De meldplicht: 24 uur is korter dan u denkt

Ernstige incidenten moet u onder de Cyberbeveiligingswet snel melden. De termijnen zijn krap en gelden ook in het weekend. Wie het meldproces pas uitzoekt tijdens een aanval, is te laat.

Wat is een meldplichtig incident

Een incident is meldplichtig als het een ernstige verstoring van uw dienstverlening veroorzaakt of kan veroorzaken, of aanzienlijke schade voor anderen. Denk aan: ransomware die systemen platlegt, een datalek met operationele impact, of langdurige uitval van een kritieke dienst. Een geblokkeerde phishingmail is geen incident; een versleutelde server wel.

De drie termijnen

U meldt bij het aangewezen CSIRT (voor de meeste organisaties het NCSC) en waar van toepassing bij uw sectorale toezichthouder. Raakt het incident persoonsgegevens, dan geldt daarnaast de gewone AVG-melding bij de Autoriteit Persoonsgegevens: dat zijn twee aparte meldingen.

Zo bereidt u zich voor

• Leg vast wie er meldt, wie beslist en wie het bestuur informeert (met vervangers)
• Zet de meldkanalen en telefoonnummers in het incidentresponsplan, niet alleen in iemands hoofd
• Oefen het scenario minstens één keer per jaar, inclusief de 24-uurs melding
• Spreek met uw IT-leverancier af dat die u direct informeert bij een incident aan hun kant: hun incident kan uw meldplicht zijn