Deelnemingsvormen
Er zijn dus twee situaties waarin Nederland, althans theoretisch, buiten Nederland rechtsmacht heeft bij grensoverschrijdend gebruik van cryptografie:

1) wanneer Nederlanders, zich in landen bevindend waar cryptografie eveneens strafbaar is, ervan gebruikmaken of het voorhanden hebben.

2) wanneer Nederlanders of buitenlanders vanuit het buitenland via telecommunicatie cryptografie aanbieden in Nederland of er middels telecommunicatie met Nederland van gebruikmaken.

De eerste situatie is vooralsnog van weinig praktisch belang. Op dit moment zijn er slechts twee landen waar cryptografie verboden is (Frankrijk en Rusland) en zolang de effecten van het gebruik van cryptografie niet in Nederland voelbaar zijn zal er voor Nederland weinig reden zijn meer te doen dan de betreffende landen zelf.

De tweede situatie is wel van praktisch belang. Bepalend voor de vraag of de leer van het instrument van toepassing is, is onder meer de deelnemingsvorm. We kunnen de volgende deelnemingsvormen onderscheiden: plegen, medeplegen, doen plegen, medeplichtigheid en uitlokking. Daarnaast is, vooral wanneer er sprake is van rechtspersonen, het functionele daderschap van belang.

Wanneer er sprake is van plegen kan de leer van het instrument worden toegepast, indien het gevolg in Nederland voelbaar is. Wanneer er sprake is van medeplegen, heeft de medepleger geen zelfstandige plaats, maar volgt de pleger.¹¹ Bij medeplegen kan dus ook de leer van het instrument kunnen worden toegepast.

Een persoon in het buitenland, die via een computernetwerk communiceert met een persoon in Nederland en daarbij gebruik maakt van niet- toegestane cryptografie is dus in principe te vervolgen.

De deelnemingsvorm "doen-plegen" is, zolang er geen sprake is van rechtspersonen, van weinig praktisch belang. Theoretisch is bij doen- plegen de leer van het instrument toepasbaar, want de uitvoerder wordt beschouwd als "willoos werktuig" en de doen-pleger volgt de uitvoerder naar plaats.¹²

Medeplichtigheidshandelingen met betrekking tot delicten vanuit het buitenland gepleegd, zijn in Nederland slechts strafbaar wanneer die handelingen hier te lande worden gepleegd. Wanneer die handelingen in het buitenland worden gepleegd, kan niet met behulp van de leer van het instrument jurisdictie worden geclaimd; de medeplichtige heeft een eigen plaats.

Het beschikbaar stellen van de "public keys" van Nederlandse PGP- gebruikers op een op het Internet aangesloten fileserver (een zogenaamde key-server) kan worden beschouwd als medeplichtigheid aan het gebruik maken van verboden cryptografie. Alleen indien zo'n server zich in Nederland bevindt, kan een poging gedaan worden de eigenaar te vervolgen.

Ook bij uitlokking kan geen jurisdictie worden geclaimd met behulp van de leer van het instrument wanneer die uitlokking vanuit het buitenland plaats vindt; de uitlokker heeft een eigen plaats. Een uitlokker die zich in Nederland bevindt is uiteraard zelfstandig strafbaar. Met betrekking tot de uitgelokte kan, indien hij zich in het buitenland bevindt, jurisdictie geclaimd worden op grond van de leer van het instrument en indien hij zich in Nederland bevindt, op grond van het territorialiteits beginsel.

Functioneel daderschap
Tenslotte kan er sprake zijn van functioneel daderschap. Er is sprake van functioneel daderschap als iemand niet zelf een delictshandeling verricht, maar die door een ander laat uitvoeren en hij nietemin als dader van het delict kan worden aangemerkt. Er kan alleen over functioneel daderschap worden gesproken indien er een functionele interpretatie aan het delict gegeven kan worden. De Hoge Raad heeft criteria geformuleerd waaruit af te leiden is of een delictshandeling, uitgevoerd door een ander, aan de verdachte kan worden toegerekend (zgn. IJzerdraadcriteria).¹³

Met name bij rechtspersonen is het functioneel daderschap van belang. Gedragingen van rechtspersonen worden immers verricht door middel van natuurlijke personen. Onder omstandigheden kan het gebruik van cryptografie door een natuurlijk persoon dan ook toegerekend worden aan de corporatie waar hij in dienst is. Dit zal mede afhangen van de interne organisatie van die corporatie en van de taak en de verantwoordelijkheid welke aan de natuurlijke persoon is toebedeeld. Indien Nederland rechtsmacht wil uitoefenen op in het buitenland gevestigde rechtspersonen zijn er extra complicaties: niet alle bepalingen uit art. 2-8 WvSr. zijn toepasbaar op rechtspersonen. Daarnaast kennen veel van de ons omringende landen geen strafbaarheid van rechtspersonen. In principe zal echter op dezelfde manier als bij natuurlijke personen rechtsmacht geclaimd kunnen worden via hetzij het actief personaliteitsbeginsel hetzij -via de leer van het instrument- het territoria liteitsbeginsel.

