Moet elk incident gemeld worden?

Nee, alleen significante incidenten: incidenten die ernstige verstoring of financiële schade veroorzaken of anderen aanzienlijk raken.

Vervangt een NIS2-melding een AVG-datalekmelding?

Nee. Bij een datalek kan daarnaast een melding bij de Autoriteit Persoonsgegevens nodig zijn.

← Vijf zorgplichtthema's

Art. 21.2(b) & Art. 23

Incidentbehandeling & 24/72u Meldplicht onder NIS2

NIS2 introduceert een strakke, getrapte meldplicht voor significante incidenten. Binnen 24 uur na kennisname volgt een vroegtijdige waarschuwing, binnen 72 uur een incidentmelding en binnen een maand een eindrapport. Dat lukt alleen als detectie, beoordeling en escalatie vooraf zijn ingericht. Te laat melden is een zelfstandig verzuim, los van de schade door het incident zelf.

Wat NIS2 verplicht

Incidentbehandeling

Beleid en procedures voor preventie, detectie en respons op incidenten (Art. 21.2(b)).

24 uur: vroegtijdige waarschuwing

Na kennisname van een significant incident, bij het CSIRT of de bevoegde autoriteit (Art. 23 lid 4(a)).

72 uur: incidentmelding

Een eerste beoordeling van ernst, impact en indicatoren (Art. 23 lid 4(b)).

Eindrapport binnen een maand

Beschrijving, oorzaak, genomen maatregelen en grensoverschrijdende impact (Art. 23 lid 4(d)).

Detectie en oefening

Monitoring, een responsplan met rollen en periodieke oefeningen.

Wat toetst de scan op dit thema?

1.
Er is een gedocumenteerd meldprotocol voor de 24-uurs vroegtijdige waarschuwing.
Art. 23 lid 4(a) · Proces
2.
Het proces voor de 72-uurs incidentmelding en het eindrapport (1 maand) is beschreven.
Art. 23 lid 4(b)(d) · Proces
3.
Er is een incidentresponsplan met rollen, escalatie en communicatie.
Art. 21.2(b) · Beleid
4.
Het incidentresponsteam oefent minimaal jaarlijks (tabletop/simulatie).
Art. 21.2(b)(f) · Mens
5.
Er is 24/7 detectie op verdachte activiteiten (EDR/MDR of SOC).
Art. 21.2(b) · Techniek
6.
Incidenten worden geregistreerd en geëvalueerd (lessons learned).
Art. 21.2(b)(f) · Proces

Hoe scoort u op Incidentbehandeling & 24/72u Meldplicht?

Doe de gratis nulmeting en zie direct uw score per thema, knelpunten en een plan van aanpak.

Start de scan

Verdiepende artikelen

Veelgestelde vragen

Op het moment dat u kennis krijgt van een significant incident, niet op het moment van de inbraak zelf.

Andere zorgplichtthema's

Governance & Bestuur onder NIS2

Art. 20 & 21.2(a)(f)(g)

Technische Preventie & Cyberhygiëne onder NIS2

Art. 21.2(e)(g)(h)(i)(j)

Bedrijfscontinuïteit & Crisisbeheer onder NIS2

Art. 21.2(c)

Ketenbeveiliging & Leveranciersmanagement onder NIS2

Art. 21.2(d) & 21.3

Deze pagina is informatief, niet juridisch getoetst en vervangt geen individueel advies. Zie de disclaimer.