Van alle verplichtingen die met de Cyberbeveiligingswet meekomen, is de meldplicht NIS2 de enige die je onder tijdsdruk moet uitvoeren. De zorgplicht kun je stap voor stap opbouwen. Een melding niet: als je organisatie geraakt wordt, loopt de klok al voordat iemand doorheeft dat er iets aan de hand is.
In gesprekken met directies merk ik dat de termijnen wel bekend zijn, maar dat vrijwel niemand heeft geoefend wie er in de eerste 24 uur mag besluiten dat er gemeld wordt. Precies daar gaat het mis. Dit artikel zet de termijnen op een rij en beschrijft hoe je het proces inricht zodat je die eerste dag niet verliest aan overleg.
Kort samengevat
- De meldplicht kent drie momenten: een vroege waarschuwing binnen 24 uur, een volledige melding binnen 72 uur en een eindrapportage binnen een maand.
- De klok begint te lopen zodra je organisatie kennis heeft van een significant incident, niet zodra de oorzaak duidelijk is.
- Je meldt bij het CSIRT dat voor jouw sector is aangewezen en bij de sectorale toezichthouder.
- Raakt het incident ook persoonsgegevens, dan geldt daarnaast de meldplicht uit de AVG richting de Autoriteit Persoonsgegevens.
- Het verschil tussen een beheerste en een chaotische melding zit vrijwel altijd in besluitvorming die vooraf is belegd.
Wat houdt de meldplicht NIS2 in?
Organisaties die onder de Cyberbeveiligingswet vallen, moeten significante incidenten melden bij de overheid. Het doel is tweeledig. Ten eerste kan de overheid je ondersteunen tijdens een incident. Ten tweede ontstaat er zicht op wat er landelijk gebeurt, zodat andere organisaties gewaarschuwd kunnen worden als een aanvalspatroon zich verspreidt.
Dat tweede punt wordt vaak vergeten, en het verklaart waarom de eerste termijn zo kort is. Een waarschuwing die drie weken later komt, helpt niemand meer.
Weet je nog niet zeker of je organisatie onder de wet valt, begin dan daar. We hebben apart beschreven hoe je bepaalt of je een essentiële of belangrijke entiteit bent.
Welke termijnen gelden er precies?
Binnen 24 uur: de vroege waarschuwing
Zodra je organisatie kennis heeft van een significant incident, heb je 24 uur voor een eerste melding. Die melding is bewust beperkt van omvang. Je geeft aan dat er iets speelt, of het vermoedelijk om een kwaadwillende handeling gaat en of er grensoverschrijdende gevolgen kunnen zijn.
Wat deze termijn zo lastig maakt, is dat je op dat moment nog vrijwel niets weet. Dat hoeft ook niet. De vroege waarschuwing is geen analyse, het is een signaal. Organisaties die hier te lang over doen, doen dat meestal omdat ze wachten tot ze een compleet beeld hebben. Dat is precies de verkeerde reflex.
Binnen 72 uur: de volledige melding
Binnen drie dagen volgt een uitgebreidere melding. Daarin beschrijf je wat er is gebeurd, hoe ernstig het is, welke gevolgen je ziet en welke maatregelen je hebt genomen. Als je in de eerste melding een inschatting hebt gedaan die achteraf niet klopt, corrigeer je die hier.
Tussentijds: rapportage op verzoek
Loopt een incident langer door, dan kan de toezichthouder of het CSIRT tussentijdse rapportages vragen. Bij een langdurige verstoring is dat eerder regel dan uitzondering.
Binnen een maand: de eindrapportage
Uiterlijk een maand na de volledige melding lever je een eindrapportage: een beschrijving van het incident, de oorzaak, de genomen maatregelen en de gevolgen. Duurt het incident op dat moment nog voort, dan lever je een voortgangsrapportage en volgt de eindrapportage binnen een maand na afronding.
Wanneer is een incident meldingswaardig?
Niet elk incident hoeft gemeld te worden. Het gaat om significante incidenten, en dat zijn er twee soorten:
- Incidenten die een ernstige verstoring van je dienstverlening veroorzaken, of financiële verliezen tot gevolg hebben.
- Incidenten die anderen raken door aanzienlijke materiële of immateriële schade te veroorzaken.
De praktische vertaling: als je dienstverlening merkbaar hapert, als klanten of ketenpartners er last van hebben, of als er gegevens zijn buitgemaakt, ga er dan van uit dat het meldingswaardig is. Twijfel je, meld dan. Een melding die achteraf niet nodig bleek, is een kleiner probleem dan een gemiste melding.
