Een cyberincident onder de NIS2-richtlijn is een gebeurtenis die de beschikbaarheid, integriteit of vertrouwelijkheid van netwerk- en informatiesystemen significant verstoort. Niet elk technisch probleem telt automatisch als meldplichtig incident: de richtlijn hanteert drempelwaarden op basis van impact, omvang en ernst. Voor organisaties die onder de Cyberbeveiligingswet vallen, is het cruciaal om te weten wanneer een incident de meldplicht triggert, hoe snel je moet handelen en wat de gevolgen zijn als je dat niet doet. Dit artikel beantwoordt de meest gestelde vragen over de NIS2-meldplicht, stap voor stap.
Welke drempelwaarden bepalen of een incident meldplichtig is?
Een incident is meldplichtig onder NIS2 als het een significante impact heeft op de dienstverlening van de organisatie. De richtlijn hanteert daarvoor drie concrete criteria: het incident veroorzaakt ernstige operationele verstoring, het leidt tot aanzienlijke financiële schade, of het heeft gevolgen voor andere personen of organisaties. Zijn een of meer van deze criteria van toepassing, dan is melden verplicht.
In de praktijk betekent dit dat je kijkt naar de omvang van de verstoring. Hoeveel gebruikers of systemen zijn getroffen? Hoe lang duurt de uitval? Heeft de verstoring gevolgen buiten je eigen organisatie, bijvoorbeeld voor klanten of ketenpartners? Een korte storing op één werkplek is doorgaans niet meldplichtig. Een ransomware-aanval die de productie stilzet of patiëntgegevens vergrendelt, vrijwel zeker wel.
Belangrijk om te weten: de beoordeling of een incident significant is, ligt bij de organisatie zelf. Dat vraagt om heldere interne criteria en een goed gedocumenteerd incidentresponsproces. Organisaties die daar nu nog niets voor hebben geregeld, lopen het risico om te laat te handelen of de verkeerde beslissing te nemen op een moment dat het er echt toe doet.
| Afspraak maken |
Wat is het verschil tussen een incident en een cyberdreiging onder NIS2?
Een cyberincident is een gebeurtenis die daadwerkelijk heeft plaatsgevonden en schade veroorzaakt of dreigt te veroorzaken aan systemen of diensten. Een significante cyberdreiging is een situatie waarbij een aanval nog niet heeft plaatsgevonden, maar waarbij er concrete aanwijzingen zijn dat dit dreigt te gebeuren. Beide begrippen kennen een eigen meldregime onder de NIS2-richtlijn.
Voor significante cyberdreigingen geldt dat organisaties de bevoegde autoriteiten moeten informeren als de dreiging potentieel grote gevolgen kan hebben voor de dienstverlening of voor afnemers. Dit is een preventieve meldplicht: je meldt niet wat er al mis is gegaan, maar wat er mis kan gaan als er niet wordt ingegrepen.
Het onderscheid is in de praktijk niet altijd scherp. Een phishingpoging die slaagt, is een incident. Een phishingcampagne die wordt gedetecteerd voordat iemand klikt, is een dreiging. Het verschil bepaalt welke meldtermijnen en procedures van toepassing zijn, dus het is essentieel dat je organisatie beide situaties herkent en weet hoe te handelen.
Vallen datalekken ook onder de NIS2-meldplicht?
Ja, datalekken kunnen onder de NIS2-meldplicht vallen, maar NIS2 en de AVG zijn twee afzonderlijke regimes met elk hun eigen meldverplichtingen. Een datalek waarbij persoonsgegevens zijn betrokken, moet op grond van de AVG worden gemeld bij de Autoriteit Persoonsgegevens. Als datzelfde datalek ook de beschikbaarheid of integriteit van kritieke systemen raakt, kan het tegelijkertijd meldplichtig zijn onder NIS2.
In de praktijk overlappen deze meldplichten regelmatig. Een ransomware-aanval waarbij klantgegevens worden gestolen en systemen worden versleuteld, triggert doorgaans beide verplichtingen. Organisaties moeten dan aan twee verschillende toezichthouders rapporteren, binnen verschillende termijnen en met verschillende inhoudelijke eisen.
Dit maakt het des te belangrijker om vooraf te weten welke meldprocedures voor jouw organisatie gelden. Wie is verantwoordelijk voor de melding? Wie is de bevoegde toezichthouder onder NIS2? En hoe zorg je dat beide meldingen tijdig en correct worden gedaan? Dat zijn vragen die je niet voor het eerst wilt beantwoorden midden in een crisis.
Binnen welke termijn moet een cyberincident worden gemeld?
De NIS2-richtlijn hanteert een getrapt meldschema met drie fasen. Binnen 24 uur na ontdekking moet een eerste melding worden gedaan: een vroege waarschuwing aan de bevoegde autoriteit. Binnen 72 uur volgt een uitgebreidere incidentmelding met meer detail over de aard, omvang en impact. Na afronding van het incident, of uiterlijk na een maand, volgt een eindrapportage met een volledige analyse en de genomen maatregelen.
