skadelidt for å kreve erstatning der. Utfallet avhenger av oppdagelse, tiltale og bevis, noe som med internasjonalt opererende lovbrytere ofte ikke gir noe resultat.

Hva dekker cyberforsikring vanligvis?

Vanligvis hendelsesrespons og rettsmedisinsk undersøkelse, gjenoppretting av systemer og data, tap ved driftsavbrudd og tapt omsetning, krisekommunikasjon, ansvar overfor tredjeparter og saksomkostninger, og i noen tilfeller bøter, forliksbetalinger eller løsepenger i den grad det er forsikringsbart i henhold til gjeldende lov. Se etter unntak, sikkerhetsbetingelser, varslingsfrister og egenandeler, og gjennomgå forsikringen før en hendelse inntreffer.

Kan jeg miste dekning ved å handle feil etter et angrep?

Det er mulig. Artikkel 7:957(1) i den nederlandske sivilloven forplikter en forsikret part til å iverksette rimelige tiltak for å forhindre eller begrense tap. Dersom denne bergingsplikten ikke overholdes, kan forsikringsselskapet redusere utbetalingen. Å engasjere eksterne eksperter eller betale løsepenger uten forsikringsselskapets samtykke kan også påvirke dekningen. Informer forsikringsselskapet ditt så raskt som mulig.

Hvilke tiltak bør jeg ta umiddelbart etter et cyberangrep?

Registrer hendelsen og alle iverksatte tiltak, isoler de berørte systemene uten å miste bevis, og engasjer en rettsmedisinsk ekspert. Vurder deretter om det foreligger et meldepliktig datainnbrudd og om de registrerte må informeres. Rapporter lovbruddet, varsle ditt cyberforsikringsselskap, behold logger, sikkerhetskopier og korrespondanse, kartlegg skaden og de potensielt ansvarlige partene, og informer kunder, ansatte og partnere i forsyningskjeden nøye og i god tid.