Let op de formulering “kennis van het incident”. De klok start niet bij het moment van de aanval, en ook niet bij het moment dat je de oorzaak snapt. Hij start op het moment dat jouw organisatie redelijkerwijs doorhad dat er iets significants speelde. In de praktijk is dat vaak het moment waarop de eerste medewerker een melding deed bij de servicedesk, niet het moment waarop de directie werd geïnformeerd. Dat verschil kan zomaar een halve dag zijn.
Bij wie moet je melden?
Je meldt bij het CSIRT dat voor jouw sector is aangewezen en bij de toezichthouder die voor jouw sector geldt. Welke dat zijn, verschilt per sector. Zoek dat nu op en zet het in je incidentplan, met contactgegevens en de manier waarop de melding wordt ingediend. Op het moment zelf wil je niet aan het zoeken zijn.
Daarnaast kan het nodig zijn om afnemers van je dienst te informeren, bijvoorbeeld als zij zelf maatregelen moeten nemen. Dat is een aparte afweging naast de melding aan de overheid.
Wat als je ook een datalek hebt?
Dit wordt regelmatig door elkaar gehaald. Het zijn twee verschillende verplichtingen die tegelijk kunnen gelden.
- Meldplicht NIS2: gaat over de continuïteit en veiligheid van je dienstverlening. Melding bij CSIRT en toezichthouder, binnen 24 uur en 72 uur.
- Meldplicht datalekken uit de AVG: gaat over persoonsgegevens. Melding bij de Autoriteit Persoonsgegevens binnen 72 uur, en soms ook aan de betrokkenen zelf.
Bij een ransomware-aanval waarbij gegevens zijn gestolen, gelden ze allebei. Zorg dat je incidentplan beide sporen kent, met per spoor een verantwoordelijke. Eén persoon die beide moet doen tijdens een crisis, is een ontwerpfout.
Hoe richt je het meldproces praktisch in?
Wat in de praktijk werkt, is het proces terugbrengen tot beslissingen die iemand op elk moment van de dag kan nemen:
- Wijs een meldingsbevoegde aan, plus een vervanger. Iemand die zonder directiebesluit mag melden. Een meldplicht die op een bestuursvergadering wacht, wordt niet gehaald.
- Maak een classificatieregel van vijf regels. Geen matrix van drie pagina’s. Wanneer is iets significant? Zorg dat een dienstdoende beheerder dat om drie uur ’s nachts kan beoordelen.
- Leg de contactgegevens vast in je incidentplan. CSIRT, toezichthouder, Autoriteit Persoonsgegevens, verzekeraar, juridische ondersteuning.
- Maak een sjabloon voor de eerste melding. Zodat er geen tekst geschreven hoeft te worden onder druk.
- Start direct een logboek. Wie deed wat, wanneer, op basis waarvan. Dat logboek is later de basis voor je eindrapportage en je bewijs richting de toezichthouder.
- Oefen het één keer. Een tafeloefening van twee uur legt meer bloot dan een half jaar beleid schrijven.
Wil je dit onderbrengen in een bredere aanpak, dan hebben we het traject rond NIS2-implementatie uitgewerkt. Voor de wet zelf en wat die verder van je vraagt, hebben we de Cyberbeveiligingswet uitgelegd.
Veelgestelde vragen over de meldplicht NIS2
Wanneer begint de termijn van 24 uur te lopen?
Vanaf het moment dat je organisatie kennis heeft van een significant incident. Dus niet vanaf het moment van de aanval en ook niet vanaf het moment dat de oorzaak bekend is. In de praktijk is dat vaak eerder dan organisaties denken.
Moet ik melden als ik nog niet weet wat er precies aan de hand is?
Ja. De vroege waarschuwing is juist bedoeld voor die situatie. Je meldt dat er iets speelt en wat je vermoedt. De details volgen in de melding binnen 72 uur.
Wat gebeurt er als ik te laat meld?
Het niet of te laat melden is een overtreding van de zorgplicht en kan tot handhaving leiden, inclusief boetes. Belangrijker in de praktijk: je verliest de ondersteuning van het CSIRT op het moment dat die het meeste waard is.
Is een melding openbaar?
Nee. Een melding bij het CSIRT en de toezichthouder is niet openbaar. In bepaalde gevallen kan de overheid wel besluiten het publiek te informeren, bijvoorbeeld als dat nodig is om verdere schade te voorkomen.
Geldt de meldplicht ook voor incidenten bij een leverancier?
Als een incident bij je leverancier leidt tot een significante verstoring van jouw dienstverlening, dan is dat voor jou een meldingswaardig incident. Je blijft verantwoordelijk voor je eigen dienst, ook als de oorzaak buiten je organisatie ligt.
