Zero-day-hack bij Openbaar Ministerie levert overmacht op en schort beslistermijn op

Rb. Noord-Holland 23 september 2026, IT 5560; ECLI:NL:RBNHO:2026:12914 ([betrokkene] tegen de officier van justitie). Aan betrokkene was een verkeersboete opgelegd voor het rijden door rood. In beroep voerde zijn gemachtigde onder meer aan dat de officier van justitie een dwangsom had verbeurd wegens niet tijdig beslissen en dat de ICT-problemen bij het Openbaar Ministerie geen overmacht opleverden. De kantonrechter stelt voorop dat voor overmacht in de zin van artikel 4:15 lid 2 onder c Algemene wet bestuursrecht sprake moet zijn van de onmogelijkheid om tijdig te beslissen door abnormale en onvoorziene omstandigheden buiten het toedoen en de risicosfeer van het bestuursorgaan. Hoewel het Openbaar Ministerie ervoor heeft gekozen de behandeling van Wahv-beroepen volledig te digitaliseren en het risico van systeemuitval daarmee samenhangt, oordeelt de kantonrechter dat deze concrete ICT-inbreuk buiten zijn toedoen en risicosfeer lag. Onbevoegden hadden gebruikgemaakt van een nog onbekende zero-day-kwetsbaarheid in Citrix NetScaler, waarvoor op dat moment geen beveiligingsupdate beschikbaar was. Niet is gebleken dat eerdere updates te laat waren uitgevoerd of dat het Openbaar Ministerie de inbreuk had kunnen voorzien of voorkomen. De volledige afkoppeling van de systemen van het internet was volgens de kantonrechter noodzakelijk om de integriteit en vertrouwelijkheid van de informatievoorziening te beschermen.

De kantonrechter acht daarnaast aannemelijk dat het Openbaar Ministerie met de grootste spoed heeft gewerkt om de systemen weer operationeel te krijgen. De periode van 18 juli tot en met 10 september 2025 wordt daarom volledig als overmachtsperiode aangemerkt, waardoor de beslistermijn van rechtswege met 55 dagen is opgeschort. De ingebrekestelling van 3 september 2025 was daardoor prematuur en de officier van justitie heeft geen dwangsom verbeurd. Ook het beroep tegen de verkeersboete zelf slaagt niet. De verklaring van de verbalisant bood voldoende grondslag voor de vaststelling van de gedraging en de enkele ontkenning van betrokkene was onvoldoende om daaraan te twijfelen. Het beroep wordt ongegrond verklaard en een proceskostenvergoeding blijft achterwege.

2.5.

Voor een succesvol beroep op overmacht in de zin van artikel 4:15, tweede lid, onder c, van de Awb moet sprake zijn van de onmogelijkheid van een bestuursorgaan om (tijdig) een besluit te nemen door abnormale en onvoorziene omstandigheden buiten zijn toedoen en risicosfeer. Het OM heeft de keuze gemaakt om de beoordeling en afhandeling van beroepschriften tegen oplegde sancties geheel te digitaliseren. Met deze keuze is het risico dat het systeem moet worden stilgelegd vanwege een ICT-hack onlosmakelijk verbonden. Om te kunnen beoordelen of de gevolgen van de afsluiting van het OM van het internet van 18 juli tot en met 10 september 2025 in verband met een (dreigende) hack geheel of grotendeels in de risicosfeer van het OM liggen, heeft de kantonrechter de officier van justitie bij tussenuitspraak van 4 juni 2026 een aantal vragen voorgelegd ten aanzien van de kwetsbaarheid van de systemen en de getroffen voorzorgsmaatregelen om onbevoegd inbreken op die systemen te voorkomen.

2.6.

Na verleend uitstel heeft de officier van justitie op 4 augustus 2026 een schriftelijke reactie gestuurd, waarin is ingegaan op het ontstaan van de ICT-inbreuk, het opnieuw opstarten van de systemen op het internet en de hervatting van de processen, de gevolgen van de ICT-inbreuk voor de behandeling van WHAV-beroepen, het juridisch kader voor het vaststellen van overmacht en de toepassing van dit kader op de (situatie ten gevolge van de) ICT-inbreuk. De gemachtigde van betrokkene is in de gelegenheid gesteld hierop te reageren. Van de gemachtigde is geen reactie ontvangen.

2.7.

Uit de reactie van de officier van justitie blijkt het volgende.

Nadat het Nationaal Cyber Security Center op 16 juli 2025 verdacht netwerkverkeer vanuit het OM had waargenomen, is daarnaar direct forensisch onderzoek gedaan. Daarbij werd vastgesteld dat sprake was van een ICT-inbreuk doordat onbevoegden gebruik hadden gemaakt van een zogenaamde ‘zero-day’-kwetsbaarheid in de software van Citrix NetScaler. Dit betreft een beveiligingslek in de software die op dat moment nog niet bekend is bij de leverancier en waarvoor nog geen beveiligingsupdate beschikbaar is. Er is geen sprake geweest van het niet tijdig doorvoeren van beveiligingsupdates. Naast het OM zijn ook andere kritieke organisaties getroffen via dezelfde kwetsbaarheid in de Citrix-software. Om te voorkomen dat onbevoegden zich verdergaande toegang tot zeer gevoelige informatie zouden verschaffen, heeft op 17 juli 2025 omstreeks 20.00 uur het College van procureurs-generaal besloten om de eigen systemen volledig los te koppelen van het internet. Een ander alternatief was op dat moment niet voorhanden, omdat door het ontbreken van informatie de omvang en de gevolgen niet konden worden ingeschat. Door de afkoppeling van het internet was het registratiesysteem van de Wahv-beroepen (MAPS) niet toegankelijk.