1
Vroegtijdige waarschuwing
Een kort eerste signaal aan het CSIRT voor jouw sector en aan de bevoegde autoriteit dat er iets significants speelt. Dit is nadrukkelijk geen volledig rapport.
NIS2 & Cyberbeveiligingswet
De NIS2-meldplicht: 24 uur, 72 uur, één maand
Bij een significant incident moet je binnen 24 uur een eerste waarschuwing sturen, binnen 72 uur een volwaardige melding en binnen een maand een eindverslag. De klok start zodra je van het incident kennisneemt — niet zodra je het hebt opgelost. Deze verplichting geldt sinds 15 augustus 2026, met de Cyberbeveiligingswet.
Wanneer moet je melden?
Niet elk incident is meldplichtig. De richtlijn spreekt van een significant incident, en geeft daar twee criteria voor. Eén ervan is genoeg.
- Het incident heeft een ernstige verstoring van je dienstverlening of financiële verliezen veroorzaakt, of kan die veroorzaken.
- Het incident heeft andere personen of organisaties geraakt door aanzienlijke materiële of immateriële schade, of kan dat doen.
Let op het woord “kan”. Je hoeft niet te wachten tot de schade vaststaat; een reële mogelijkheid is voldoende. Dat is bewust zo geformuleerd, omdat je 24 uur na ontdekking zelden al weet hoe erg het is.
Dat betekent in de praktijk dat je bij twijfel de eerste waarschuwing stuurt. Een melding die achteraf overbodig blijkt kost je niets; een gemiste melding wel.
Naast deze algemene criteria kunnen per sector nadere drempelwaarden zijn vastgesteld bij ministeriële regeling. Zoek uit wat er voor jouw sector geldt en verwerk die drempel in je eigen beoordelingschecklist, zodat je die afweging niet tijdens een incident hoeft te maken.
De termijnen, stap voor stap
2
Incidentmelding
De volwaardige melding. Hierin actualiseer je de eerste waarschuwing met wat je inmiddels weet.
3
Tussentijds verslag
Alleen als de bevoegde instantie of het CSIRT erom vraagt. Bedoeld om tussentijds bij te praten over de status.
4
Eindverslag
Het afsluitende rapport waarin je terugkijkt op het incident en wat je eraan gedaan hebt.
Loopt het incident na een maand nog? Dan stuur je een voortgangsverslag en volgt het eindverslag binnen een maand nadat het incident is afgehandeld.
Je klanten informeren
De meldplicht loopt niet alleen richting de toezichthouder.
Waar dat passend is, moet je ook de afnemers van je dienst informeren over een significant incident dat hun dienstverlening kan raken — en over de maatregelen of tegenmaatregelen die zij zelf kunnen nemen. Bij een significante cyberdreiging die je opmerkt geldt hetzelfde: je vertelt je klanten wat zij kunnen doen om zich te beschermen.
Onderschat dit onderdeel niet. Voor de meeste MKB-organisaties is dit het lastigste deel van de meldplicht, omdat het communicatie onder tijdsdruk vraagt naar precies de partij die je liever niet ongerust maakt. Een vooraf geschreven klantcommunicatie-sjabloon scheelt hier meer dan welke technische maatregel ook.
NIS2-melding en AVG-datalek zijn niet hetzelfde
Ze lijken op elkaar, maar het zijn twee losse verplichtingen met een eigen trigger, een eigen loket en een eigen termijn.
NIS2-melding
Trigger: significant incident in je netwerk- en informatiesystemen — ook zonder dat er persoonsgegevens bij betrokken zijn.
Termijn: 24 uur waarschuwing, 72 uur melding, één maand eindverslag.
AVG-datalek
Trigger: inbreuk op de beveiliging van persoonsgegevens met risico voor betrokkenen — ook zonder dat je dienstverlening verstoord is.
Termijn: 72 uur aan de Autoriteit Persoonsgegevens.
Eén ransomware-aanval kan beide verplichtingen tegelijk triggeren. Regel daarom één incidentprocedure die aan het begin twee vragen stelt: raakt dit onze dienstverlening, en zitten hier persoonsgegevens in? Op basis daarvan lopen de twee sporen parallel, met hun eigen klok.
Wat je vooraf geregeld moet hebben
Binnen 24 uur melden lukt alleen als het meeste werk al gedaan is voordat er iets misgaat.
