Meldplicht in de praktijk: een voorbeeldtijdlijn van 24 uur, 72 uur en een maand

Eerst de regels in het kort

Een significant incident meldt u bij uw CSIRT en de bevoegde autoriteit. In de praktijk gaat dat via MijnNCSC; volgens het NCSC komt de melding dan bij beide terecht. De termijnen staan in de artikelen 26 tot en met 29 van de Cbw:

• Vroegtijdige waarschuwing: onverwijld, en uiterlijk 24 uur nadat u kennis kreeg van het significante incident.
• Incidentmelding: onverwijld, en uiterlijk 72 uur na kennisname.
• Tussentijds verslag: als het CSIRT of de toezichthouder erom vraagt.
• Eindverslag: uiterlijk een maand na de incidentmelding. Loopt het incident dan nog, dan stuurt u een voortgangsverslag en volgt het eindverslag binnen een maand na afhandeling.

Hoe u bepaalt of een incident significant is, leest u in Meldplicht bij een incident onder NIS2.

Het voorbeeld

Let op: dit voorbeeld is verzonnen. Het bedrijf, de tijden en de aantallen zijn bedacht om de stappen te laten zien.

Een VoIP-aanbieder met 30 medewerkers levert hosted telefonie aan zakelijke klanten. Op een vrijdagavond ziet de storingsdienst dat inkomende gesprekken bij veel klanten mislukken. Ook 112 bellen lukt niet via het platform.

De tijdlijn

Voorbeeldtijdlijn van een meldplichtig incident

Moment	Wat gebeurt er	Meldstap
Vrijdag 21:10	Monitoring geeft alarm. De storingsdienst kijkt.	Nog geen kennis van een significant incident
Vrijdag 21:35	Duidelijk is dat ook 112 niet werkt via het platform. De dienstdoende manager stelt vast: dit is significant (alarmnummer niet beschikbaar).	Klok start: moment van kennisname vastleggen
Vrijdag 22:30	Vroegtijdige waarschuwing via MijnNCSC: vermoedelijk geen kwaadwillige oorzaak, geen gevolgen in andere landen bekend, contactgegevens, vermoedelijke begintijd, eerste maatregelen.	24-uursstap gedaan
Vrijdag 22:45	Klanten krijgen een sms en de statuspagina wordt bijgewerkt.	Klanten informeren (artikel 30 Cbw)
Zaterdag 02:00	Dienst hersteld na terugdraaien van een configuratiewijziging.	Herstel vastleggen
Zondag 15:00	Incidentmelding: update, eerste beoordeling van ernst en gevolgen, aantal getroffen gebruikers (geschat), duur.	72-uursstap gedaan
Binnen een maand na de melding	Eindverslag: wat er gebeurde, waarschijnlijke oorzaak, genomen en lopende maatregelen.	Eindverslag

Wat ging er goed in dit voorbeeld?

• Het moment van kennisname is vastgelegd. Vanaf dat moment lopen de termijnen. Schrijf het tijdstip direct op.
• Er werd gemeld voordat alles bekend was. De RDI schrijft dat u binnen 24 uur meldt wat u weet. Aanvullen kan later.
• Klanten kregen bericht via een ander kanaal. Als uw telefonie uitvalt, werkt een belboom via dezelfde dienst niet.
• Er was iemand met toegang tot MijnNCSC. Ook op vrijdagavond.

Waar het vaak misgaat

• Wachten op de oorzaak. De termijnen zijn uiterste grenzen. Wachten tot u alles weet, is te laat.
• Denken dat het geen aanval is. Ook een fout bij onderhoud kan meldplichtig zijn. Gepland onderhoud is alleen uitgezonderd als de onderbreking een voorzien gevolg is van dat onderhoud (artikel 7, derde lid, Regeling cyberbeveiliging EZK). Een wijziging die onverwacht 112 breekt, is dat niet.
• Geen tellingen. Voor de drempels van 50.000 gebruikers of 1% met een minimum van 10.000 moet u het aantal getroffen gebruikers weten of schatten. Leg vooraf vast hoe u dat doet.
• Andere meldplichten vergeten. Zijn er persoonsgegevens geraakt, dan kan ook een melding bij de Autoriteit Persoonsgegevens nodig zijn.

Zo maakt u uw eigen tijdlijn

Gebruik de tabel hierboven als sjabloon. Vul per stap in wie het doet, wie de vervanger is en waar het sjabloon voor de tekst staat. Oefen het één keer per jaar, bijvoorbeeld met een scenario uit NIS2 voor VoIP-aanbieders. Gebruik bij een oefening nooit echte noodoproepen.

Veelgestelde vragen

Vanaf wanneer lopen de 24 uur?

Vanaf het moment dat u kennis krijgt van het significante incident (artikel 26 Cbw). Niet vanaf het begin van de storing, maar ook niet pas als u de oorzaak weet.

Wat als ik binnen 24 uur nog weinig weet?

Meld wat u weet. De vroegtijdige waarschuwing vraagt vooral of het vermoedelijk kwaadwillig is, of er gevolgen in andere landen kunnen zijn en uw contactgegevens. Details volgen in de latere stappen.

Is uitval van 112 altijd meldplichtig?

Volgens artikel 8 van de Regeling cyberbeveiliging EZK is het in elk geval significant als het alarmnummer niet beschikbaar is. Volgens de toelichting telt alleen het deel van de keten waarvoor u verantwoordelijk bent.