De recente aankondiging van het Amerikaanse hack-back programma roept vragen op over de risico’s die het met zich meebrengt, niet alleen voor deelnemende beveiligingsbedrijven, maar ook voor hun klanten. Het programma, opgezet via het National Security Presidential Memorandum van 12 augustus 2026, stelt geselecteerde bedrijven in staat om onder strikte goedkeuring van het ministerie van Justitie en het Department of Homeland Security offensieve cyberoperaties uit te voeren.

Deze operaties kunnen bestaan uit geheime toegang tot systemen (Cyber Surveillance Operations) of het manipuleren, verstoren, degraderen of vernietigen van systemen (Cyber Effects Operations). Hoewel het memorandum voorschrijft dat bedrijven een borgsom van minimaal 1 miljoen dollar moeten stellen, blijven de gedetailleerde operationele procedures onduidelijk en worden deze pas medio oktober verwacht. De overheid positioneert het programma als een maatregel ter bescherming van consumenten, verwijzend naar de geschatte 20,8 miljard dollar aan verliezen door cybercriminaliteit in 2025, zoals beschreven in de White House fact sheet.

Voor beveiligingsprofessionals is echter vooral de juridische en aansprakelijkheidskant van belang. Het programma verplaatst soevereine activiteiten naar commerciële infrastructuur, terwijl de aansprakelijkheid grotendeels bij private partijen blijft liggen. De bescherming tegen strafrechtelijke vervolging is gebaseerd op een interpretatie van 18 U.S.C. 1030(f), een uitzondering binnen de Computer Fraud and Abuse Act die normaal gesproken alleen geldt voor wetshandhavingsinstanties. Er is echter geen rechterlijke uitspraak die bevestigt dat deze uitzondering ook geldt voor private bedrijven die onder contract opereren.

Daarnaast biedt het memorandum geen civiele vrijwaring, waardoor bedrijven nog steeds kunnen worden aangeklaagd door derden die schade lijden. Ook worden staatswetten tegen hacking niet buitengesloten, en is er geen bescherming onder buitenlandse wetgeving of enige vorm van schadeloosstelling. Dit betekent dat bedrijven die deelnemen aan het programma aanzienlijke juridische risico’s lopen, terwijl zij geen afdwingbare rechten tegenover de Amerikaanse overheid verkrijgen. Bovendien kan de mate van controle die de overheid uitoefent op deze bedrijven ertoe leiden dat hun acties internationaal worden toegerekend aan de Verenigde Staten, volgens internationaal recht.

Ook bedrijven die niet deelnemen aan het programma kunnen niet automatisch rekenen op een vrijstelling van risico’s. Wanneer een leverancier wel deelneemt, kunnen de gevolgen van hun acties doorwerken naar hun klanten, waardoor ook zij blootstaan aan mogelijke juridische en operationele risico’s. Dit maakt het hack-back programma een complex fenomeen met verstrekkende gevolgen voor de cybersecuritysector en haar klanten.