De NIS2-meldplicht is strenger dan de meldplicht onder de AVG. Bij een significant beveiligingsincident moeten organisaties binnen 24 uur een eerste melding doen bij de nationale toezichthouder. Wat telt als meldingsplichtig incident? Hoe werkt de procedure? En wat zijn de gevolgen als u niet tijdig meldt?
Wat is een meldingsplichtig incident onder NIS2?
NIS2 spreekt van een “significant incident” wanneer het beveiligingsincident:
- Ernstige operationele verstoringen heeft veroorzaakt of kan veroorzaken
- Financiële verliezen heeft veroorzaakt voor de organisatie
- Andere personen of organisaties heeft getroffen of kan treffen
Denk aan ransomware-aanvallen, grote datalekken, DDoS-aanvallen die dienstverlening onderbreken en inbreuken op kritieke systemen.
De drie meldingstermijnen
- Vroege waarschuwing — binnen 24 uur: eerste melding aan de nationale toezichthouder. Nog niet alle details hoeven bekend te zijn.
- Incidentmelding — binnen 72 uur: uitgebreidere melding met eerste analyse van het incident, ernst en impact.
- Eindrapport — binnen 1 maand: volledig overzicht van het incident, oorzaak, genomen maatregelen en lessen.
Hoe meldt u een incident?
Meldingen gaan bij het Nationaal Cyber Security Centrum (NCSC) voor essentiële entiteiten, en bij sectorale toezichthouders voor andere organisaties. Zorg dat u van tevoren weet bij welke instantie u moet melden — dat bespaart kostbare tijd tijdens een incident.
Gevolgen van niet tijdig melden
Niet tijdig melden is zelf een overtreding van NIS2 en kan leiden tot separate boetes, naast eventuele boetes voor het incident zelf. Een kwetsbaarheidsscan helpt u incidenten te voorkomen. Lees ook ons artikel over NIS2-verplichtingen in Nederland.
Veelgestelde vragen over NIS2 meldplicht
Moet ik melden als ik zelf het incident heb ontdekt en direct gestopt?
Ja, als het incident significant is in de zin van NIS2. De meldplicht geldt ook als u snel heeft ingegrepen. Bij twijfel: meld altijd.
Wat als ik niet alle details ken binnen 24 uur?
Dat is normaal en verwacht. De eerste melding is een vroege waarschuwing — u hoeft niet alle details te kennen. Meld wat u weet en vul aan in de latere meldingen.
Geldt de meldplicht ook voor aanvallen die zijn afgeslagen?
Een aanvalspoging die volledig is afgeslagen zonder significante impact hoeft doorgaans niet te worden gemeld. Raadpleeg bij twijfel een specialist.