Staten aansprakelijk stellen voor cyberaanvallen is lastig, maar kan

Moyakine, universitair hoofddocent IT-recht en cyberveiligheid, wil niet alleen de hackers aanpakken, maar vooral hun opdrachtgevers. Regels voor cyberaanvallen staan niet in een verdrag, maar vallen onder ongeschreven gewoonterecht. Bestaande rechtspraak gaat vooral over militaire operaties, terwijl cyberaanvallen vaak in het grijze gebied van hybride oorlogsvoering vallen. Het lastigste is de juridische toerekening. Technisch kan worden vastgesteld wie een aanval uitvoerde, en overheden wijzen soms een land aan, zoals Rusland bij NotPetya, de aanval die in 2017 ook de Rotterdamse haven raakte. Maar bewijzen dat een staat juridisch verantwoordelijk is, is een andere zaak.

Moyakine werkt daarom aan een toets waarmee digitale aanvallen wél aan staten kunnen worden toegerekend. Een nieuw verdrag ziet hij niet als oplossing, omdat de tekst snel zou verouderen. Bovendien liggen strengere regels gevoelig, omdat westerse landen zelf offensieve cybercapaciteiten hebben. Toch biedt het internationaal recht mogelijkheden: schade kan in principe worden verhaald en een proportionele tegenreactie is toegestaan. AI maakt het speelveld complexer, omdat het zowel aanvallers als verdedigers helpt. Cyberweerbaarheid wordt daarmee niet alleen een technische opgave, maar vooral een juridische en geopolitieke kwestie.

Dit is een samenvatting van het volledige artikel op de site van de Rijksuniversiteit Groningen.