De Cyberbeveiligingswet (Cbw) verplicht organisaties die onder de wet vallen om significante incidenten te melden. Niet in één keer, maar in stappen. De eerste stap moet binnen 24 uur. Dat is kort, zeker 's nachts of in het weekend. In dit artikel lees je wat je moet melden, wanneer, bij wie, en hoe je zorgt dat je het haalt.
Wat is een significant incident?
Een incident is significant als het:
- ernstige verstoring van je dienstverlening of financieel verlies voor je organisatie veroorzaakt of kan veroorzaken, of
- anderen (personen of organisaties) aanzienlijke materiële of immateriële schade toebrengt of kan toebrengen.
Let op het woord "kan": ook een incident dat nog geen schade heeft veroorzaakt maar dat wel had kunnen doen, kan meldplichtig zijn. Denk aan ransomware die op tijd is gestopt, of een inbraak op een beheeraccount. Per sector kunnen nog nadere drempels worden vastgesteld.
De vier stappen
| Wanneer | Wat | Inhoud |
|---|---|---|
| Binnen 24 uur | Vroegtijdige waarschuwing | Er is een significant incident. Vermoed je kwaad opzet? Kan het gevolgen hebben in andere EU-landen? |
| Binnen 72 uur | Incidentmelding | Een update en eerste beoordeling: hoe ernstig, welke impact, en waar beschikbaar de kenmerken van de aanval (indicators of compromise). |
| Op verzoek | Tussentijds verslag | Als het CSIRT of de toezichthouder daarom vraagt. |
| Binnen een maand | Eindrapport | Een uitgebreide beschrijving: ernst en impact, het soort dreiging of de oorzaak, genomen maatregelen, en eventuele gevolgen over de grens. Loopt het incident nog? Dan stuur je een voortgangsverslag en volgt het eindrapport later. |
De termijnen lopen vanaf het moment dat je op de hoogte bent van het incident, niet vanaf het moment dat de aanval begon. Maar wie geen monitoring heeft, merkt het vaak pas laat, en dan moet je ook nog uitleggen hoe lang de aanvaller al binnen was.
Bij wie meld je?
Je meldt bij het CSIRT voor jouw sector (voor veel organisaties is dat het NCSC) en bij je toezichthouder, via het meldportaal. Daarnaast moet je in bepaalde gevallen je klanten informeren over een significant incident dat hen kan raken, en over maatregelen die zij zelf kunnen nemen.
Let op: de AVG is een aparte meldplicht. Zijn er bij het incident persoonsgegevens gelekt? Dan moet je dat datalek volgens de AVG ook binnen 72 uur melden bij de Autoriteit Persoonsgegevens. Dat is een andere melding, bij een andere instantie.
Zo haal je de 24 uur
De meeste organisaties lopen niet vast op het formulier, maar op de vragen ervoor: merken we het op tijd, wie beslist dat het significant is, en wie drukt op verzenden. Regel dit vooraf:
- Zicht. Je kunt alleen melden wat je ziet. Zorg voor monitoring van je systemen en meldingen bij verdachte activiteit, ook buiten kantoortijd.
- Eén eigenaar en een vervanger. Leg vast wie beoordeelt of een incident significant is, en wie die rol overneemt bij afwezigheid.
- Een sjabloon. Zet de vragen van de vroegtijdige waarschuwing en de 72-uursmelding in een document, zodat je alleen nog hoeft in te vullen.
- Contactgegevens op papier. Meldportaal, NCSC, toezichthouder, je IT-leverancier, je verzekeraar, en de mensen die met klanten communiceren. Op papier, want misschien werkt je e-mail niet.
- Logboek vanaf minuut één. Noteer wat je ziet, wat je doet en wanneer. Dat heb je nodig voor de 72-uursmelding en het eindrapport.
- Oefen. Speel één keer per jaar een scenario door, bijvoorbeeld ransomware op vrijdagavond. Je ontdekt dan wat er ontbreekt voordat het echt nodig is.
Hoe OZAG Security helpt
OZAG Security bewaakt je systemen dag en nacht en koppelt losse meldingen van dezelfde aanvaller aan één incident, met de tijdlijn, de getroffen systemen, de IP-adressen van de aanvaller en de gebruikte technieken (MITRE ATT&CK). Precies de informatie die je nodig hebt voor de 24- en 72-uursmelding. De AI-analist schrijft een beoordeling in gewone taal, en de rapporten helpen bij het eindrapport. Je kunt het 14 dagen gratis proberen.
Lees ook: NIS2-checklist voor het mkb: de 10 maatregelen in de praktijk
Dit artikel is algemene informatie en geen juridisch advies. Raadpleeg bij een incident altijd de actuele instructies van het NCSC en je toezichthouder.