Meldplicht cyberincidenten NIS2: wat moet je weten?

Sinds de Cyberbeveiligingswet in werking is, geldt een strenge meldplicht voor cyberincidenten onder NIS2. Organisaties die onder de wet vallen, moeten significante incidenten binnen vaste termijnen melden bij de overheid. Wie deze regels niet kent, loopt het risico op boetes en persoonlijke aansprakelijkheid van bestuurders. Deze meldplicht bepaalt wat je moet doen, voor wie ze geldt en welke stappen volgen bij een incident.

Wat is de meldplicht cyberincidenten onder NIS2?

De Cyberbeveiligingswet, de Nederlandse uitwerking van de NIS2-richtlijn, kent drie hoofdverplichtingen:

• Zorgplicht: je neemt passende beveiligingsmaatregelen om risico's te beperken.
• Registratieplicht: je organisatie meldt zich aan bij de toezichthouder.
• Meldplicht: je meldt significante cyberincidenten bij het Nationaal Cyber Security Centrum.

Je kunt echter pas melden zodra je weet dat er iets mis is. Veel organisaties merken een aanval pas op als de schade al zichtbaar is. 24/7 monitoring via het SOC van XTRN-IT signaleert verdachte activiteit vaak al voordat een incident escaleert. Zo win je kostbare tijd.

Wat is het verschil met de meldplicht datalekken uit de AVG?

Let op: de meldplicht voor cyberincidenten onder NIS2 staat los van de meldplicht datalekken uit de AVG. Raakt een incident ook persoonsgegevens, dan moet je dat apart melden bij de Autoriteit Persoonsgegevens. Werk je bijvoorbeeld met gevoelige dossiers zoals sollicitaties? Houd dan rekening met de bewaarregels voor sollicitatiegegevens onder de AVG, want dan gelden er twee meldplichten tegelijk.

Voor wie geldt de meldplicht cyberincidenten?

De meldplicht geldt voor organisaties die als essentiële of belangrijke entiteit zijn aangemerkt onder NIS2. Denk aan sectoren zoals energie, transport, digitale infrastructuur en ICT-dienstverlening. Ook de voedselketen, de maakindustrie en de overheid vallen binnen de reikwijdte, mits de organisatie voldoende groot is.

De zorgsector krijgt eveneens te maken met deze verplichtingen. Zorginstellingen werken bovendien al langer met strenge regels rond patiëntgegevens, zoals de privacyregels rond medische gegevens in de zorg. De meldplicht voor cyberincidenten onder NIS2 komt daar dus bovenop, niet in plaats daarvan.

Wanneer moet je een cyberincident melden?

Niet elk beveiligingsprobleem is meldplichtig. Een incident telt als significant wanneer het je dienstverlening ernstig verstoort of dreigt te verstoren. Bepalend zijn onder meer het aantal getroffen gebruikers, de duur van de verstoring en de financiële schade. Ook de aard van de geraakte systemen weegt mee, vooral bij kritieke infrastructuur.

Denk bij significante incidenten aan een ransomware-aanval die systemen platlegt. Ook een datalek dat je dienstverlening raakt of een DDoS-aanval met langdurige uitval telt mee. Kleinere storingen of incidenten zonder merkbare impact vallen doorgaans buiten de meldplicht. Twijfel je? Meld dan toch, want een vrijwillige melding kan nooit kwaad.

Wie is binnen je organisatie verantwoordelijk voor de melding?

NIS2 legt de verantwoordelijkheid nadrukkelijk bij het bestuur. Wijs daarom een vaste contactpersoon aan, bijvoorbeeld een CISO of security officer, die de melding namens de organisatie verzorgt. Zorg ook dat deze persoon voldoende mandaat heeft om snel te schakelen. Beveiliging raakt overigens meer bedrijfsprocessen dan je misschien denkt. Ook bij de beveiligingsplicht bij digitale boekhouding gelden vergelijkbare eisen aan versleuteling en toegang.

Regel daarnaast een reservecontactpersoon voor als de eerste verantwoordelijke niet beschikbaar is. Leg een intern escalatieproces vast, zodat de directie direct wordt geïnformeerd zodra een incident significant blijkt. Zonder die afspraken verlies je waardevolle tijd binnen de eerste 24 uur.

Binnen welke termijnen moet je melden?

De meldplicht voor cyberincidenten onder NIS2 kent drie vaste momenten. Binnen 24 uur na de eerste signalering doe je een vroegtijdige waarschuwing bij het NCSC. Dit hoeft nog geen volledig beeld te zijn, maar geeft de toezichthouder de kans om vroeg te reageren.

Binnen 72 uur volgt een uitgebreidere melding met een eerste inschatting van oorzaak en impact. Na uiterlijk één maand lever je een eindrapportage op. Hierin staan de volledige tijdlijn, de genomen maatregelen en de lessen die je hebt getrokken. Deze termijnen gelden vanaf het moment van signalering, niet vanaf het moment dat een externe partij je waarschuwt.

Wat zijn de gevolgen als je te laat of niet meldt?

De boetes voor overtreding van de meldplicht voor cyberincidenten onder NIS2 kunnen flink oplopen. Essentiële entiteiten riskeren boetes tot 10 miljoen euro of 2 procent van de wereldwijde jaaromzet, afhankelijk van wat hoger uitvalt. Voor belangrijke entiteiten geldt een maximum van 7 miljoen euro of 1,4 procent van de jaaromzet.

Naast de financiële sanctie kunnen bestuurders persoonlijk aansprakelijk worden gesteld bij aantoonbare nalatigheid. Toezichthouders kunnen bovendien overtredingen openbaar maken, wat direct invloed heeft op het vertrouwen van klanten en partners. Een tijdige, eerlijke melding beperkt die schade aanzienlijk.

Zo regel je de meldplicht praktisch, vandaag al

Begin met een intern incidentresponsplan waarin staat wie wat doet, wie meldt en via welk kanaal dat gebeurt. Registreer je organisatie tijdig bij het NCSC-portaal. Dan kun je bij een incident direct melden, zonder eerst nog een account te moeten aanmaken. Voer daarnaast een risicoanalyse uit, zodat je weet welke systemen voor jouw organisatie het meest kritiek zijn.

Test je procedures regelmatig en train medewerkers en bestuurders in het herkennen van beveiligingsrisico's. Wie deze basis op orde heeft, verliest bij een echt incident geen tijd aan onduidelijkheid. Zo voldoe je niet alleen aan de meldplicht, maar sta je ook sterker als het erop aankomt.