eHerkenning voor MijnNCSC: welk niveau en hoe regelt u de machtiging?

Waarvoor heeft u MijnNCSC nodig?

MijnNCSC is de omgeving van het Nationaal Cyber Security Centrum. U gebruikt het voor:

• de registratie in het nationale register (artikel 44 Cbw); zie Registreren onder de Cbw;
• het melden van significante incidenten. Het Cyberbeveiligingsbesluit zegt dat u meldt bij een meldpunt dat de minister daarvoor inricht (artikel 25 Cbb); volgens het NCSC is dat het centrale meldpunt op MijnNCSC;
• het doorgeven van wijzigingen, wat binnen twee weken moet (artikel 44, tweede lid, Cbw).

Volgens het NCSC logt u in met eHerkenning. Aangesloten rijksoverheidsorganisaties kunnen ook Single Sign On Rijk gebruiken.

Welk niveau eHerkenning?

Hier zijn de bronnen niet gelijk:

• Het NCSC noemt op de registratiepagina betrouwbaarheidsniveau EH2+, plus een machtiging om namens uw organisatie te registreren.
• De RDI noemt op de pagina over de registratieplicht minimaal veiligheidsniveau 3.

Het NCSC beheert MijnNCSC, dus de NCSC-instructie is het meest direct. Maar een middel op niveau EH3 voldoet ook aan een eis van EH2+, omdat het een hoger niveau is. Twijfelt u, of heeft u nog geen eHerkenning? Kies dan een middel dat beide eisen dekt, of vraag uw eHerkenningsleverancier welk niveau geschikt is voor MijnNCSC. Controleer vlak voor aanschaf de actuele instructie op mijn.ncsc.nl.

Het eHerkenningsmiddel en de machtiging

eHerkenning bestaat uit twee delen: het middel waarmee een persoon inlogt, en de machtiging die zegt namens welke organisatie die persoon iets mag doen. Let op deze punten uit de NCSC-instructie:

• Het middel moet gekoppeld zijn aan het KvK-nummer van de organisatie die zich registreert. Heeft u een holding en een werkmaatschappij, kijk dan goed welke bv onder de wet valt.
• De eHerkenning-beheerder in uw organisatie regelt de machtiging.
• Een nieuw middel aanvragen kan volgens het NCSC enkele dagen duren.

U koopt eHerkenning bij een erkende leverancier. Een overzicht staat op eherkenning.nl. Wij noemen hier geen leveranciers of prijzen.

Wie moet kunnen inloggen?

Denk niet alleen aan de registratie, maar vooral aan het melden. Een vroegtijdige waarschuwing moet uiterlijk 24 uur na kennisname binnen zijn, ook in het weekend. Zorg daarom dat:

• minstens twee mensen een middel en een machtiging hebben, bijvoorbeeld de directeur en de technisch eindverantwoordelijke;
• die mensen niet tegelijk op vakantie zijn zonder vervanging;
• de machtiging past bij wat ze moeten doen: registreren én melden;
• u weet wat u doet als MijnNCSC zelf niet bereikbaar is. Controleer daarvoor de actuele instructies van het NCSC en leg de reserveroute vast.

Test het vooraf

Het slechtste moment om te ontdekken dat een machtiging ontbreekt, is tijdens een incident. Doe daarom een test:

1. Laat elke aangewezen persoon één keer inloggen op MijnNCSC.
2. Controleer of die persoon de organisatie ziet en de juiste onderdelen kan openen.
3. Noteer de datum van de test en herhaal het, bijvoorbeeld elk halfjaar of bij een personeelswissel.
4. Zet de geldigheid van de eHerkenningsmiddelen in de agenda, zodat ze niet ongemerkt verlopen.

Neem dit op in uw meldprocedure en in de checklist voor de eerste 90 dagen.

Wijzigingen bij personeel

Vertrekt iemand met een machtiging, trek die dan in en wijs een nieuwe persoon aan. Verandert de contactpersoon in het register, geef dat dan door binnen twee weken. Koppel dit aan uw proces voor uitdiensttreding; zie toegangsbeleid en personeel.

Veelgestelde vragen

Is EH2+ genoeg voor MijnNCSC?

Het NCSC noemt EH2+ met een machtiging. De RDI noemt minimaal niveau 3. Controleer de actuele instructie op mijn.ncsc.nl. Een middel op niveau EH3 voldoet aan beide.

Hoe lang duurt het om eHerkenning te krijgen?

Volgens het NCSC kan het aanvragen van een nieuw middel enkele dagen duren. Begin dus op tijd en wacht niet tot er een incident is.

Kan mijn IT-leverancier namens ons inloggen?

Dat hangt af van de machtiging en de instructies van het NCSC. Wij raden aan dat in elk geval mensen uit uw eigen organisatie kunnen inloggen, omdat u zelf verantwoordelijk blijft voor registratie en melding.