Hacking e crimini informatici nei Paesi Bassi: cosa vieta la legge

L'hacking è un reato penale nei Paesi Bassi: ai sensi dell'articolo 138ab del Codice penale olandese (Sr), l'accesso intenzionale e illegale a un sistema informatico costituisce violazione di domicilio, punibile con la reclusione fino a due anni, anche in assenza di copie o danni. L'eccezione è rappresentata dall'accesso autorizzato: un penetration test effettuato nell'ambito di un incarico scritto non è illegale, ma la legge olandese non prevede un'esenzione generale per gli hacker "etici" in buona fede.

I reati correlati comprendono gli attacchi denial-of-service (articolo 138b Sr), l'intercettazione (articoli da 139c a 139e Sr) e il danneggiamento dei dati, incluso il ransomware (articoli da 350a a 350d Sr). Separatamente, la legge sulla sicurezza informatica (Cyberbeveiligingswet), in vigore dal 15 agosto 2026, impone alle organizzazioni obblighi di sicurezza e di segnalazione.

Quali reati informatici definisce il Codice penale?

Il crimine informatico non è disciplinato da una legge a sé stante, ma costituisce un insieme di reati previsti dal Codice penale. Le pene massime indicate di seguito sono stabilite dalla legge; la sentenza effettiva spetta al tribunale.

Accesso non autorizzato a sistemi informatici (articolo 138ab sr)

Il reato di accesso non autorizzato a sistemi informatici (computer trespass, o computervredebreuk) consiste nell'intrusione intenzionale e illegale in un sistema automatizzato o in una sua parte. Si configura comunque l'accesso non autorizzato qualora si ottenga violando una misura di sicurezza, mediante un intervento tecnico, con falsi segnali o una chiave falsa, oppure assumendo una falsa identità. La pena massima prevista è la reclusione fino a due anni o una multa di quarta categoria.

La pena massima sale a quattro anni se l'intruso copia, intercetta o registra dati dal sistema (articolo 138ab(2) sr). Lo stesso vale se l'intrusione avviene attraverso una rete pubblica di telecomunicazioni e l'intruso utilizza la capacità di elaborazione del sistema per ottenere un profitto illecito, oppure passa al sistema di terzi. Se il reato è commesso per conto di una potenza straniera, la pena massima è aumentata di un terzo.

Ostruzione di un sistema (articolo 138b sr)

Gli attacchi denial-of-service rientrano nell'ambito dell'articolo 138b Sr: ostruzione intenzionale e illecita dell'accesso o dell'utilizzo di un sistema mediante l'invio di dati ad esso. La pena massima è di due anni, tre anni se viene utilizzata una botnet o se l'obiettivo è il profitto illecito, e cinque anni se l'attacco causa danni gravi o prende di mira infrastrutture vitali.

Strumenti di intercettazione e hacking (articoli 139c a 139e Sr)

L'articolo 139c sr vieta l'intercettazione o la registrazione intenzionale e illecita di dati non destinati all'utente mediante un dispositivo tecnico, entro un periodo massimo di due anni. Sono previste delle eccezioni, ad esempio per il titolare della connessione (a meno che non vi sia un abuso evidente) e per le indagini penali o ai sensi della legge sui servizi di intelligence e sicurezza del 2017.

L'articolo 139d Sr punisce la preparazione: fabbricazione, vendita o possesso di strumenti progettati principalmente per attacchi informatici, di intercettazione o di negazione del servizio, o di password e codici di accesso, con l'intento di commettere tale reato. La pena massima è di due anni, o quattro anni se l'intento riguarda le forme aggravate di violazione informatica. L'articolo 139e Sr punisce il possesso o la divulgazione di dati intercettati illegalmente, con una pena massima di sei mesi.

Danni ai dati e ransomware (articoli 350a-350d Sr)

L'articolo 350a sr punisce l'alterazione, la cancellazione o la messa inaccessibile intenzionale e illecita di dati con una pena massima di due anni; si applicano le aggravanti dell'articolo 138b sr, pertanto il ransomware finalizzato a un guadagno illecito è punibile con una pena fino a tre anni e il danno grave fino a cinque. La distribuzione di malware è punibile con una pena fino a quattro anni, a meno che l'obiettivo non fosse quello di limitare il danno causato.

L'articolo 350b Sr riguarda la variante colposa, con un massimo di un mese in caso di danni gravi. L'articolo 350c Sr disciplina la distruzione o l'interruzione intenzionale di un sistema, mentre l'articolo 350d Sr disciplina gli atti preparatori compiuti con strumenti o codici di accesso.

Dove passa il confine tra ricerca sulla sicurezza e intrusione informatica?

