Een incidentresponseprocedure stel je op door minimaal zes elementen te documenteren: een duidelijke definitie van wat een incident is, rollen en verantwoordelijkheden, detectie- en escalatiestappen, communicatieprotocollen, herstelacties en een evaluatiefase. Voor bedrijven die onder de Cyberbeveiligingswet vallen, is zo’n procedure in 2026 geen optie meer, maar een wettelijke verplichting. In dit artikel beantwoorden we de meest gestelde vragen over het opzetten, testen en naleven van een incidentresponseprocedure voor het MKB.
Welke elementen moet een incidentresponseprocedure bevatten?
Een incidentresponseprocedure bevat minimaal zes kernelementen: een definitie van wat een beveiligingsincident is, een overzicht van rollen en verantwoordelijkheden, stappen voor detectie en melding, een escalatiestructuur, herstel- en continuïteitsmaatregelen, en een evaluatieproces na afloop van het incident. Zonder al deze onderdelen is de procedure onvolledig en onbruikbaar in een echte crisissituatie.
Begin met het definiëren van wat jouw organisatie verstaat onder een incident. Dat klinkt vanzelfsprekend, maar in de praktijk ontstaat juist hier de meeste verwarring. Is een phishingmail die niemand heeft geopend al een incident? En wat doe je met een ransomware-aanval die is gestopt voordat er schade was? Heldere definities voorkomen dat medewerkers te laat aan de bel trekken.
Daarna beschrijf je wie wat doet. Wie detecteert, wie beoordeelt, wie communiceert intern en extern, en wie uiteindelijk de beslissing neemt om systemen offline te halen? Koppel namen of functies aan elke stap. Een procedure zonder eigenaar werkt niet.
Tot slot documenteer je de herstelstappen: hoe zet je systemen veilig weer in de lucht, hoe zorg je voor bewijs voor eventueel onderzoek, en hoe evalueer je achteraf wat er is misgegaan? Een sterke security baseline vormt de technische basis waarop je incidentrespons kan bouwen.
| Afspraak maken |
Wanneer valt een incident onder de meldplicht van de Cyberbeveiligingswet?
Een incident valt onder de meldplicht van de Cyberbeveiligingswet wanneer het een significante verstoring veroorzaakt van de continuïteit van jouw dienstverlening, of wanneer het een aanzienlijk aantal personen of andere organisaties treft. De initiële melding moet binnen 24 uur na ontdekking plaatsvinden bij de bevoegde toezichthouder.
De Cyberbeveiligingswet, die naar verwachting medio 2026 van kracht wordt in Nederland, hanteert het begrip “significant incident”. Dat is een incident dat een grote operationele impact heeft, waarbij systemen langere tijd uitvallen of waarbij gevoelige gegevens zijn gelekt. Kleine storingen of incidenten zonder externe impact hoeven niet gemeld te worden, maar moeten wel intern worden gedocumenteerd.
De meldplicht kent drie stappen: een vroege waarschuwing binnen 24 uur, een gedetailleerde melding binnen 72 uur, en een eindrapportage binnen een maand. Dat vereist dat je direct na ontdekking al begint met documenteren. Wie geen procedure heeft, mist die eerste 24 uur volledig aan feitenverzameling en loopt daarmee het risico de wettelijke termijn te overschrijden.
Voor bedrijven in sectoren zoals zorg, transport, voedselproductie en maakindustrie is de kans groot dat ze onder deze meldplicht vallen. Twijfel je of jouw organisatie hieronder valt? Een nulmeting via TCA geeft binnen 48 uur inzicht in je huidige positie ten opzichte van de wet.
Wie is verantwoordelijk voor het uitvoeren van de incidentresponseprocedure?
De eindverantwoordelijkheid voor de incidentresponseprocedure ligt bij het management, niet bij de IT-afdeling. De Cyberbeveiligingswet legt de verantwoordelijkheid expliciet bij bestuurders: zij moeten aantonen dat zij actief toezicht houden op cybersecuritymaatregelen en dat zij op de hoogte zijn van de procedure.
In de praktijk coördineert een aangewezen incident response-eigenaar de uitvoering. Dat kan de IT-manager zijn, maar ook een operationeel directeur of een externe partij. Belangrijk is dat deze persoon 24/7 bereikbaar is en de bevoegdheid heeft om snel beslissingen te nemen, zoals het afsluiten van systemen of het inschakelen van externe hulp.
Voor MKB-bedrijven zonder dedicated security-personeel is het realistisch om een deel van deze verantwoordelijkheid bij een externe managed IT-dienstverlener te beleggen. Dat ontslaat het management echter niet van zijn wettelijke verantwoordelijkheid. Bestuurders moeten de procedure kennen, goedkeuren en periodiek laten testen. Onwetendheid is geen verweer bij een toezichthouder.
