Meldplicht bij een incident onder NIS2

Onder de Cyberbeveiligingswet (Cbw) moet u een significant incident snel melden. Dat gebeurt in stappen, met vaste uiterste termijnen. In dit artikel leest u wanneer een incident bij een telecomaanbieder of internetprovider significant is, waar u meldt, wanneer u klanten informeert en hoe u dit vooraf regelt.

Wat is een significant incident?

De wet geeft eerst een algemene regel. Een incident is significant als het een ernstige verstoring van uw dienst of financiële verliezen veroorzaakt of kan veroorzaken. Het is ook significant als het anderen aanzienlijke materiële of immateriële schade berokkent of kan berokkenen (artikel 25 Cbw).

De Regeling cyberbeveiliging EZK maakt dit concreter. Een incident is in elk geval significant als het de dood of aanzienlijke schade aan de gezondheid van mensen veroorzaakt of kan veroorzaken (artikel 7). Voor aanbieders van openbare elektronische communicatienetwerken en -diensten gelden daarnaast deze criteria (artikel 8):

Een paar punten uit de toelichting bij de regeling zijn handig om te weten:

• Gebruikers tellen ruim. Werknemers van een zakelijke klant kunnen als afzonderlijke gebruikers tellen. Weet u het precieze aantal niet? Dan maakt u een schatting op basis van de informatie die u heeft.
• 112 alleen in uw eigen deel van de keten. Voor het alarmnummer telt alleen het deel van de keten tot aan de landelijke meldkamer. U bent meldplichtig als de storing zit in het deel waarvoor u verantwoordelijk bent.
• Ook fouten tellen. Een incident hoeft geen aanval te zijn. Ook een menselijke fout kan meldplichtig zijn.
• Spoofing, het vervalsen van het getoonde nummer, noemt de toelichting als voorbeeld van aantasting van de echtheid.

Gepland onderhoud is in beginsel geen significant incident, als de onderbreking een voorzien gevolg is van dat onderhoud (artikel 7, derde lid). Loopt het onderhoud uit of ontstaat er een onverwachte storing, dan geldt die uitzondering niet vanzelf.

De termijnen: 24 uur, 72 uur en een maand

De termijnen tellen vanaf het moment dat u kennis krijgt van het significante incident. De hoofdregel is: onverwijld melden, dus zonder onnodige vertraging. De uren zijn uiterste grenzen, geen wachttijd.

Weet u na een paar uur nog niet alles? Meld dan wat u wel weet. De RDI schrijft dat ook: wie nog niet alles weet, meldt binnen 24 uur wat bekend is. Aanvullen kan in de volgende stappen.

Waar meldt u?

Volgens het Cyberbeveiligingsbesluit doet u de melding bij een meldpunt dat de minister daarvoor heeft ingericht (artikel 25 Cbb). Het NCSC schrijft dat dit het centrale meldpunt op MijnNCSC is. Uw melding gaat volgens het NCSC automatisch naar uw sectorale CSIRT en naar de toezichthouder. U hoeft hen dus niet apart te informeren. Voor telecom is de toezichthouder de Rijksinspectie Digitale Infrastructuur (RDI).

Voor MijnNCSC logt u in met eHerkenning. Zorg dat dit vóór een incident werkt. Wie in uw organisatie kan inloggen? Heeft die persoon de juiste machtiging? En is er een vervanger? Meer hierover in Registratie onder de Cbw.

Het NCSC heeft daarnaast een meldpunt voor cyberincidenten dat dag en nacht bereikbaar is, met een meldformulier en een e-mailadres. Of dat de juiste route is als MijnNCSC zelf niet werkt, staat niet op die pagina. Controleer de actuele instructies van het NCSC en leg uw reserveroute vast.

Bewaar van elke melding de ontvangstbevestiging en het kenmerk. Controleer ook of er andere meldplichten gelden, zoals een melding van een datalek onder de privacywetgeving.

Vrijwillig melden

Kleinere incidenten, bijna-incidenten en cyberdreigingen mag u vrijwillig melden bij uw CSIRT (artikel 33 Cbw). Een vrijwillige melding gaat volgens het NCSC alleen naar het CSIRT, niet naar de toezichthouder. Het CSIRT kan verplichte meldingen voorrang geven.

Klanten informeren

De meldplicht gaat niet alleen over de overheid. Waar nodig informeert u ook uw klanten onverwijld over een significant incident dat hun dienst kan raken (artikel 30, eerste lid, Cbw). Bij een significante cyberdreiging vertelt u getroffen klanten welke maatregelen zij zelf kunnen nemen. Waar nodig vertelt u ook over de dreiging zelf (artikel 30, tweede lid).

Tips voor goede communicatie:

• Deel alleen wat u zeker weet. Presenteer een vermoeden niet als vaststaande oorzaak.
• Vertel wat het gevolg is voor de klant en wat de klant zelf kan doen.
• Gebruik een kanaal dat niet afhankelijk is van de dienst die uitvalt, zoals sms of een externe statuspagina.
• Geef aan wanneer u een volgende update stuurt.

Het meldproces praktisch inrichten

Een melding binnen 24 uur lukt alleen als u dit vooraf regelt. Dat geldt ook 's nachts en in het weekend. Deze stappen helpen:

1. Wijs rollen aan. Wie beoordeelt of een incident significant is? Wie doet de melding? Wie informeert klanten? Wijs voor elke rol een vervanger aan.
2. Maak een beslisschema met de drempels uit de tabel hierboven. Zet erbij hoe u het aantal getroffen gebruikers bepaalt of schat.
3. Noteer het moment van kennisname. Vanaf dat moment lopen de termijnen. Zet direct de klok aan.
4. Zorg voor toegang tot MijnNCSC met eHerkenning, voor minstens twee mensen.
5. Maak sjablonen voor de vroegtijdige waarschuwing, de melding en het eindverslag, en voor de klantcommunicatie.
6. Bewaar bewijs. Logbestanden, tijdlijn, besluiten en ontvangstbevestigingen.
7. Oefen. Bijvoorbeeld een storing waarbij 112 uitvalt, of een gestolen SIP-account. Gebruik bij een oefening geen echte noodoproepen.

De zorgplicht vraagt ook dat u incidenten goed behandelt (artikel 21 Cbw). Een goed meldproces is daar een onderdeel van. Lees voor uw sector ook NIS2 voor VoIP-aanbieders en NIS2 voor internetproviders.

Volgende stap

In het NIS2-portaal registreert u incidenten met een meldklok die de termijnen van 24 uur, 72 uur en een maand bijhoudt. U kunt het 30 dagen gratis proberen. Weet u nog niet of de meldplicht voor u geldt? Begin dan met de gratis zelfscan. In de cursus oefent u het meldproces met telecomvoorbeelden.