Testare il sistema di qualcun altro è lecito perché autorizzato, non perché animato da buone intenzioni. Ai sensi dell'articolo 138ab Sr, il consenso elimina l'illiceità solo nella misura in cui tale consenso è espresso.

Un penetration test richiede quindi un incarico scritto che specifichi i sistemi oggetto dell'analisi, il periodo di tempo, le tecniche consentite ed escluse, le modalità di gestione dei dati raccolti e i soggetti che ne vengono informati. Se i sistemi sono ospitati da terzi, anche il fornitore deve dare il proprio consenso, poiché il cliente non può esprimerlo per suo conto.

Al di fuori di un test commissionato, molte organizzazioni pubblicano una politica coordinata di divulgazione delle vulnerabilità. Tale politica non crea immunità: la Procura della Repubblica (Openbaar Ministerie) decide comunque se procedere con un'azione penale. I fattori rilevanti sono se chi ha scoperto la vulnerabilità ha agito nell'interesse pubblico, si è limitato a quanto strettamente necessario, non ha copiato o pubblicato i dati e ha segnalato tempestivamente la vulnerabilità all'organizzazione.

I dipendenti e gli ex dipendenti non sono esentati. I diritti di accesso terminano al termine del rapporto di lavoro; l'accesso con un vecchio account o con la password di un collega costituisce accesso con chiave falsa ai sensi dell'articolo 138ab Sr.

Quali reati si applicano alla frode online?

La maggior parte dei casi di frode digitale denunciati alla polizia riguarda reati commessi tramite mezzi digitali. Il phishing, le frodi sulle fatture e i negozi online fasulli rientrano nella categoria di frode (oplichting) ai sensi dell'articolo 326 Sr, con una pena massima di quattro anni. L'utilizzo di dati personali identificativi di un'altra persona per occultare o abusare della sua identità costituisce un reato distinto ai sensi dell'articolo 231b Sr, con una pena massima di cinque anni.

Il trasferimento dei proventi attraverso conti bancari o criptovalute configura il reato di riciclaggio di denaro previsto dagli articoli da 420bis a 420quater Sr; il riciclaggio intenzionale prevede una pena fino a sei anni di reclusione. Per questo motivo, anche coloro che prestano il proprio conto bancario (i cosiddetti "money mule") vengono perseguiti. La pubblicazione di dati personali a scopo intimidatorio (doxing) costituisce un reato distinto ai sensi dell'articolo 285d Sr, punibile con una pena massima di due anni. Le modalità di dimostrazione dell'inganno digitale sono spiegate nel nostro articolo sulle frodi online e sul phishing.

Cosa richiede la legge sulla sicurezza informatica alle organizzazioni?

La legge sulla sicurezza informatica attua la direttiva NIS2 dell'UE ed è in vigore dal 15 agosto 2026. Non punisce gli autori degli attacchi, ma impone obblighi agli enti essenziali e importanti: fornire i propri dati per il registro nazionale, adottare misure di sicurezza adeguate e segnalare gli incidenti significativi.

Un'entità deve fornire un preavviso al proprio CSIRT e all'autorità competente senza indebito ritardo e in ogni caso entro 24 ore dal momento in cui viene a conoscenza di un incidente significativo (articolo 26 della legge sulla sicurezza informatica). Una notifica più completa deve seguire entro 72 ore (articolo 27). Le organizzazioni soggette a tale obbligo sono spiegate nel nostro articolo su NIS2 e la legge olandese sulla sicurezza informatica.

Questi obblighi si applicano in aggiunta al GDPR. Un incidente che coinvolge dati personali costituisce una violazione dei dati personali che deve essere segnalata senza indugio all'Autorità olandese per la protezione dei dati (Autoriteit Persoonsgegevens), a meno che non sia improbabile che comporti un rischio per le persone interessate. Gli aspetti civili sono trattati nel nostro articolo sulla responsabilità a seguito di una violazione dei dati.

Quali poteri investigativi ha la polizia?

Da quando è entrata in vigore la legge sui crimini informatici III (Wet computercriminaliteit III) nel 2019, la polizia può accedere da remoto a un sistema informatico utilizzato da un sospettato per reati gravi. Ai sensi dell'articolo 126nba del Codice di procedura penale olandese (Sv), il pubblico ministero può disporre tale accesso solo previa autorizzazione scritta del giudice istruttore (rechter-commissaris).

Il pubblico ministero può ordinare a una persona che si ritiene sappia come vengono crittografati i dati di contribuire alla loro decrittazione, ma ai sensi dell'articolo 126nh(2) Sv tale ordine non può essere impartito all'indagato. In qualità di indagato, conservi il diritto di rimanere in silenzio e il diritto di consultare un avvocato prima e durante l'interrogatorio di polizia.