Hoe test je of je incidentresponseprocedure echt werkt?
Je test een incidentresponseprocedure door regelmatig simulaties en tabletop-oefeningen uit te voeren waarbij je een realistisch scenario doorloopt zonder echte systemen te raken. Een procedure die alleen op papier bestaat maar nooit is geoefend, zal in een echte crisissituatie falen.
Een tabletop-oefening is de laagdrempeligste vorm: je brengt de betrokken mensen samen en loopt stap voor stap een scenario door, zoals een ransomware-aanval of een datalek door een phishingmail. Iedereen benoemt hardop wat hij of zij zou doen. Hierdoor ontdek je snel wie welke stap niet kent, welke contactgegevens ontbreken en waar de procedure onduidelijk is.
Een stap verder is een gesimuleerde aanval, ook wel penetratietest of red team-oefening genoemd. Hierbij probeert een externe partij daadwerkelijk in te breken in je systemen, zodat je ziet hoe snel je het detecteert en hoe effectief je reageert. Dit geeft een veel realistischer beeld dan een theoretische bespreking.
Test minimaal één keer per jaar, en ook na grote wijzigingen in je IT-omgeving of organisatiestructuur. Leg de uitkomsten altijd schriftelijk vast en pas de procedure direct aan op basis van wat je hebt geleerd.
Wat zijn de gevolgen als je geen incidentresponseprocedure hebt?
Zonder incidentresponseprocedure riskeer je bij een cyberaanval niet alleen operationele chaos, maar ook juridische en financiële gevolgen. Onder de Cyberbeveiligingswet kunnen boetes oplopen tot 10 miljoen euro of 2% van de wereldwijde omzet, en bestuurders kunnen persoonlijk aansprakelijk worden gesteld.
De praktische schade is minstens zo groot. Zonder procedure weet niemand wie wat moet doen, worden verkeerde beslissingen genomen onder tijdsdruk, en duurt het herstel veel langer dan nodig. Onderzoek naar de oorzaak wordt bemoeilijkt doordat bewijsmateriaal verloren gaat. En de verplichte melding aan de toezichthouder binnen 24 uur lukt simpelweg niet als je nog moet uitzoeken wat er precies is gebeurd.
Er is ook een commercieel risico. Opdrachtgevers in sectoren zoals de overheid en de zorg stellen cybersecurity compliance steeds vaker als contractvoorwaarde. Wie niet kan aantonen dat hij beschikt over een werkende incidentresponseprocedure, verliest straks opdrachten aan concurrenten die dat wel kunnen. Ketenverantwoordelijkheid is geen toekomstige dreiging, het is al realiteit in veel sectoren.
| Afspraak maken |
Hoe helpt een managed IT-dienstverlener bij het opzetten van een incidentresponseprocedure?
Een managed IT-dienstverlener helpt bij het opzetten van een incidentresponseprocedure door de technische detectie, de documentatie van processen en de meldplichtstappen te combineren in één samenhangend pakket. Dat is voor MKB-bedrijven zonder eigen compliance-afdeling de meest praktische route naar een werkende procedure.
TCA pakt dit aan vanuit het ISO 27001-raamwerk, een internationaal erkende norm voor informatiebeveiliging waarvoor TCA al gecertificeerd is sinds 2017. Die certificering is geen marketingkeurmerk: het betekent dat de procedures, processen en maatregelen die TCA toepast aantoonbaar gestandaardiseerd en controleerbaar zijn. Dat is precies wat toezichthouders willen zien.
De aanpak begint met een nulmeting: waar staat jouw organisatie nu en wat ontbreekt er nog? Op basis daarvan worden de incidentresponseprocedure en bijbehorende meldplichtprotocollen opgesteld, afgestemd op jouw sector en bedrijfsgrootte. Vervolgens implementeert TCA de technische maatregelen, zoals monitoring via een 24/7 Network Operations Center, zodat incidenten snel worden gedetecteerd.
Het verschil met een adviesbureau is dat TCA als managed IT-partner betrokken blijft: periodieke tests, bijsturing bij wijzigingen en begeleiding bij een eventuele melding aan de toezichthouder zitten in het pakket. Zo sta je er als directeur of MT-lid niet alleen voor als het er echt op aankomt.
Wil je weten hoe jouw organisatie er nu voor staat? Vraag de gratis securitycheck aan via TCA en ontvang binnen 48 uur een persoonlijk rapport. Dat is de eerste stap naar een incidentresponseprocedure die ook echt werkt.