Conform het gestelde in de Memorie van Toelichting van het wetsvoorstel kan Nederland in een aantal gevallen rechtsmacht claimen. In de praktijk zal dat echter niet zoveel opleveren. Volgens de Europese verdragen die hier van toepassing zijn, is dubbele strafbaarheid nodig om over te kunnen gaan tot uitlevering, overname van strafvervolging, huiszoeking of inbeslagname.¹⁴ Aangezien er vooralsnog in de meeste gevallen geen sprake is van dubbele strafbaarheid, zal de Nederlandse rechtsmacht uitsluitend uitgeoefend kunnen worden indien de verdachten zich op enig moment op Nederlands grondgebied bevinden. In het geval van zich in het buitenland bevindende rechtspersonen komt daar nog de complicatie bij, dat veel van de ons omringende landen de strafbaarheid van een rechtspersoon niet kennen.

In de praktijk zullen het juist rechtspersonen zijn, met name internationaal opererende bedrijven, die veel belang hebben bij het gebruik van veilige -mogelijk in Nederland niet toegestane- cryptografie. Dit geldt onverminderd voor internationaal opererende criminele organisaties die zich bedienen van rechtspersonen.Stel dat de volgende situatie zich voordoet:

Een bedrijf, bestaande uit een hoofdonderneming en een aantal zelfstandige dochterondernemingen, heeft in de hoofdvestiging een computersysteem met alle research-resultaten van de dochters. Elke nacht wordt de informatie van dat systeem via een openbaar netwerk gecopieerd naar computersystemen bij de dochters. De communicatie-apparatuur bij de dochters wordt beheerd door en valt onder verantwoordelijkheid van de moeder. (Een dergelijke opzet is niet ongewoon.) Ter beveiliging van de gegevens tijdens het transport wordt gebruik gemaakt van niet toegestane cryptografie, zonder dat de dochters daarvan op de hoogte zijn. Het encrypten en decrypten gebeurt automatisch in de communicatie-apparatuur.

Indien de moeder-onderneming zich in Nederland bevindt, is er geen ander probleem dan het vaststellen wie de dader is. Afhankelijk van de manier waarop het bedrijf is ingericht, zal er sprake zijn van een pleger en eventueel een of meer medeplegers (de systeembeheerder die zelfstandig de beslissing genomen heeft cryptografie te gebruiken), een doen-pleger (de chef die de systeembeheerder verplicht cryptografie te gebruiken) of een functionele dader (de rechtspersoon, bijvoorbeeld als het gebruik van cryptografie onderdeel is van de corporate policy.)

Als de moeder-onderneming in het buitenland gevestigd is, is de eerste moeilijkheid al het vaststellen van de dader. Allereerst wordt immers de rechtspersoon aansprakelijk gesteld en pas daarna kan in een onderzoek nader worden vastgesteld wie er eventueel nog binnen het bedrijf kan worden aangesproken. Om de eerder uiteengezette redenen, hoeft geen buitenlandse rechtshulp verwacht te worden. Dat beperkt de reikwijdte van justitie tot de apparatuur die zich bij de dochters bevindt. Deze apparatuur kan in beslag genomen worden. Eventueel kunnen de Nederlandse dochters vervolgd worden om op die manier de moeder indirect te treffen. Duidelijk is dat de effecten van een dergelijke handelwijze vooral bedrijfseconomische gevolgen zal hebben en weinig juridische. De Nederlandse rechtsmacht is daarvoor in dit geval te theoretisch.

Ook bij varianten van dit probleem is de pleger niet aan te pakken. Bijvoorbeeld: De -zelfstandige- dochters zijn op de hoogte van het gebruik van cryptografie, maar worden door de buitenlandse moeder verplicht op deze manier te werken, onder dreiging van sluiting. Indien de handelwijze van de moeder in dit voorbeeld is op te vatten als strafbare uitlokking, heeft Nederland zelfs theoretisch geen rechtsmacht. De uitlokker kent immers een eigen plaats. Weliswaar zijn de dochters, als uitgelokten te vervolgen maar ook hier zullen de effecten vooral bedrijfs-economisch van aard zijn.

Conclusie
De auteur van de Memorie van Toelichting is wellicht te optimistisch door te stellen dat Nederland in voorkomende gevallen rechtsmacht kan claimen via de leer van het instrument. Theoretisch klopt dit voor de meeste deelnemingsvormen, maar niet voor alle. In die gevallen waarin rechtsmacht geclaimd kan worden, zijn er echter veel praktische problemen. Op grond van de gangbare verdragen hoeft niet op buitenlandse rechtshulp gerekend te worden. Kan bij natuurlijke personen nog gehoopt worden op een bezoek aan Nederland, tegen buitenlandse rechtspersonen kan Nederland in de praktijk nauwelijks iets ondernemen.