- Een aanspreekpunt met mandaat — iemand die op zaterdagavond mag besluiten dat er gemeld wordt, zonder eerst het voltallige bestuur te zoeken.
- Een vastgelegde beoordelingsstap — hoe stel je vast of een incident significant is? Zet de twee criteria om in een korte checklist.
- Bekende meldkanalen — weet vooraf welk CSIRT en welke bevoegde autoriteit voor jouw sector gelden, en hoe je daar buiten kantooruren binnenkomt. Het NCSC is het landelijke CSIRT; voor sommige sectoren is een eigen sector-CSIRT aangewezen.
- Concept-meldteksten — een sjabloon voor de 24-uursmelding scheelt de kostbaarste uren.
- Registratie vanaf minuut één — leg tijdstippen, waarnemingen en besluiten vast. Het eindverslag vraagt om de grondoorzaak en die reconstrueer je een maand later niet uit je geheugen.
- Een geoefend proces — één tafeloefening per jaar laat feilloos zien welke van bovenstaande punten alleen op papier bestaat.
Veelgestelde vragen over de meldplicht
Bij wie moet ik melden?
Bij het CSIRT voor jouw sector én bij de bevoegde autoriteit. Onder de Cyberbeveiligingswet, die sinds 15 augustus 2026 geldt, is het NCSC het landelijke CSIRT; voor sommige sectoren is een eigen sector-CSIRT aangewezen. Zoek vooraf uit welk loket voor jou geldt en hoe je daar buiten kantooruren binnenkomt — dat wil je niet uitzoeken terwijl de klok van 24 uur loopt.
Geldt voor mijn sector een eigen drempelwaarde?
Mogelijk wel. De algemene criteria voor een significant incident staan in de wet, maar per sector kunnen bij ministeriële regeling nadere drempelwaarden zijn vastgesteld. Controleer wat er voor jouw sector geldt en verwerk die drempel in je eigen beoordelingschecklist, zodat de afweging niet per incident opnieuw gemaakt hoeft te worden.
Wanneer begint de termijn van 24 uur te lopen?
Vanaf het moment dat je kennisneemt van het significante incident — niet vanaf het moment dat het incident begon en ook niet vanaf het moment dat je het hebt opgelost. Leg daarom vast wanneer een melding of waarneming binnenkwam; dat tijdstip bepaalt je klok.
Wat als ik na 24 uur nog nauwelijks iets weet?
Dat is de normale situatie en de regeling houdt daar rekening mee. De vroegtijdige waarschuwing is expliciet bedoeld als kort signaal, niet als rapport. Je meldt dat er iets speelt en wat je vermoedt; de inhoudelijke beoordeling volgt in de melding van 72 uur.
Moet ik elk incident melden?
Nee, alleen significante incidenten. Dat zijn incidenten die een ernstige verstoring van je dienstverlening of financiële verliezen veroorzaken of kunnen veroorzaken, of die anderen aanzienlijke materiële of immateriële schade toebrengen of kunnen toebrengen. Bij twijfel is melden verstandiger: een overbodige melding kost je niets, een gemiste wel.
Is een NIS2-melding hetzelfde als een AVG-datalekmelding?
Nee. Het zijn twee losse verplichtingen met een eigen trigger, een eigen loket en een eigen termijn. Een NIS2-melding gaat over verstoring van je netwerk- en informatiesystemen, een AVG-melding over persoonsgegevens. Eén incident kan beide tegelijk triggeren, dus richt je incidentprocedure zo in dat je beide sporen parallel start.
Moet ik mijn klanten ook informeren?
Waar dat passend is wel. Je informeert afnemers over een significant incident dat hun dienstverlening kan schaden, en over de maatregelen die zij zelf kunnen nemen. Bij een significante cyberdreiging geldt hetzelfde. Voor de meeste organisaties is dit het lastigste deel, omdat het communicatie onder tijdsdruk vraagt — een sjabloon vooraf scheelt veel.
Wat als het incident na een maand nog loopt?
Dan stuur je op dat moment een voortgangsverslag in plaats van een eindverslag. Het eindverslag volgt binnen een maand nadat het incident daadwerkelijk is afgehandeld.
Incidentproces op orde brengen
We richten de procedure, de rollen en de meldsjablonen in — en oefenen ze een keer met je team.