NIS2 meldplicht bij cyberincidenten in vraag en antwoord

NIS2 meldplicht: beslisboom, deadlines en incidentvoorbeelden

De NIS2 meldplicht verplicht essentiële en belangrijke entiteiten om significante cyberincidenten gefaseerd te melden. De algemene termijnen zijn 24 uur en 72 uur vanaf bewustwording. Het eindrapport volgt binnen één maand na de incidentmelding. Niet elke storing of malwarebesmetting voldoet aan de meldcriteria. De gevolgen voor diensten, de financiële schade en de impact op anderen bepalen de beoordeling.

Organisaties gebruiken steeds meer gedeelde clouddiensten en externe beheerders, waardoor één incident meerdere bedrijven kan raken. Toch blijft iedere organisatie verantwoordelijk voor haar eigen wettelijke beoordeling. Voor Nederland vraagt dat bovendien onderscheid tussen de Europese richtlijn, de nationale Cyberbeveiligingswet en eventuele bestaande sectorregels. Een Europese implementatiedeadline bewijst op zichzelf niet dat alle Nederlandse verplichtingen al gelden.

Wanneer geldt de NIS2 meldplicht voor jouw organisatie?

De NIS2 meldplicht geldt voor significante incidenten bij organisaties die binnen het wettelijke toepassingsbereik vallen. Eerst beoordeel je daarom de sector, omvang en eventuele bijzondere aanwijzing. Vervolgens toets je het incident aan de gevolgen en toepasselijke drempels. Een middelgrote zorgaanbieder kan bijvoorbeeld binnen het bereik vallen, terwijl een kleine winkel doorgaans buiten het bereik blijft.

NIS2 onderscheidt essentiële en belangrijke entiteiten. Beide groepen krijgen verplichtingen rond incidentmeldingen, maar het toezicht verschilt. Sectoren omvatten onder meer energie, vervoer, zorg, drinkwater, digitale infrastructuur en bepaalde zakelijke ICT-diensten. Een organisatie met 60 werknemers overschrijdt de gebruikelijke personeelsgrens, maar moet daarnaast binnen een aangewezen activiteit vallen.

De omvangstoets kent meer details dan alleen het aantal werknemers. Ook omzet, balanstotaal en verbonden ondernemingen kunnen meetellen. Sommige organisaties vallen ongeacht hun omvang binnen het bereik, bijvoorbeeld bepaalde aanbieders van vertrouwensdiensten. Controleer voor Nederland daarom de geldende wet, inwerkingtredingsbepalingen en sectorale aanwijzingen. Gebruik een algemene bedrijfsomschrijving niet als definitief juridisch oordeel.

Wanneer gaat de Nederlandse meldplicht onder NIS2 in?

Peildatum voor deze wetgevingsstatus: 17 januari 2025. Onderstaande tijdlijn beschrijft de status op die datum, niet een bevestiging van de huidige invoeringsstatus.

• Op 17 oktober 2024 verstreek de Europese deadline voor omzetting van NIS2 in nationale wetgeving. De richtlijn verlangde toepassing van de nationale maatregelen vanaf 18 oktober 2024.
• Op 17 januari 2025 had Nederland de omzetting nog niet voltooid. De Cyberbeveiligingswet was nog in voorbereiding en niet in werking; de parlementaire behandeling moest nog plaatsvinden. Bestaande verplichtingen, bijvoorbeeld onder de Wet beveiliging netwerk- en informatiesystemen, bleven voor organisaties binnen dat bereik relevant.
• De voorgenomen invoering in 2025 was op deze peildatum een planning, geen vastgestelde ingangsdatum. Parlementaire behandeling, publicatie van de wet en de formele regeling van de inwerkingtreding moesten nog volgen.

Een aangekondigde streefdatum is dus niet hetzelfde als vastgestelde inwerkingtreding. Controleer bij een daadwerkelijk incident de inmiddels gepubliceerde Cyberbeveiligingswet, het bijbehorende inwerkingtredingsbesluit en eventuele overgangsbepalingen. De gemiste Europese omzettingsdeadline maakt de NIS2 meldplicht niet op zichzelf automatisch toepasselijk op iedere Nederlandse organisatie.