Die 24-uurtermijn is strak. In de praktijk betekent dit dat je al een eerste melding moet kunnen doen terwijl het incident nog bezig is en je nog niet alles weet. De vroege waarschuwing hoeft geen volledig beeld te geven, maar moet wel aantonen dat je het incident hebt herkend en dat er actie wordt ondernomen.
Organisaties die geen incidentresponsproces hebben ingericht, zullen deze termijnen vrijwel zeker niet halen. Het opstellen van meldplichtprotocollen, het aanwijzen van verantwoordelijken en het oefenen met scenario’s is daarom geen luxe, maar een basisvereiste onder de Cyberbeveiligingswet.
Wat gebeurt er als een incident niet of te laat wordt gemeld?
Als een organisatie een meldplichtig incident niet of te laat meldt, kan de toezichthouder handhavend optreden. De NIS2-richtlijn voorziet in boetes tot 10 miljoen euro of 2% van de wereldwijde jaaromzet voor essentiële entiteiten, afhankelijk van welk bedrag hoger is. Voor belangrijke entiteiten liggen de maxima iets lager. Naast de financiële sanctie is er het risico van bestuurdersaansprakelijkheid: NIS2 legt de verantwoordelijkheid expliciet bij het management, niet bij de IT-afdeling.
Dat laatste is een wezenlijke verschuiving ten opzichte van eerdere regelgeving. Een directeur of bestuurder kan persoonlijk aansprakelijk worden gesteld als blijkt dat er onvoldoende maatregelen zijn genomen of dat meldverplichtingen structureel zijn genegeerd. Dit is geen theoretisch risico: toezichthouders in andere EU-lidstaten hebben al laten zien dat ze bereid zijn tot handhaving.
Daarnaast zijn er indirecte gevolgen. Opdrachtgevers in de keten gaan compliance steeds vaker eisen als voorwaarde voor samenwerking. Een organisatie die aantoonbaar niet voldoet aan NIS2-verplichtingen, riskeert niet alleen boetes, maar ook het verlies van contracten en reputatieschade.
| Afspraak maken |
Hoe bereid je een organisatie voor op de NIS2-meldplicht?
Voorbereiding op de NIS2-meldplicht begint met drie concrete stappen: weten of je onder de richtlijn valt, begrijpen welke incidenten meldplichtig zijn, en een werkend incidentresponsproces hebben ingericht voordat er iets misgaat. Organisaties die nu nog niets hebben geregeld, kunnen dat niet meer uitstellen: de Cyberbeveiligingswet treedt naar verwachting medio 2026 in werking.
Stap 1: Breng je huidige situatie in kaart
Begin met een nulmeting: welke systemen en processen zijn kritiek voor je dienstverlening, welke risico’s zijn er, en wat ontbreekt er aan maatregelen en procedures? Zonder dit startpunt weet je niet wat er geregeld moet worden. TCA biedt een gratis online assessment waarmee je binnen 48 uur een persoonlijk rapport ontvangt over waar je organisatie nu staat. Dat is de logische eerste stap voor elke organisatie die serieus werk wil maken van NIS2-compliance en informatiebeveiliging.
Stap 2: Richt incidentrespons en meldprocedures in
Stel vast wie in jouw organisatie verantwoordelijk is voor het herkennen, beoordelen en melden van incidenten. Leg vast welke drempelwaarden je hanteert om te bepalen of een incident significant is. Schrijf de meldprocedures uit, inclusief contactgegevens van de bevoegde toezichthouder en de interne escalatielijnen. Oefen met scenario’s zodat iedereen weet wat er van hem of haar wordt verwacht als het moment daar is.
Stap 3: Zorg voor technische monitoring
Je kunt alleen melden wat je detecteert. Organisaties zonder actieve monitoring missen incidenten of ontdekken ze te laat om binnen 24 uur te kunnen melden. Een solide securitybaseline met endpoint protection, netwerkmonitoring en logging is de technische basis waarop je meldplicht rust. Zonder die basis is het onmogelijk om consequent aan de NIS2-termijnen te voldoen.
De combinatie van beleid, techniek en begeleiding is precies wat veel MKB-organisaties missen. Ze hebben een IT-manager die technisch sterk is, maar geen compliance-achtergrond heeft, en geen juridische afdeling die de regelgeving vertaalt naar concrete acties. TCA werkt als managed IT-partner die dit traject van begin tot eind begeleidt: van nulmeting en implementatie van maatregelen tot meldplichtprotocollen en periodieke audits. Zo sta je er niet alleen voor als de Cyberbeveiligingswet van kracht wordt.
Wil je weten waar jouw organisatie nu staat en wat er nodig is om NIS2-compliant te worden? Maak een afspraak en ontvang binnen 48 uur inzicht in je huidige situatie, zonder verplichtingen.