Een incidentmeldprotocol is een gedocumenteerde procedure die vastlegt hoe een organisatie een cyberincident herkent, intern afhandelt en verplicht meldt bij de bevoegde toezichthouder. Onder de NIS2-richtlijn en de aankomende Cyberbeveiligingswet is zo’n protocol geen optie meer, maar een wettelijke verplichting voor organisaties in aangewezen sectoren. In dit artikel beantwoorden we de meest gestelde vragen over de meldplicht, de termijnen en hoe je stap voor stap een werkend protocol opstelt.
Welke incidenten moet je verplicht melden onder de NIS2-richtlijn?
Onder de NIS2-richtlijn ben je verplicht om significante incidenten te melden. Een incident is significant als het een ernstige verstoring veroorzaakt van je dienstverlening, als het een aanzienlijk aantal gebruikers of systemen raakt, of als het financiële schade boven een bepaalde drempel oplevert. Niet elk technisch probleem valt hieronder, maar de lat ligt lager dan veel organisaties denken.
Concreet gaat het om situaties zoals:
- Ransomware-aanvallen die systemen of data onbeschikbaar maken
- Datalekken waarbij persoonsgegevens of bedrijfskritische informatie worden blootgesteld
- DDoS-aanvallen die je dienstverlening langere tijd stilleggen
- Ongeautoriseerde toegang tot kritieke systemen of netwerken
- Supply chain-aanvallen waarbij een toeleverancier als toegangspoort wordt gebruikt
De beoordeling of een incident meldplichtig is, moet je zelf maken op basis van de impact. Daarom is het zo belangrijk dat je vooraf criteria vastlegt in je incidentmeldprotocol, zodat medewerkers in een stressvolle situatie niet hoeven te improviseren.
| Afspraak maken |
Binnen welke termijn moet een cyberincident worden gemeld?
De NIS2-richtlijn hanteert een drietrapsraket voor de meldtermijnen. Binnen 24 uur na ontdekking stuur je een eerste melding aan de toezichthouder. Binnen 72 uur volgt een uitgebreidere tussenrapportage. Na maximaal een maand lever je een eindrapport in met een volledige analyse van het incident en de genomen maatregelen.
De 24-uursmelding hoeft nog geen volledig beeld te geven. Het gaat erom dat de toezichthouder op de hoogte is en eventueel andere organisaties kan waarschuwen. Wat je in die eerste melding opneemt: een beschrijving van wat er is gebeurd, welke systemen zijn geraakt, wat de mogelijke oorzaak is en welke maatregelen je direct hebt genomen.
Voor veel MKB-organisaties is 24 uur krap, zeker als een incident ’s nachts of in het weekend begint. Dat is precies waarom je meldprocedure van tevoren op papier moet staan, inclusief wie buiten kantooruren bereikbaar is en welke contactgegevens van de toezichthouder je direct bij de hand hebt.
Wat moet er minimaal in een incidentmeldprotocol staan?
Een werkend incidentmeldprotocol bevat minimaal: een definitie van wat als incident wordt beschouwd, de interne escalatielijnen, de contactgegevens van de bevoegde toezichthouder, de wettelijke meldtermijnen, de verantwoordelijke persoon voor de melding en een sjabloon voor de eerste notificatie. Zonder deze elementen is het protocol geen bruikbaar instrument in een crisissituatie.
Meer concreet ziet een volledig protocol er zo uit:
- Classificatiecriteria: wanneer is iets een significant incident?
- Interne meldlijn: wie belt wie, in welke volgorde?
- Externe meldplicht: bij welke toezichthouder, hoe en via welk kanaal?
- Documentatieverplichting: wat leg je vast en waar?
- Communicatieprotocol: wat vertel je aan medewerkers, klanten en eventueel de pers?
- Herstelstappen: hoe zorg je dat de dienstverlening zo snel mogelijk hervat wordt?
- Evaluatiemoment: hoe analyseer je achteraf wat er misging?
Een protocol dat alleen op papier bestaat maar nooit is geoefend, werkt niet in de praktijk. Plan daarom minimaal één keer per jaar een tabletopoefening waarbij je een fictief incident doorloopt met de betrokken medewerkers.
Hoe stel je stap voor stap een incidentmeldprotocol op?
Je stelt een incidentmeldprotocol op door eerst te inventariseren welke systemen en processen kritiek zijn, vervolgens de interne rolverdeling vast te leggen, de wettelijke meldvereisten te vertalen naar concrete stappen en het geheel te testen voordat er een echt incident plaatsvindt. Hieronder de stappen uitgewerkt.