Een significant incident veroorzaakt, of kan veroorzaken, ernstige operationele verstoring of financieel verlies voor de organisatie. Ook aanzienlijke materiële of immateriële schade bij anderen telt mee. Kwaadwillend handelen vormt geen vereiste: een mislukte systeemwijziging kan eveneens een meldplichtig incident veroorzaken. Het woord kan betekent bovendien dat je niet altijd op daadwerkelijke schade mag wachten.

Voor bepaalde digitale aanbieders concretiseert Uitvoeringsverordening (EU) 2024/2690 de criteria. Een criterium betreft direct financieel verlies boven € 500.000 of 5% van de totale jaaromzet over het vorige boekjaar. Het laagste bedrag telt; ook mogelijk verlies kan aan dit criterium voldoen. Bij een illustratieve jaaromzet van € 4 miljoen is 5% gelijk aan € 200.000; dat is hier de relevante grens. Deze grens geldt echter niet automatisch voor iedere Nederlandse sector.

Concrete sectorcriteria voor Nederlandse organisaties

De Europese uitvoeringscriteria gelden voor de daarin aangewezen digitale aanbieders, ook in Nederland. Onderscheid deze incidentdrempels van de criteria waarmee je bepaalt of een organisatie binnen het wettelijke bereik valt. De volgende voorbeelden zijn geen volledige lijst: ook andere criteria kunnen een incident significant maken.

• Voor clouddiensten is volledige onbeschikbaarheid gedurende meer dan 30 minuten een specifiek significantiecriterium uit Uitvoeringsverordening (EU) 2024/2690. Ook beperktere uitval kan onder andere criteria vallen; beoordeel daarom niet uitsluitend volledige onbeschikbaarheid.
• Bij DNS-diensten is volledige onbeschikbaarheid van een recursieve of autoritatieve DNS-dienst gedurende meer dan 30 minuten eveneens een specifiek criterium. Voor andere verstoringen gelden aanvullende criteria. De grens van 30 minuten is geen algemene vrijstelling voor kortere incidenten.
• Voor de zorg geeft de algemene NIS2-regel geen universele numerieke grens, zoals een vast aantal getroffen patiënten of minuten uitval. Beoordeel ernstige verstoring van zorgverlening, financieel verlies en aanzienlijke schade bij anderen. Uitval waardoor noodzakelijke behandeling niet veilig kan doorgaan, kan ook zonder overschrijding van een geldbedrag significant zijn.
• Voor energie en drinkwater geeft de algemene NIS2-regel evenmin een sectorbrede numerieke ondergrens voor bijvoorbeeld aansluitingen of uitvalduur. De mogelijke gevolgen voor levering, veiligheid en afnemers staan centraal. Controleer daarnaast toepasselijke Nederlandse sectorregels; gebruik de financiële grens voor digitale aanbieders niet als algemene drempel.

Meldtermijnen en rapportagefasen onder NIS2

Bij de NIS2 meldplicht horen verschillende rapportagefasen. Onderstaande tabel toont per fase de deadline, het startpunt en de benodigde informatie.

Algemene NIS2-termijnen voor het melden van significante incidenten

Rapportagefase	Deadline	Startpunt van de termijn	Vereiste informatie
Vroege waarschuwing	Onverwijld; uiterlijk 24 uur	Bewustwording van significant incident	Vermoeden kwaadwilligheid; mogelijke grensoverschrijdende impact
Incidentmelding	Onverwijld; uiterlijk 72 uur	Bewustwording van significant incident	Eerste beoordeling; ernst; impact; beschikbare technische indicatoren
Eindrapport	Uiterlijk één maand	Indiening incidentmelding	Oorzaak; impact; maatregelen; eventuele grensoverschrijdende gevolgen

De algemene meldklok begint zodra de organisatie zich bewust is van een significant incident. Dat moment hoeft niet samen te vallen met de eerste technische waarschuwing. Wel moet de organisatie signalen tijdig onderzoeken, zodat onnodig uitstel geen kunstmatige tijdwinst oplevert. Alle termijnen zijn uiterste grenzen: de richtlijn verlangt ook handelen zonder onnodige vertraging.

