Hoe snel moet ik een cyberincident melden onder NIS2?

Onder NIS2 moet je een cyberincident in drie stappen melden: een eerste melding binnen 24 uur na ontdekking, een gedetailleerdere tussenrapportage binnen 72 uur, en een eindrapport binnen een maand. Deze meldplicht geldt voor organisaties in sectoren die onder de Cyberbeveiligingswet vallen en is bedoeld om toezichthouders snel te informeren, zodat bredere schade aan vitale processen kan worden beperkt. Hieronder lees je wat dit concreet betekent voor jouw organisatie.

Welke termijnen gelden er voor de verschillende meldstappen?

NIS2 verplicht organisaties tot een getrapt meldproces in drie stappen: een eerste melding binnen 24 uur, een uitgebreidere tussenmelding binnen 72 uur, en een volledig eindrapport binnen 30 dagen na het incident. Dit getrapte systeem bestaat omdat je bij een lopend incident vaak nog niet alle feiten kent, maar toezichthouders toch snel op de hoogte moeten zijn.

Stap 1: Eerste melding binnen 24 uur

Zodra je een significant cyberincident ontdekt, heb je 24 uur de tijd om een eerste, beknopte melding te doen. Je hoeft op dat moment nog geen volledig beeld te hebben. De melding bevestigt dat er een incident is, geeft een eerste inschatting van de aard en omvang, en geeft aan of het incident vermoedelijk door een kwaadwillende is veroorzaakt of grensoverschrijdende gevolgen heeft.

Stap 2: Tussenrapportage binnen 72 uur

Binnen 72 uur na ontdekking volgt een meer gedetailleerde rapportage. Hierin beschrijf je de initiële beoordeling van het incident, de ernst ervan, de getroffen systemen en de maatregelen die je al hebt genomen of in gang hebt gezet. Dit is het moment waarop je toezichthouder begint te beoordelen of aanvullende begeleiding of coördinatie nodig is.

Stap 3: Eindrapport binnen 30 dagen

Uiterlijk een maand na het incident lever je een volledig eindrapport aan. Daarin staat een gedetailleerde beschrijving van het incident, de oorzaak, de gevolgen, de genomen maatregelen en de lessen die je hebt getrokken. Voor lopende incidenten die nog niet zijn opgelost, is een voortgangsrapport op dat moment voldoende, gevolgd door een eindrapport binnen 30 dagen na afronding.

Wat telt als een meldplichtig incident onder NIS2?

Niet elk IT-probleem is een meldplichtig incident onder NIS2. Een incident is meldplichtig wanneer het een significante verstoring veroorzaakt van de continuïteit van je dienstverlening, of wanneer het aanzienlijke financiële of maatschappelijke schade kan veroorzaken. De drempel is bewust breed geformuleerd om te voorkomen dat organisaties incidenten wegredeneren.

In de praktijk gaat het om situaties zoals:

• Ransomware-aanvallen die systemen versleutelen of platleggen
• Datalekken waarbij persoonsgegevens of bedrijfskritische informatie worden buitgemaakt
• DDoS-aanvallen die je dienstverlening voor een langere periode onbereikbaar maken
• Ongeautoriseerde toegang tot kritieke systemen of netwerken
• Uitval van systemen die essentieel zijn voor je primaire bedrijfsproces

Twijfel je of een incident meldplichtig is? De vuistregel is: als het incident je vermogen om te functioneren serieus aantast, of als het aantoonbaar door een aanvaller is veroorzaakt, meld het dan. Beter een melding te veel dan een te weinig, want een gemiste melding heeft grotere consequenties dan een onnodige.

Bij welke instantie moet een NIS2-incident worden gemeld?

In Nederland meld je een NIS2-incident bij het Nationaal Cyber Security Centrum (NCSC) of bij de relevante sectorale toezichthouder, afhankelijk van de sector waarin jouw organisatie actief is. Het NCSC is de centrale instantie voor essentiële aanbieders in vitale sectoren. Voor andere sectoren zijn er sectorspecifieke autoriteiten aangewezen.

Welke toezichthouder voor jou geldt, hangt af van hoe de Cyberbeveiligingswet jouw organisatie classificeert: als essentiële entiteit of als belangrijke entiteit. Essentiële entiteiten vallen doorgaans onder strenger toezicht en directere rapportagelijnen. Belangrijke entiteiten hebben iets meer ruimte, maar de meldplicht geldt voor beide categorieën onverminderd.