Stap 1: breng je kritieke systemen in kaart
Begin met een overzicht van alle systemen, applicaties en gegevens die essentieel zijn voor je bedrijfsvoering. Dit is ook de basis voor je risicobeoordeling, die onder NIS2 verplicht is. Weet je niet goed waar je staat? Een gratis securitycheck kan snel inzicht geven in je huidige beveiligingsniveau en kwetsbaarheden.
Stap 2: definieer je incidentcategorieën
Maak onderscheid tussen lage, middelhoge en hoge impact. Koppel aan elke categorie een escalatieniveau en een tijdslijn. Zo weet iedereen meteen wat er van hem of haar wordt verwacht zodra een incident wordt gemeld.
Stap 3: leg de interne escalatielijn vast
Wie detecteert het incident? Wie beoordeelt de ernst? Wie neemt contact op met de toezichthouder? Zorg dat deze rollen bij naam zijn ingevuld en dat er altijd een vervanger is. Sla de contactgegevens op een plek op die ook bereikbaar is als je systemen plat liggen.
Stap 4: stel een meldsjabloon op
Maak een invulformulier voor de eerste 24-uursmelding. Dat voorkomt dat je in paniek vergeet wat je moet vermelden. Neem op: tijdstip van ontdekking, aard van het incident, getroffen systemen, eerste maatregelen en naam van de contactpersoon.
Stap 5: test en actualiseer het protocol
Een protocol dat nooit is geoefend, faalt op het moment dat het ertoe doet. Plan een jaarlijkse test en pas het protocol aan na elk echt incident of na wijzigingen in je organisatie of systemen.
Wie is verantwoordelijk voor het melden van een cyberincident?
Onder de NIS2-richtlijn ligt de eindverantwoordelijkheid voor het melden van een cyberincident bij het bestuur van de organisatie, niet bij de IT-afdeling. Het management is wettelijk aansprakelijk voor naleving van de meldplicht. In de praktijk voert een aangewezen functionaris de melding uit, maar de bestuurder tekent ervoor.
Dit is een belangrijk punt dat veel directeuren verrast. NIS2 maakt bestuurders persoonlijk aanspreekbaar als een organisatie haar verplichtingen niet nakomt. Het is dus niet iets wat je volledig kunt delegeren aan je IT-manager of externe IT-partner.
Wat je wél kunt doen, is de uitvoering beleggen bij een duidelijk aangewezen persoon, bijvoorbeeld een security officer, een IT-verantwoordelijke of een externe partij zoals TCA, die als managed IT-partner de meldprocedures voor je voorbereidt en begeleidt. De bestuurder blijft eindverantwoordelijk, maar hoeft het wiel niet zelf uit te vinden.
| Afspraak maken |
Wat zijn de gevolgen als je een incident niet (op tijd) meldt?
Als je een meldplichtig incident niet of te laat meldt onder de Cyberbeveiligingswet, riskeer je boetes tot 10 miljoen euro of 2% van je wereldwijde jaaromzet, afhankelijk van welk bedrag hoger is. Daarnaast kunnen bestuurders persoonlijk aansprakelijk worden gesteld. De toezichthouder kan ook corrigerende maatregelen opleggen of je tijdelijk verbieden bepaalde diensten te verlenen.
Maar de gevolgen gaan verder dan boetes alleen. Opdrachtgevers in jouw keten gaan steeds vaker vragen om aantoonbare compliance als voorwaarde voor samenwerking. Een gemiste of te late melding kan dus ook contracten kosten. En als een incident publiek wordt terwijl jij het niet hebt gemeld, is de reputatieschade moeilijk te herstellen.
De boodschap is helder: een goed incidentmeldprotocol opstellen kost tijd en moeite, maar de kosten van niet handelen zijn vele malen hoger. Organisaties die nu investeren in een werkende meldprocedure, staan straks sterk tegenover toezichthouders en opdrachtgevers.
Wil je weten of jouw organisatie klaar is voor de meldplicht onder de Cyberbeveiligingswet? TCA helpt MKB-bedrijven en organisaties in sectoren zoals zorg, transport en maakindustrie om hun cybersecurity op orde te brengen, inclusief het opstellen van een compleet incidentresponsprotocol. Maak een afspraak voor een gratis securitycheck en ontvang binnen 48 uur een persoonlijk rapport over waar je organisatie nu staat en wat er nog moet gebeuren.
Gerelateerde artikelen
- Waarom is phishing de grootste cyberdreiging voor mkb?
- Wat is een cyberaanval en hoe voorkom je die als mkb?
- Wat is awareness training en waarom is het verplicht onder NIS2?
- Hoe schaal je een cloudwerkplek mee met je groeiend team?
- Wat moet je regelen als een medewerker uit dienst gaat in Microsoft 365?