Stel dat de organisatie maandag om 10.00 uur voldoende zekerheid over de significantie heeft. De vroege waarschuwing volgt uiterlijk dinsdag om 10.00 uur, de incidentmelding uiterlijk donderdag om 10.00 uur. De eerste fase beslaat daarmee 24 uur; daarna resteert maximaal 48 uur tot de tweede deadline. Het eindrapport volgt binnen één maand na die tweede melding, niet standaard na 30 dagen.

Weekenden en feestdagen zetten deze uurtermijnen niet stil. Voor bepaalde aanbieders, waaronder vertrouwensdienstverleners, kan de incidentmelding al binnen 24 uur verplicht zijn. Andere sectorregimes kunnen eveneens kortere of afwijkende termijnen hanteren. Loopt het incident nog bij de eindrapportagedeadline, dan volgt een voortgangsrapport en later het eindrapport volgens de toepasselijke regels.

Bewustwording vastleggen: Noteer wanneer de organisatie voldoende zekerheid kreeg over een significant incident, inclusief de onderbouwing. Wacht niet op een compleet forensisch onderzoek voordat je de meldklok beoordeelt.

Welke informatie vereist de meldplicht onder NIS2?

De NIS2 meldplicht vraagt eerst een bruikbaar waarschuwingssignaal en daarna steeds meer onderbouwde informatie. De vroege waarschuwing hoeft geen afgerond technisch onderzoek te bevatten. Een organisatie kan bijvoorbeeld al uitval en vermoedelijke sabotage melden, terwijl de precieze toegangsmethode nog onbekend blijft. Benoem onzekerheden expliciet en corrigeer eerdere informatie zodra nieuwe feiten beschikbaar komen.

Voor de vroege waarschuwing beschrijf je de getroffen organisatie, betrokken dienst en bekende aanvang van het incident. Vermeld daarnaast of vermoedelijk onrechtmatig of kwaadwillend handelen meespeelt. Benoem mogelijke gevolgen buiten Nederland wanneer het incident klanten of diensten in andere lidstaten raakt. Zorg ook dat de ontvanger een bereikbaar contactpersoon heeft.

De incidentmelding binnen 72 uur actualiseert die gegevens met een eerste beoordeling van ernst en impact. Beschrijf welke diensten uitvallen, hoeveel gebruikers aantoonbaar geraakt zijn en welke maatregelen al lopen. Voeg beschikbare indicatoren van compromittering toe, zoals relevante bestandskenmerken of verdachte netwerkadressen. Verstuur zulke technische gegevens via het daarvoor bestemde beveiligde kanaal.

Een eerste melding hoeft het incident niet op te lossen. Zij moet de bevoegde ontvanger tijdig genoeg houvast geven om de ernst en mogelijke verspreiding te begrijpen.

Het eindrapport bevat een uitvoeriger beschrijving, de waarschijnlijke hoofdoorzaak en de toegepaste of lopende herstelmaatregelen. Ook de ernst, impact en eventuele grensoverschrijdende gevolgen horen erin. Bewaar daarvoor logbestanden, besluiten en eerdere versies van meldingen. Een extra tussentijdse rapportage kan nodig zijn wanneer de bevoegde ontvanger daarom vraagt.

Evaluatie en opvolging van geleerde lessen

Plan na stabilisatie een evaluatie met beveiliging, bedrijfsvoering, privacy, communicatie en betrokken leveranciers. Vergelijk de feitelijke tijdlijn met het incidentplan. Welke signalen miste het team, werkte de escalatie en waren meldingen tijdig en bruikbaar? Leg geleerde lessen vast en vertaal ze naar concrete verbeteracties, elk met een eigenaar, deadline en controleerbaar resultaat.

Laat de incidentverantwoordelijke de voortgang bewaken en achterstallige acties escaleren naar het bestuur. Controleer de werking met bijvoorbeeld een hersteltest, een controle van detectieregels of een nieuwe meldingoefening. Sluit een actie pas af nadat een test of controle het resultaat bevestigt. Werk vervolgens procedures, contactlijsten en opleiding bij. Zo eindigt de opvolging niet bij het indienen van het eindrapport.

Waar dien je een verplichte of vrijwillige melding in?

Bepaal vooraf bij welke instantie je terechtkunt en welk meldkanaal je moet gebruiken. Zo voorkom je vertraging tijdens een incident.

