NIS2 meldplicht: zo werkt het melden van incidenten

De NIS2 meldplicht verplicht organisaties die onder de Cyberbeveiligingswet vallen om significante incidenten te melden. Dat gebeurt gefaseerd: eerst een vroege waarschuwing, daarna een uitgebreidere melding en tot slot een eindrapportage.

Het lastige aan de meldplicht is zelden het formulier. Het is het besluit: wanneer is een incident significant, wie beoordeelt dat en wie mag besluiten dat er gemeld wordt, ook als het zaterdagnacht speelt.

Hieronder leest u hoe de fasen werken, wanneer iets significant is en hoe u de keten zo inricht dat het besluit niet blijft liggen.

Drie fasen

De meldplicht is opgebouwd in stappen, zodat u niet hoeft te wachten tot u alles weet voordat u meldt.

De eerste stap is een vroege waarschuwing, kort na constatering. Die is bewust beperkt: u meldt dat er iets is en wat u op dat moment weet, meer niet. Vermoedt u kwaad opzet of grensoverschrijdende gevolgen, dan geeft u dat aan.

De tweede stap is de eigenlijke melding, met een eerste beoordeling van aard, ernst en gevolgen. De derde stap is een eindrapportage, met de oorzaak, de genomen maatregelen en de gevolgen. Loopt het incident nog, dan geeft u een voortgangsrapportage en volgt de eindrapportage later.

Wanneer is een incident significant

Dit is de vraag waar het in de praktijk op vastloopt. Grofweg gaat het om incidenten die ernstige verstoring van uw dienst veroorzaken of financiële verliezen, of die aanzienlijke schade bij anderen kunnen veroorzaken.

Dat is een open norm, en dat betekent dat u zelf criteria moet vaststellen die daarbij passen. Wat is voor uw organisatie een ernstige verstoring: een uur uitval, een dag, of het raken van een specifieke dienst?

Leg die criteria vooraf vast, met voorbeelden. Tijdens een incident is er geen ruimte om die discussie alsnog te voeren, en dan wordt er of te veel gemeld of te laat.

De meldketen inrichten

Een meldplicht zonder ingerichte keten is een procedure in een map. Vier dingen moeten geregeld zijn voordat het misgaat.

• Wie beoordeelt. Wie bepaalt of een incident significant is, en wie doet dat als die persoon er niet is.
• Wie besluit. Wie mag besluiten dat er gemeld wordt. Leg dit laag genoeg, want een besluit dat op de directie moet wachten kost uren.
• Waarheen. Bij welk meldpunt u meldt, en of er meer meldingen nodig zijn, bijvoorbeeld bij de Autoriteit Persoonsgegevens als er persoonsgegevens bij betrokken zijn.
• Buiten kantooruren. Wie bereikbaar is, hoe die persoon wordt bereikt en of dat is getest.

Dat laatste punt wordt het vaakst overgeslagen en het vaakst pijnlijk. Zet het bij de eerstvolgende oefening op de agenda: zie de cybercrisisoefening.

Let op het bewijs

De eerste reflex bij een verstoring is herstellen. Dat is begrijpelijk en het kan sporen wissen die u nodig heeft voor de melding en voor het onderzoek daarna.

Spreek daarom vooraf af wat er wordt veiliggesteld voordat er wordt hersteld: logbestanden, een systeemkopie, tijdstippen en wie wat heeft gedaan. Dat hoeft niet ingewikkeld te zijn, als het maar vooraf is bedacht.

Hoe u dat vastlegt hoort thuis in uw incident response plan, samen met de rolverdeling tijdens een incident.

Wat er in een melding hoort

De inhoud verschilt per fase, en het helpt om die verschillen vooraf te kennen zodat u niet onder druk gaat zoeken.

Bij de vroege waarschuwing volstaat weinig: dat er een incident is, wanneer het is geconstateerd, welke dienst het raakt en of u kwade opzet of grensoverschrijdende gevolgen vermoedt. Dat u nog niet weet wat er precies aan de hand is, is normaal en geen reden om te wachten.

