De meldplicht: 24 uur is korter dan u denkt

Ernstige incidenten moet u onder de Cyberbeveiligingswet snel melden. De termijnen zijn krap en gelden ook in het weekend. Wie het meldproces pas uitzoekt tijdens een aanval, is te laat.

Wat is een meldplichtig incident

Een incident is meldplichtig als het een ernstige verstoring van uw dienstverlening veroorzaakt of kan veroorzaken, of aanzienlijke schade voor anderen. Denk aan: ransomware die systemen platlegt, een datalek met operationele impact, of langdurige uitval van een kritieke dienst. Een geblokkeerde phishingmail is geen incident; een versleutelde server wel.

De drie termijnen

U meldt bij het aangewezen CSIRT (voor de meeste organisaties het NCSC) en waar van toepassing bij uw sectorale toezichthouder. Raakt het incident persoonsgegevens, dan geldt daarnaast de gewone AVG-melding bij de Autoriteit Persoonsgegevens: dat zijn twee aparte meldingen.

Zo bereidt u zich voor

• Leg vast wie er meldt, wie beslist en wie het bestuur informeert (met vervangers)
• Zet de meldkanalen en telefoonnummers in het incidentresponsplan, niet alleen in iemands hoofd
• Oefen het scenario minstens één keer per jaar, inclusief de 24-uurs melding
• Spreek met uw IT-leverancier af dat die u direct informeert bij een incident aan hun kant: hun incident kan uw meldplicht zijn

Wanneer is een incident meldplichtig

Niet elk incident hoeft gemeld. Het gaat om significante incidenten, en de wet geeft daar twee criteria voor. Meldplichtig is een incident dat een ernstige verstoring van uw dienst veroorzaakt of financiële verliezen oplevert, of dat aanzienlijke schade toebrengt aan andere partijen.

Het gaat om de gevolgen, niet om de techniek. Een geslaagde phishingpoging waarbij niets is buitgemaakt, is meestal niet meldplichtig. Diezelfde phishing die leidt tot uitval van uw dienstverlening voor een dag, is dat wel.

Twijfelt u, meld dan. Een melding is geen bekentenis en leidt niet automatisch tot handhaving. Niet melden terwijl het achteraf wel moest, is een zelfstandige overtreding en weegt zwaarder.

De drie fases, met wat er in moet

Binnen 24 uur: de vroegtijdige waarschuwing

Een kort bericht dat er iets aan de hand is. U meldt of het vermoedelijk gaat om een onrechtmatige handeling of een kwaadwillende actie, en of het grensoverschrijdende gevolgen kan hebben. Meer niet. U hoeft op dit moment nog niet te weten wat er precies gebeurd is, en dat wordt ook niet verwacht.

Binnen 72 uur: de incidentmelding

Een eerste beoordeling: wat is de ernst, wat is de impact, en welke indicatoren van compromittering ziet u. Ook hier geldt dat het onderzoek nog kan lopen. Als u de eerste melding moet bijstellen, is dat normaal.

Binnen een maand: het eindverslag

De volledige beschrijving: wat is er gebeurd, wat was de oorzaak, welke maatregelen heeft u genomen en welke grensoverschrijdende gevolgen waren er. Loopt het incident nog, dan levert u een voortgangsrapport en het eindverslag zodra het is afgerond.

Zorg dat iemand weet wie er belt

De meest voorkomende fout bij een incident is niet technisch. Het is dat niemand weet wie er mag melden, waar dat moet en binnen welke termijn, terwijl de klok wel loopt. Vierentwintig uur klinkt ruim, maar een incident dat vrijdagavond begint, is zaterdagavond al te laat.

Wat helpt is een meldkaart op papier, geprint, buiten uw eigen systemen. Daarop staat wie beslist dat er gemeld wordt, wie de melding doet, waar dat gebeurt, en welke gegevens u paraat moet hebben. Dat kost een half uur en het is de goedkoopste maatregel in de hele wet. Zie het incidentresponsplan.

Melden bij meerdere instanties

Een incident kan onder meerdere meldplichten vallen tegelijk. Zijn er persoonsgegevens gelekt, dan geldt daarnaast de meldplicht datalekken uit de AVG, met een eigen termijn van 72 uur bij de Autoriteit Persoonsgegevens. In gereguleerde sectoren kunnen er nog sectorale meldplichten bovenop komen.

Dat zijn dus verschillende meldingen bij verschillende instanties, met verschillende criteria. Zet die routes naast elkaar in uw incidentresponsplan, zodat niemand tijdens een crisis hoeft uit te zoeken wie waar gebeld moet worden. Lees ook datalek melden.

Veelgestelde vragen

Bij wie moet ik melden?

Bij het CSIRT dat voor uw sector is aangewezen, in de meeste gevallen het Nationaal Cyber Security Centrum. Dat staat los van de toezichthouder: een melding bij het CSIRT is bedoeld om schade te beperken en anderen te waarschuwen, niet om te handhaven.

Wat als ik de 24 uur niet haal?

Meld alsnog, zo snel mogelijk, en leg vast waarom het later werd. Een te late melding is beter dan geen melding. De termijn overschrijden weegt mee, maar verzwijgen weegt veel zwaarder.

Moet ik ook melden als het incident bij mijn leverancier zat?

Ja, als uw eigen dienstverlening erdoor geraakt wordt. U bent verantwoordelijk voor de continuïteit van uw dienst, ook als de oorzaak buiten uw muren ligt.

Moet ik mijn klanten ook informeren?

In bepaalde gevallen wel: als het incident hen raakt of als zij maatregelen kunnen nemen om schade te beperken. De toezichthouder of het CSIRT kan dat ook verlangen. Neem die afweging op in uw incidentresponsplan.