Poiché spesso aggressore e vittima si trovano in paesi diversi, la cooperazione internazionale è fondamentale. I Paesi Bassi sono parte della Convenzione del Consiglio d'Europa sulla criminalità informatica (Convenzione di Budapest), utilizzano il mandato di indagine europeo all'interno dell'UE e collaborano con Europol, Eurojust e Interpol.

Cosa puoi fare in qualità di vittima?

Sporgere denuncia alla polizia (aangifte) è la base per avviare un'indagine; la nostra guida su come presentare una denuncia alla polizia spiega come fare. Conservare le prove prima di reinstallare i sistemi e contattare immediatamente la propria banca in caso di dirottamento di pagamenti, poiché una richiesta di recupero tempestiva è spesso l'unica possibilità di recuperare il denaro.

È possibile partecipare al procedimento penale in qualità di parte lesa (benadeelde partij) e richiedere un risarcimento danni, a condizione che la richiesta non gravi eccessivamente sul procedimento penale. Le richieste di risarcimento più consistenti o contestate vengono trattate in sede civile come atti illeciti ai sensi dell'articolo 6:162 del Codice civile olandese (BW). È possibile ricorrere al procedimento sommario (kort geding) per ottenere rapidamente la rimozione del materiale online. I primi passi da compiere sono descritti nel nostro articolo per le vittime di attacchi informatici.

Cosa dovresti verificare se la tua organizzazione ha subito un attacco?

• Verifica se rientri nella categoria di entità essenziale o importante ai sensi della legge sulla sicurezza informatica e annota le scadenze di segnalazione entro 24 e 72 ore.
• Verifica se sono stati coinvolti dati personali e se la violazione deve essere segnalata all'Autorità Garante per la protezione dei dati personali (Autoriteit Persoonsgegevens).
• Proteggere i file di registro, i sistemi interessati, le intestazioni delle e-mail e una cronologia prima di ripristinare i sistemi.
• Chiedi alla tua banca di annullare i pagamenti deviati lo stesso giorno.
• Sporgi denuncia alla polizia e annota quali fornitori o prestatori di servizi sono stati coinvolti.

Cosa dovresti controllare in qualità di sospettato o di addetto alla sicurezza?

• Verifica di aver ottenuto un'autorizzazione scritta che specifichi i sistemi, il periodo e le tecniche esatte utilizzate.
• Verifica se anche il fornitore di hosting o altre terze parti hanno dovuto fornire il loro consenso.
• Non rilasciate dichiarazioni alla polizia prima di aver consultato un avvocato.
• Non cancellare dati o dispositivi dopo aver appreso dell'avvio di un'indagine.
• Verifica se la vulnerabilità è stata segnalata tempestivamente e senza condizioni, in conformità con la politica di divulgazione dell'organizzazione.

Cosa possiamo fare per te in caso di crimini informatici e attacchi hacker?

I nostri avvocati specializzati in crimini informatici assistono le organizzazioni che hanno subito attacchi informatici, nonché le persone fisiche e le aziende oggetto di indagine.

• Valutiamo se la condotta rientra negli articoli 138ab, 138b, 139c o 350a Sr.
• Vi assistiamo durante gli interrogatori di polizia e nel corso dell'intera indagine penale.
• Verifichiamo il rispetto dei tuoi obblighi di segnalazione ai sensi della legge sulla sicurezza informatica e del GDPR entro le prime 24 ore.
• Redigiamo la denuncia alla polizia e la richiesta di risarcimento in qualità di parte lesa.
• Avviamo un procedimento sommario per far rimuovere dalla rete i dati rubati o pubblicati.
• Prima di iniziare i lavori, esaminiamo gli incarichi relativi ai test di penetrazione e le politiche di divulgazione delle vulnerabilità.

Sintesi

• L'accesso non autorizzato a un sistema informatico costituisce violazione di domicilio ai sensi dell'articolo 138ab sr, punibile con una pena fino a due anni di reclusione, o quattro in caso di copia di dati.
• Gli attacchi denial-of-service, l'intercettazione, gli strumenti di hacking e il ransomware sono reati distinti negli articoli 138b, 139c-139e e 350a-350d Sr.
• L'hacking etico è legale solo con un'autorizzazione scritta; una politica di divulgazione non garantisce alcuna immunità.
• Ai sensi della legge sulla sicurezza informatica, gli incidenti significativi richiedono un allarme tempestivo entro 24 ore e una notifica entro 72 ore.

Domande frequenti