De meldplicht onder de Cyberbeveiligingswet: het 24-uursdraaiboek

De meldplicht verplicht essentiële en belangrijke entiteiten om een significant incident te melden bij het CSIRT (voor de meeste organisaties het NCSC) en bij de toezichthouder. De melding verloopt in drie stappen met harde deadlines, die beginnen te tellen zodra je van het incident op de hoogte bent. De meldplicht geldt voor beide categorieën entiteiten even zwaar; het verschil zit in het toezicht, niet in de deadlines.

De plicht staat niet op zichzelf. Zij vormt samen met de zorgplicht (beveiligingsmaatregelen, waaronder logging en detectie) en de registratieplicht bij het NCSC de kern van de Cyberbeveiligingswet, de Nederlandse implementatie van NIS2. Het bestuur is persoonlijk verantwoordelijk voor de naleving.

Weet je niet zeker of jouw organisatie onder de wet valt? Doe de gratis check op cyberplicht.nl: drie vragen, zestig seconden, anoniem. Je ziet direct of je een essentiële of belangrijke entiteit bent, of dat je via ketenverplichtingen wordt geraakt.

Een incident is significant als het een ernstige operationele verstoring van je diensten of financiële verliezen veroorzaakt of kan veroorzaken, of als het andere personen of organisaties aanzienlijke materiële of immateriële schade toebrengt of kan toebrengen. Let op het woord “kan”: ook een incident waarvan de schade nog niet vaststaat maar wel reëel dreigt, valt onder de meldplicht.

In de praktijk: een ransomware-besmetting, een aanvaller met toegang tot je systemen, een storing die een essentiële dienst raakt of een datalek met impact op derden zijn vrijwel altijd significant. Twijfel je, meld dan. Een melding is geen schuldbekentenis en het NCSC helpt juist bij de duiding; te laat melden is wél een overtreding.

1. Binnen 24 uur: de vroegtijdige waarschuwing. Een korte eerste melding met wat je op dat moment weet: of je vermoedt dat het incident door kwaadwillig handelen is veroorzaakt en of het grensoverschrijdende gevolgen kan hebben. Deze melding mag beperkt zijn; wachten tot je het volledige beeld hebt is de fout die je niet mag maken.
2. Binnen 72 uur: de volledige melding. Een incidentmelding met je eerste beoordeling van de ernst en de impact, en de indicatoren van compromittatie (IOC’s) die je op dat moment hebt. Hier moet je dus al kunnen laten zien wat er in je systemen gebeurd is.
3. Binnen één maand: het eindrapport. Een gedetailleerde beschrijving van het incident, de vermoedelijke oorzaak, de genomen en lopende maatregelen en de eventuele grensoverschrijdende gevolgen. Loopt het incident dan nog, dan volgt het eindrapport een maand na afronding; het CSIRT kan tussentijds om een statusverslag vragen.

Alle drie de stappen meld je bij het CSIRT en de toezichthouder; voor de meeste organisaties is dat één loket via het meldportaal van het NCSC. Wie je toezichthouder is hangt af van je sector: voor veel sectoren is dat de Rijksinspectie Digitale Infrastructuur (RDI), voor bijvoorbeeld de financiële sector DNB.

1. Beleg het meldproces. Wijs aan wie de melding doet, wie diens vervanger is en wie het bestuur informeert. De 24-uursklok loopt ook in het weekend en tijdens vakanties.
2. Regel de registratie en toegang tot het meldportaal. De registratieplicht bij het NCSC geldt sowieso; zorg dat de accounts en contactgegevens kloppen vóórdat je ze om 03:00 ’s nachts nodig hebt.
3. Leg je classificatiecriteria vast. Beschrijf wanneer een incident voor jouw organisatie significant is, met concrete drempels per dienst. Dat voorkomt discussie op het moment zelf en toont de toezichthouder dat je het proces beheerst.
4. Centraliseer je logging en zet detectie aan. Binnen 24 uur iets zinnigs zeggen over kwaadwillig handelen kan alleen als de relevante logs al bestaan, doorzoekbaar zijn en detectie het incident heeft opgemerkt. Dit is de technische fundering onder de hele meldketen.
5. Maak een meldtemplate. Eén document met de velden van alle drie de meldingen (zie hieronder), vooraf ingevuld met de vaste gegevens van je organisatie. In een crisis wil je invullen, niet bedenken.
6. Oefen de keten. Eén tabletop-oefening per jaar waarin je een fictief incident binnen 24 uur tot een ingevulde vroegtijdige waarschuwing brengt, leert je meer dan tien beleidsdocumenten.

Vroegtijdige waarschuwing (24 uur)

• dat er een significant incident is, en sinds wanneer;
• of je kwaadwillig handelen vermoedt;
• of het incident grensoverschrijdende gevolgen kan hebben.

Volledige melding (72 uur)

• een eerste beoordeling van ernst en impact;
• de getroffen diensten en systemen;
• beschikbare indicatoren van compromittatie (IOC’s).

Eindrapport (één maand)

• een gedetailleerde beschrijving van het incident en het verloop;
• de vermoedelijke oorzaak;
• de genomen en lopende maatregelen;
• de eventuele grensoverschrijdende gevolgen.

De rode draad: elke fase vraagt méér onderbouwing uit je logs. De vroegtijdige waarschuwing draait op detectie, de 72-uursmelding op doorzoekbare logs en IOC’s, het eindrapport op een volledige reconstructie inclusief oorzaak.

Niet of te laat melden is een zelfstandige overtreding, los van de vraag of je beveiliging op orde was. De boetes lopen op tot 10 miljoen euro of 2% van de wereldwijde jaaromzet voor essentiële entiteiten en 7 miljoen euro of 1,4% voor belangrijke entiteiten. De toezichthouder kan daarnaast bindende aanwijzingen geven en bij essentiële entiteiten als uiterste middel bestuurders tijdelijk laten schorsen. Het bestuur is persoonlijk verantwoordelijk voor het meldproces.

Elke deadline in de meldketen leunt op dezelfde fundering: logs die al bestaan, op één plek doorzoekbaar zijn en bewaakt worden door detectie. Dat is precies de kant die LogPulse dekt: gecentraliseerd logbeheer met instelbare retentie, realtime detecties met MITRE ATT&CK-mapping in de LogPulse SIEM, en incident-workflows die de 24-uurs- en 72-uursmeldingen onderbouwen met tijdlijnen, getroffen systemen en IOC’s. De data blijft in de EU (GCP Amsterdam).

Voor de duidelijkheid: geen enkel product maakt je vanzelf compliant, en de meldplicht is uiteindelijk een proces van mensen. Maar het verschil tussen een melding die binnen 24 uur staat en een die te laat komt, is vrijwel altijd of de logging en detectie er al waren. Zie NIS2-compliance met LogPulse voor hoe dat eruitziet, of begin gratis en zet je eerste detecties vandaag aan.