Ontvangers en meldkanalen

Een verplichte NIS2-incidentmelding gaat naar het aangewezen CSIRT of de bevoegde autoriteit, volgens de nationale inrichting. Een CSIRT is een team dat organisaties ondersteunt bij de behandeling van computerbeveiligingsincidenten. De toezichthouder beoordeelt daarnaast de naleving van wettelijke verplichtingen. Controleer daarom vooraf welke Nederlandse meldroute en sectorale ontvanger bij jouw organisatie horen.

De richtlijn betekent niet automatisch dat je twee identieke formulieren bij twee loketten moet indienen. Nationale procedures kunnen informatie-uitwisseling of een gezamenlijk kanaal regelen. Een melding bij een leverancier vervangt de wettelijke melding echter niet vanzelf. Ook aangifte bij de politie ontslaat de organisatie niet van afzonderlijke rapportageverplichtingen.

De meldplicht van NIS2 toetsen

Gebruik voor de eerste beslissing deze compacte beslisboom. Beoordeel een mogelijke persoonsgegevensinbreuk parallel, omdat daarvoor andere criteria gelden. De uitkomst kan dus zijn dat een storing niet onder NIS2 valt, maar wel onder de AVG. Leg elke uitkomst vast met de feiten die op dat moment bekend waren.

• Valt de organisatie buiten het toepassingsbereik? Dan ontstaat geen NIS2 meldplicht uit die hoedanigheid; beoordeel andere verplichtingen en vrijwillig melden.
• Valt de organisatie binnen het bereik en voldoet het incident aan een significantiecriterium? Start dan de verplichte rapportage.
• Valt de organisatie binnen het bereik, maar veroorzaakt het incident geen significante gevolgen en kan het die ook niet veroorzaken? Documenteer de afweging en overweeg vrijwillige melding.
• Blijft de significantie onzeker? Onderzoek de ontbrekende feiten met spoed en vraag waar nodig uitleg bij de bevoegde ontvanger.

Persoonsgegevens afzonderlijk beoordelen

Toets naast de NIS2 meldplicht ook de privacyverplichtingen. Gebruik daarvoor de volgende vragen over persoonsgegevens, risico en jouw rol.

• Zijn mogelijk persoonsgegevens getroffen? Laat de privacyverantwoordelijke vaststellen of sprake is van een persoonsgegevensinbreuk: vernietiging, verlies, wijziging, ongeoorloofde verstrekking of ongeoorloofde toegang. Alleen de aanwezigheid van persoonsgegevens in een getroffen systeem is daarvoor niet voldoende.
• Is geen persoonsgegevensinbreuk vastgesteld? Dan volgt geen AVG-datalekmelding op basis van die feiten. Leg de beoordeling vast en herbeoordeel bij nieuwe informatie; de NIS2-route blijft afzonderlijk doorlopen.
• Is wel sprake van een persoonsgegevensinbreuk, maar is risico voor de rechten en vrijheden van personen onwaarschijnlijk? Documenteer het datalek en die risicoafweging intern; een melding aan de privacytoezichthouder is dan niet verplicht.
• Is dat risico niet onwaarschijnlijk? Meld als verwerkingsverantwoordelijke zonder onredelijke vertraging en zo mogelijk binnen 72 uur na kennisname aan de bevoegde privacytoezichthouder, in Nederland doorgaans de Autoriteit Persoonsgegevens. Motiveer vertraging en lever ontbrekende informatie zo nodig gefaseerd aan.
• Levert de inbreuk waarschijnlijk een hoog risico voor personen op? Informeer daarnaast de betrokkenen zonder onredelijke vertraging, in duidelijke taal over gevolgen, maatregelen en contactgegevens. Hiervoor geldt geen afzonderlijke vaste termijn van 72 uur. Beoordeel eventuele wettelijke uitzonderingen, bijvoorbeeld wanneer effectieve versleuteling de gegevens onbegrijpelijk maakt voor onbevoegden.
• Handelt de organisatie als verwerker voor de getroffen gegevens? Informeer de verwerkingsverantwoordelijke zonder onredelijke vertraging na kennisname van het datalek, zodat deze zijn eigen meld- en communicatieplichten kan uitvoeren.