Bij de eigenlijke melding komt daar een eerste beoordeling bij van de aard, de ernst en de gevolgen, plus wat u tot dan toe heeft gedaan. In de eindrapportage beschrijft u de oorzaak, de maatregelen die u heeft genomen om herhaling te voorkomen en de uiteindelijke gevolgen, ook grensoverschrijdend.

Houd tijdens een incident een tijdlijn bij, van het eerste signaal tot het herstel. Dat is het lastigst achteraf te reconstrueren en het is precies wat er in de eindrapportage wordt gevraagd.

Criteria vaststellen voordat het misgaat

Significant is een open norm, en dat betekent dat u zelf moet bepalen wanneer iets daaronder valt. Doe dat vooraf, want tijdens een incident is er geen ruimte voor die discussie.

Werk met concrete drempels die passen bij uw dienst. Hoeveel uur uitval vindt u ernstig? Vanaf hoeveel getroffen klanten? Welke systemen zijn zo bepalend dat elke verstoring daar meetelt? En welke gegevens zijn zo gevoelig dat toegang erdoor onbevoegden altijd significant is?

Schrijf er voorbeelden bij. Een beslisboom met drie concrete scenario’s werkt beter dan een definitie van vijf regels, want de persoon die om drie uur ’s nachts moet besluiten leest geen definities.

Toets die criteria een keer aan een incident uit het verleden. Was dat significant geweest volgens uw eigen drempels? Als het antwoord u verrast, kloppen de drempels nog niet.

De rol van uw leveranciers in de meldketen

Dit is het punt waarop meldketens in de praktijk het vaakst falen. De meldplicht ligt bij u, ook als het incident bij een leverancier ontstond en u het als laatste hoort.

Leg daarom contractueel vast dat uw leveranciers u onverwijld informeren bij een incident dat u kan raken. Zonder die afspraak hoort u het misschien pas dagen later, en dan is uw eigen termijn al verstreken.

Regel ook wat er precies wordt gemeld. Alleen dat er iets is, of ook wat de vermoedelijke oorzaak is en welke van uw gegevens of systemen erbij betrokken zijn? Dat laatste heeft u nodig om te kunnen beoordelen of het bij u significant is.

En spreek een contactpersoon en een kanaal af dat buiten kantooruren werkt. Een servicedeskformulier dat pas op maandag wordt gelezen, is geen meldkanaal.

Veelgestelde vragen over de NIS2 meldplicht

Binnen welke termijn moet ik melden?

De meldplicht is gefaseerd, met een korte termijn voor de vroege waarschuwing, een langere voor de eigenlijke melding en een eindrapportage daarna. Reken erop dat de eerste stap in uren gaat en niet in dagen, en richt uw keten daarop in.

Moet ik ook melden als het incident is opgelost?

Ja, als het significant was. Dat het snel is opgelost maakt het incident niet minder meldenswaardig. Wel is het prettiger melden, want dan kunt u in dezelfde beweging aangeven wat u heeft gedaan.

Wat als ik twijfel of iets significant is?

Meld het. Te veel melden heeft geen sanctie, te laat melden wel. Belangrijker is dat u vooraf criteria heeft vastgesteld, zodat die twijfel zich zo min mogelijk voordoet.

Moet ik ook bij de Autoriteit Persoonsgegevens melden?

Als er persoonsgegevens bij betrokken zijn, geldt de meldplicht uit de AVG daarnaast. Dat zijn twee aparte meldingen met eigen termijnen en eigen meldpunten. Neem beide op in uw meldketen.

Wie meldt er, wij of onze IT-leverancier?

U. De verplichting ligt bij de organisatie die onder de wet valt, ook als het incident bij een leverancier ontstond. Leg daarom contractueel vast dat uw leverancier u onverwijld informeert, want anders kunt u niet op tijd melden.