Naast de melding bij de toezichthouder kan het ook verplicht zijn om getroffen partijen te informeren, bijvoorbeeld klanten of ketenpartners die schade kunnen ondervinden van het incident. Dit is geen optionele stap, maar onderdeel van de wettelijke verantwoordelijkheid die NIS2 bij het management legt.

Wat gebeurt er als je een incident te laat of niet meldt?

Als je een meldplichtig incident te laat of helemaal niet meldt, riskeer je aanzienlijke boetes en persoonlijke aansprakelijkheid als bestuurder. Voor essentiële entiteiten kunnen boetes oplopen tot 10 miljoen euro of 2% van de wereldwijde jaaromzet. Voor belangrijke entiteiten geldt een maximum van 7 miljoen euro of 1,4% van de omzet.

Maar de financiële sancties zijn niet het enige risico. NIS2 legt de verantwoordelijkheid voor naleving expliciet bij het management, niet bij de IT-afdeling. Bestuurders kunnen persoonlijk aansprakelijk worden gesteld als blijkt dat er structureel niet is voldaan aan de meldplicht. Dat betekent dat “ik wist er niets van” geen afdoende verweer is.

Daarnaast groeit de druk vanuit de keten. Opdrachtgevers in sectoren als zorg, transport en maakindustrie gaan in 2026 steeds vaker vragen om aantoonbare compliance als voorwaarde voor samenwerking. Wie geen meldprocedures heeft ingericht, loopt niet alleen het risico op boetes, maar ook op het verlies van contracten.

Hoe bereid je je organisatie voor op de meldplicht?

Je bereidt je organisatie voor op de meldplicht door drie dingen op orde te hebben: een heldere procedure die beschrijft wie wat doet bij een incident, technische monitoring die incidenten tijdig detecteert, en een vast aanspreekpunt dat de communicatie met de toezichthouder verzorgt. Zonder die drie bouwstenen loop je bij een incident direct achter de feiten aan.

Concreet betekent dit:

1. Stel een incidentresponseprocedure op. Wie is verantwoordelijk voor de eerste beoordeling? Wie doet de melding? Wie informeert de directie? Leg dit vast voordat er een incident is.
2. Zorg voor technische detectie. Je kunt een incident pas melden als je het ook ontdekt. Monitoring van je netwerk en systemen is geen luxe, maar een voorwaarde voor tijdige melding.
3. Ken je meldkanaal. Weet bij welke toezichthouder jouw organisatie moet melden en hoe dat proces werkt. Zoek dit niet op tijdens een incident.
4. Train je medewerkers. Iedereen in de organisatie moet weten wat een verdacht incident is en hoe ze dit intern escaleren. De klok begint te lopen op het moment van ontdekking, niet op het moment dat het de IT-afdeling bereikt.
5. Test je procedure. Een incidentresponseoefening laat zien waar de zwakke plekken zitten, voordat een echte aanval dat doet.

Een goede security baseline vormt de technische fundering onder dit alles. TCA helpt organisaties om deze basis op orde te krijgen, inclusief de meldprocedures en het informatiebeveiligingsbeleid dat bij NIS2-compliance hoort. Als managed IT-partner blijft TCA ook na de implementatie betrokken, zodat monitoring en bijsturing continu plaatsvinden.

Wil je weten waar jouw organisatie nu staat op het gebied van cybersecurity en NIS2-gereedheid? TCA biedt een gratis nulmeting aan via een online assessment. Binnen 48 uur ontvang je een persoonlijk rapport met een concreet beeld van de risico’s en de stappen die nodig zijn. Bekijk de certificeringen van TCA, waaronder ISO 27001 sinds 2017, als bewijs dat je met een partner werkt die weet wat aantoonbare informatiebeveiliging inhoudt. Neem contact op via tca.nl om de eerste stap te zetten.

Gerelateerde artikelen

• Wat is Microsoft 365 beveiliging en hoe stel je die goed in?
• Hoeveel bedraagt de persoonlijke boete voor een directeur bij NIS2-overtreding?
• Hoe schakel je over van Google Workspace naar Microsoft 365 Business?
• Valt mijn bedrijf onder de NIS2-richtlijn?
• Hoe hoog zijn de boetes voor niet-naleving van NIS2?