Uitkomsten vastleggen en vrijwillig melden

Voer de NIS2- en AVG-takken gelijktijdig uit: beide, één van beide of geen van beide meldplichten kunnen gelden. Noteer per regime het moment van bewustwording of kennisname, de verantwoordelijke, ontvanger en deadline. Een NIS2-melding vervangt de AVG-melding of communicatie aan betrokkenen niet.

Vrijwillig melden past bijvoorbeeld bij een bijna-incident of een aanvalspoging die ook andere organisaties kan raken. Zo’n melding kan bijdragen aan technische ondersteuning of een breder dreigingsbeeld. Vrijwillig melden maakt een organisatie niet uitsluitend daardoor onderworpen aan alle NIS2-verplichtingen. Een verplichte melding als vrijwillig bestempelen verandert de juridische status daarentegen niet.

Wie draagt de NIS2-meldplicht bij leveranciersincidenten?

Bij een leveranciersincident beoordeelt iedere betrokken organisatie haar eigen NIS2 meldplicht. De leverancier onderzoekt de gevolgen voor zijn dienstverlening, terwijl de afnemer de gevolgen voor zijn eigen diensten vaststelt. Een storing bij een externe beheerder kan daardoor meerdere zelfstandige meldingen vereisen. Eén melding namens de leverancier dekt niet zonder meer alle klanten.

Neem een clouddienst die een patiëntenportaal ondersteunt. De cloudleverancier beoordeelt de uitval van zijn dienst; de zorgorganisatie beoordeelt bereikbaarheid en gevolgen voor zorgverlening. Een technisch identieke storing kan bij een andere klant slechts een intern archief raken. De juridische uitkomst hangt af van de eigen dienst en impact, niet alleen van de oorzaak.

Verdeel de verantwoordelijkheden vooraf zonder de wettelijke eindverantwoordelijkheid weg te contracteren. De leverancier levert tijdstippen, betrokken systemen en herstelverwachtingen. De afnemer verzamelt gegevens over gebruikers, bedrijfsprocessen en maatschappelijke gevolgen. De interne incidentverantwoordelijke combineert beide informatiestromen en bewaakt de eigen rapportagetermijnen.

Ook een kwetsbaarheid vraagt onderscheid tussen risico en incident. Een gepubliceerd lek bewijst nog geen geslaagde aanval, terwijl vastgesteld misbruik nader onderzoek vereist. Dat verschil speelt bijvoorbeeld bij actief misbruik van kwetsbare toegangssystemen. Leg contractueel vast hoe snel de leverancier concrete incidentinformatie doorgeeft, zodat jouw beoordeling niet op algemene statusberichten blijft hangen.

Hoe combineer je NIS2, AVG en DORA zonder dubbel werk?

Combineer de feitenverzameling, maar beoordeel de wettelijke meldplichten afzonderlijk. De NIS2 meldplicht betreft significante incidenten; de AVG kijkt naar inbreuken op persoonsgegevens en de bijbehorende risico’s. DORA bevat een eigen kader voor ICT-incidenten bij financiële entiteiten. Eén gezamenlijk incidentdossier helpt, maar vervangt geen afzonderlijke toets op ontvanger, termijn en inhoud.

Bij een AVG-datalek geldt voor de verwerkingsverantwoordelijke doorgaans een melding binnen 72 uur na kennisname. Die melding is niet nodig wanneer risico voor rechten en vrijheden van personen onwaarschijnlijk is. Een hoog risico kan daarnaast communicatie aan betrokkenen vereisen. Ook niet-gemelde datalekken vragen interne documentatie.

Voor financiële entiteiten werkt DORA sinds 17 januari 2025 als sectorspecifiek Europees kader. Waar gelijkwaardige sectorspecifieke regels gelden, voorkomt de verhouding met NIS2 dat dezelfde verplichtingen onverkort naast elkaar gelden. Concludeer niet automatisch dat iedere bank twee identieke cybermeldingen moet indienen. De AVG kan ondertussen wel zelfstandig van toepassing blijven.

