Wat staat er in de NIS2-incidentmeldprocedure?

De procedure loopt het hele traject langs: van het eerste signaal dat er iets mis is, via de classificatie (is dit een significant incident of niet), de externe melding bij je sectorale response team (CSIRT) en de bevoegde toezichthouder, tot de interne evaluatie nadat het incident is afgehandeld. Voor elke stap staat erbij wie daarvoor aan de lat staat, zodat je dat tijdens een incident niet meer hoeft te bedenken.

Wat is een significant incident onder de NIS2?

Niet elke storing is meldingsplichtig. Een incident is significant als het een ernstige verstoring van je dienstverlening/financiële schade voor je eigen organisatie veroorzaakt of kan veroorzaken. Het kan ook gaan om een incident dat aanzienlijke materiële of immateriële schade bij andere organisaties of personen veroorzaakt of kan veroorzaken. De exacte drempelwaarden verschillen per sector. Voor aanbieders van beheerde diensten en beheerde beveiligingsdiensten (MSP’s en MSSP’s) zijn die al wel in concrete cijfers uitgewerkt: een incident is dan onder meer significant als een dienst langer dan 30 minuten volledig onbeschikbaar is, of als de beschikbaarheid langer dan een uur beperkt is voor meer dan 5% van de EU-gebruikers.

De drie NIS2-meldtermijnen in het kort

Vanaf het moment dat je organisatie weet dat er een significant incident speelt, gelden er drie vaste termijnen: 24 uur voor een vroegtijdige waarschuwing, 72 uur voor een eerste beoordeling van de ernst en de gevolgen, en een maand voor het eindverslag. Al deze meldingen gaan naar hetzelfde adres: je sectorale CSIRT en de voor jouw sector bevoegde toezichthouder. Wil je de termijnen tot in detail doorlopen, inclusief wat er precies in elke melding moet staan en wat de gevolgen zijn als je niet op tijd meldt? Lees dan het artikel over de meldtermijnen.

Wie meldt bij het CSIRT en wie zit er in het incident response team?

De melding zelf gaat naar je sectorale CSIRT, dat je ondersteunt bij de afhandeling, en naar de bevoegde toezichthouder. Binnen je eigen organisatie is er meestal meer dan één persoon nodig om dat op tijd voor elkaar te krijgen: iemand die vaststelt dat het om een significant incident gaat, iemand die de melding daadwerkelijk indient, een incident response team dat de afhandeling inhoudelijk oppakt, en iemand die achteraf vastlegt wat er is gebeurd en wat ervan geleerd is. De incidentmeldprocedure verdeelt deze rollen, zodat iedereen vooraf weet wat er van hem of haar verwacht wordt.

Wat kun je er nu al aan doen?

1. Je moet je organisatie vooraf registreren via MijnNCSC. Dat vraagt eHerkenning op niveau EH2+ plus een machtiging, en dat regel je niet meer tijdens een incident zelf.
2. Leg vast wie binnen je organisatie mag beslissen dat een gebeurtenis een significant incident is, want dat moment laat de klok van alle drie de termijnen lopen.
3. Download de incidentmeldprocedure en loop hem een keer door met je team, voordat je hem er tijdens een echt incident bij moet pakken.

Zo hoef je op het moment dat je valt niet meer naar de route te zoeken, want die heb je dan al bij je.

Meer weten over NIS2 en de Cyberbeveiligingswet?

Wil je weten of jouw organisatie onder de Cyberbeveiligingswet valt en wat er verder van je wordt verwacht? Plan een vrijblijvend en kosteloos gesprek in.