Incidentresponsplan

Het document dat beschrijft wat er gebeurt zodra er een beveiligingsincident is: wie doet wat, in welke volgorde, en binnen welke termijn wordt er gemeld.

Wat erin hoort

• wat bij u telt als incident en wat als significant incident
• wie het beoordeelt en wie mag besluiten dat er gemeld wordt
• bereikbaarheid buiten kantooruren, met namen en telefoonnummers
• de meldroutes: CSIRT binnen 24 uur, klanten, en waar van toepassing de Autoriteit Persoonsgegevens
• de stappen: vaststellen, indammen, herstellen, evalueren
• hoe en door wie er gecommuniceerd wordt, intern en extern

Wie stelt het vast

Vaststelling gebeurt door de verantwoordelijke voor informatiebeveiliging, bekend bij het bestuur. Zonder datum en zonder vaststeller heeft een document geen status, en dan telt het bij een controle niet mee als bewijs.

Hoe vaak herzien

Herzien: jaarlijks, en na elk significant incident. Zet de volgende herzieningsdatum in het document zelf, dan is het bij een controle meteen duidelijk of het actueel is.

Hoe lang moet het zijn

kort. Twee tot vier pagina's die iemand onder druk kan volgen, plus een kaart van één A4 met telefoonnummers.

Fouten die er het vaakst in zitten

• Het plan staat op de fileserver die bij een incident niet bereikbaar is.
• Er is geen aangewezen persoon die 's avonds of in het weekend mag besluiten te melden.
• Het plan is nooit beproefd, dus niemand weet of het werkt.

De kaart van één A4

Naast het plan zelf maakt u een kaart die op papier gaat en die iemand onder druk kan volgen:

1. Vermoed u een incident? Bel [naam en nummer]. Buiten kantooruren [naam en nummer].
2. Wat doet u meteen niet: systemen uitzetten of opschonen, want dat vernietigt sporen.
3. Wie beslist of het significant is: [rol], met als vervanger [rol].
4. Melden bij het CSIRT binnen 24 uur via [adres of formulier]. Aanvulling binnen 72 uur.
5. Persoonsgegevens betrokken? Ook melden bij de Autoriteit Persoonsgegevens binnen 72 uur.
6. Klanten informeren volgens de termijn in het contract.
7. Wie praat met de buitenwereld: [naam]. Anderen verwijzen door.

Meer heeft niemand nodig op het moment zelf. Het uitgebreide plan is er voor de voorbereiding, deze kaart voor de uitvoering.

Het plan moet werken zonder uw systemen

Een incidentresponsplan dat alleen digitaal beschikbaar is, is precies dan onbruikbaar wanneer u het nodig heeft. Bij gijzelsoftware ligt uw fileserver plat, uw e-mail eruit, en staat het plan met alle telefoonnummers in een omgeving waar u niet bij kunt.

Print de kaart met contactgegevens en meldroutes uit, en geef hem aan de mensen die hem nodig hebben. Dat is geen ouderwetse oplossing maar de enige die onder alle omstandigheden werkt.

Beproeven kost een uur

Neem een fictief geval, bijvoorbeeld: op zaterdagochtend blijkt een server versleuteld. Loop met het team het plan door en noteer waar het vastloopt. In de praktijk stuit u binnen tien minuten op iets dat ontbreekt: een nummer dat niet klopt, een persoon die niet bereikbaar is, of onduidelijkheid over wie mag besluiten. Dat is precies wat u wilt weten voordat het echt gebeurt.

Verhouding tot de Cyberbeveiligingswet

Dit document dekt maatregel 2 af, en het is de enige manier om de meldplicht binnen 24 uur te halen. De wet vraagt niet om een bepaald document, maar om aantoonbare maatregelen. Dit document is de gebruikelijke manier om dat aan te tonen.

Verhouding tot ISO 27001

Sluit aan op de incidentmaatregelen in bijlage A, maar NIS2 voegt de harde meldtermijn toe die de norm niet kent. Zie de ISO 27001-checklist voor het volledige overzicht.

Hoeveel tijd een werkbaar plan kost

Reken op verspreide uren voor een eerste versie die daadwerkelijk bruikbaar is, niet op een half uurtje achter het toetsenbord. De tijd zit niet in het schrijven maar in het ophalen van de juiste namen en nummers: wie is 's avonds bereikbaar, wie mag namens de organisatie besluiten om te melden, welk telefoonnummer hoort bij het CSIRT.

Een eerste concept van de tekst zelf is in een uur te schrijven aan de hand van de indeling verderop. Het grootste deel van de tijd gaat zitten in het rondbellen: bevestigen dat een telefoonnummer nog klopt, navragen wie er daadwerkelijk beschikbaar is in het weekend, en het contract van uw hostingpartij nalopen op de afgesproken meldtermijn.

Reken voor een organisatie tot vijftig medewerkers op een halve dag verspreid over een week. Grotere organisaties met meerdere locaties of diensten hebben al snel twee tot drie dagen nodig, vooral omdat er meer mensen geraadpleegd moeten worden voordat de rollen kloppen. Twijfelt u of uw eigen plan compleet is, loop het na met de gratis check.

Verschil met het logging- en monitoringbeleid

Het logging- en monitoringbeleid beschrijft hoe u ontdekt dat er iets aan de hand is. Het incidentresponsplan begint op het moment dat die ontdekking gedaan is: wat gebeurt er dan, wie wordt gebeld, en binnen welke termijn wordt er gemeld. Het ene document zonder het andere levert een gat op. Zonder monitoring ontdekt u een incident te laat om de meldtermijn van 24 uur te halen; zonder responsplan weet niemand wat er moet gebeuren zodra de melding binnenkomt.

Veelgestelde vragen

Kan ik hiervoor een sjabloon gebruiken?

Als startpunt voor de structuur wel. De inhoud moet over uw organisatie gaan, anders valt het bij de eerste controle door de mand. Een auditor vraagt een medewerker naar iets wat erin staat; kent niemand het, dan is dat een bevinding.

Is dit document wettelijk verplicht?

De Cyberbeveiligingswet schrijft geen documenten voor, maar wel dat u passende maatregelen neemt en kunt aantonen. In de praktijk is vastleggen de enige manier om dat aan te tonen.

Moet elk incident in het plan staan?

Nee. Beschrijf de route en de rollen, niet elk denkbaar scenario. Een plan dat alles probeert te vangen wordt te lang om te volgen.

Wie meldt er bij het CSIRT?

Wijs één rol aan met een vervanger. Belangrijker dan wie het is, is dat die persoon het mandaat heeft om te melden zonder eerst toestemming te zoeken.

Kan ik het incidentresponsplan in een middag schrijven?

De tekst wel, de bijbehorende contactgegevens meestal niet. Reken op een paar dagen verspreid om alles te controleren.

Moet ik het plan laten goedkeuren voordat ik het gebruik?

Ja, door dezelfde persoon die er bij een incident ook echt naar moet handelen. Een plan dat niemand kent is bij een incident net zo nuttig als geen plan.

Hoe vaak moet ik de contactgegevens controleren?

Elk kwartaal is gebruikelijk. Telefoonnummers en functies veranderen vaker dan mensen denken.

Is één plan genoeg voor meerdere vestigingen?

Dat kan, mits per vestiging duidelijk is wie lokaal aanspreekpunt is. Anders wordt het plan te algemeen om onder druk te volgen.