Bijvoorbeeld: een overgenomen mailbox bevat persoonsgegevens, maar veroorzaakt geen ernstige verstoring van diensten. De privacybeoordeling kan dan tot een AVG-melding leiden zonder NIS2-melding, mits het incident ook niet aan andere toepasselijke significantiecriteria voldoet. Onderzoek bij een gekaapt e-mailaccount zowel ongeoorloofde toegang als gevolgen voor bedrijfsprocessen. Gebruik dezelfde vastgestelde tijdlijn voor beide beoordelingen, maar houd besluiten en termijnen herkenbaar gescheiden.

Wat moeten bestuur, beveiligingsteam en communicatie vooraf regelen?

Bereid de NIS2 meldplicht voor met duidelijke bevoegdheden, bereikbare contactpersonen en een oefening buiten kantooruren. Het bestuur moet weten wie namens de organisatie mag melden en escaleren. Het beveiligingsteam moet bewijs verzamelen zonder de eerste rapportage onnodig uit te stellen. Communicatie moet intussen kunnen uitleggen wat klanten moeten doen, ook als de oorzaak nog onzeker is.

1. Wijs een incidentleider en plaatsvervanger aan met mandaat voor tijdige meldingen.
2. Leg het toepasselijke wettelijke regime, de bevoegde ontvangers en de bereikbare meldkanalen vast.
3. Maak één incidentdossier voor logbestanden, impactgegevens, beslissingen en rapportageversies.
4. Laat privacy, juridische zaken en leveranciersbeheer hun eigen verplichtingen gelijktijdig beoordelen.
5. Oefen een incident buiten kantooruren met een waarschuwing binnen 24 uur.
6. Laat het bestuur herstelprioriteiten, communicatiekeuzes en resterende risico’s expliciet beoordelen.

Verdeel ook de ondersteunende taken. Het beveiligingsteam bewaart technische gegevens, de dienstverantwoordelijke beschrijft uitval en de privacyverantwoordelijke beoordeelt persoonsgegevens. Juridische zaken bewaakt de wettelijke duiding; communicatie stemt berichten af op bevestigde feiten. Een externe beheerder kan hierbij helpen, maar neemt niet automatisch het bestuurlijke mandaat over.

Het bestuur heeft concrete escalatiesignalen nodig: gevaar voor veiligheid, langdurige uitval, dreigende rapportagedeadlines of grote onzekerheid over gegevensverlies. Vraag daarbij niet alleen naar de technische oorzaak, maar ook naar de gevolgen van uitgestelde besluiten. Te laat melden kan toezichtmaatregelen en sancties opleveren onder het toepasselijke recht. Leg vast wie bij afwezigheid van de directie alsnog bevoegd handelt.

Melden vóór afronden: Een ontbrekende hoofdoorzaak is geen reden om een verstreken meldtermijn te accepteren. Rapporteer bevestigde feiten, benoem open vragen en plan de volgende actualisatie.

Herkenbare situaties: storing, aanval en onderschepte poging

Een incident is niet automatisch meldplichtig omdat een aanvaller betrokken is. Snel herstel maakt het evenmin automatisch onschuldig. De toepasselijke criteria en gevolgen blijven doorslaggevend. Een onderschepte phishingmail vraagt doorgaans geen verplichte NIS2-melding. Een korte aanval op een cruciale dienst kan juist wel significante gevolgen hebben.

Stel dat een webwinkel 15 minuten hinder ondervindt door overmatig HTTP-verkeer. Zonder toepassingsbereik en significante gevolgen volgt daaruit geen NIS2 meldplicht. Voor een aangewezen dienstverlener vraagt dezelfde gebeurtenis een eigen toets op beschikbaarheid en schade. Bewaar bij verdachte pieken in webserverlogs zowel technische gegevens als meetbare dienstimpact.

Bij ransomware in een zorgomgeving kan de mogelijke verstoring van behandeling zwaar wegen, ook zonder bewezen gegevensdiefstal. Andersom maakt één geïnfecteerde testcomputer een incident niet vanzelf significant. Bevestig bij die testcomputer wel dat de besmetting werkelijk geïsoleerd bleef. Ontbrekend bewijs over verspreiding is geen bewijs dat verspreiding uitbleef.

Ook herhaalde kleinere incidenten verdienen aandacht. Voor bepaalde digitale aanbieders bevatten de Europese uitvoeringsregels criteria voor terugkerende incidenten met een gezamenlijke betekenis. Een losse gebeurtenis beoordelen zonder de voorgeschiedenis kan daardoor een onvolledig beeld geven. Bewaar eerdere besluiten in een doorzoekbaar incidentregister.

Een verdedigbaar meldbesluit vraagt een vastgelegde tijdlijn

De NIS2 meldplicht draait om tijdige besluitvorming op basis van beschikbare feiten, niet om zekerheid achteraf. Combineer toepassingsbereik, significantie, bewustwording en ontvanger in één gedocumenteerd besluit. Zo kun je zowel een melding als een onderbouwde beslissing om niet te melden uitleggen. Nieuwe informatie kan vervolgens een herbeoordeling noodzakelijk maken.

Ik zou bij twijfel eerst zorgen dat iemand het meldbesluit bezit, in plaats van nog een overleg af te wachten. Voor Virus.NL weegt een expliciete afweging met benoemde onzekerheden zwaarder dan schijnzekerheid door uitstel. Mijn voorkeur is een dossier waarin ook duidelijk staat wat nog niet bekend is.

Veelgestelde vragen

Deze antwoorden vatten de NIS2 meldplicht samen: voor wie zij geldt, welke termijnen gelden en hoe je met onzekerheden omgaat.

Wat is de NIS2-meldplicht en voor welke organisaties geldt die?

De NIS2 meldplicht verplicht essentiële en belangrijke entiteiten om significante incidenten via de aangewezen route te rapporteren. Het toepassingsbereik hangt af van sector, omvang en eventuele bijzondere aanwijzing. Beide categorieën kennen meldverplichtingen. Controleer voor Nederland daarnaast de geldende nationale wetgeving en inwerkingtreding; alleen de Europese implementatiedeadline geeft daarover geen volledig antwoord.

Wanneer is een cyberincident meldplichtig onder NIS2?

Een cyberincident is meldplichtig wanneer de organisatie onder de regels valt en het incident significant is. Ernstige operationele verstoring, financieel verlies of aanzienlijke schade bij anderen kunnen daarbij doorslaggevend zijn. Potentiële gevolgen tellen eveneens mee. Voor sommige digitale diensten gelden uitgewerkte Europese criteria, terwijl andere sectoren een eigen nadere beoordeling vereisen.

Welke deadlines gelden voor de vroege waarschuwing, de incidentmelding en het eindrapport?

De algemene uiterste termijnen bedragen 24 uur voor de vroege waarschuwing en 72 uur voor de incidentmelding. Beide lopen vanaf bewustwording van een significant incident. Het eindrapport volgt binnen één maand na de incidentmelding. Handel steeds zonder onnodige vertraging en controleer uitzonderingen, zoals de kortere termijn voor bepaalde vertrouwensdienstverleners.

Hoe verhoudt melden onder NIS2 zich tot vrijwillig melden en andere meldplichten?

Vrijwillig melden is mogelijk bij onder meer kleinere incidenten, dreigingen en bijna-incidenten. Het vervangt geen verplichte melding zodra de wettelijke criteria gelden. De AVG vraagt een afzonderlijke beoordeling van persoonsgegevensinbreuken. Voor financiële entiteiten kan DORA als sectorspecifiek kader gelden; stem feitenverzameling centraal af, maar bepaal de juridische verplichtingen per regime.

Moet je wachten op je leverancier voordat je zelf meldt?

Nee, wachten op een volledig leveranciersrapport vormt geen algemene reden om jouw meldtermijn te overschrijden. Beoordeel de eigen getroffen diensten en rapporteer beschikbare feiten met duidelijke onzekerheden. Vraag de leverancier ondertussen om tijdstippen, omvang en herstelverwachtingen. Een melding door de leverancier vervangt jouw eigen wettelijke verantwoordelijkheid niet automatisch.

Bespreek voor de NIS2 meldplicht één recent beveiligingssignaal met de verantwoordelijken voor IT, privacy en bedrijfsvoering. Gebruik de uitleg over cyberdreigingen herkennen en beperken om herkenning, impactbeoordeling en interne escalatie op elkaar af te stemmen. Leg vervolgens vast wie het meldbesluit neemt en welke informatie daarvoor nog ontbreekt.