NIS2-incidentmeldingen: de klokken van 24 en 72 uur
Artikel 23 van NIS2 stelt een meldklok in drie stappen voor significante incidenten: een vroegtijdige waarschuwing binnen 24 uur nadat je ervan op de hoogte raakt, een incidentmelding binnen 72 uur en een eindrapport binnen een maand na die melding. Een CSIRT of bevoegde autoriteit kan daarnaast om een tussentijds statusrapport vragen, en loopt het incident nog wanneer het eindrapport vervalt, dan dien je een voortgangsrapport in en het eindrapport binnen een maand nadat je de afhandeling hebt afgerond. Nergens in NIS2 staat een termijn van acht uur. Een incident is significant als het ernstige operationele verstoring of financieel verlies voor jou heeft veroorzaakt of kan veroorzaken, of als het anderen heeft geraakt of kan raken met aanzienlijke materiële of immateriële schade. Waar passend moet je ook de afnemers van je diensten informeren, en dat is een aparte plicht naast het informeren van de toezichthouder. Welke instantie de melding ontvangt bepaalt de nationale wet, dus het nuttigste dat je vandaag kunt doen is de naam, het kanaal en de eigenaar buiten kantooruren in je procedure zetten en het één keer oefenen.
NIS2 geeft je drie termijnen voor een significant incident: een vroegtijdige waarschuwing binnen 24 uur nadat je ervan op de hoogte raakt, een incidentmelding binnen 72 uur en een eindrapport binnen een maand na die melding. Een CSIRT of je bevoegde autoriteit kan er tussendoor een tussentijds statusrapport bij vragen.
Dat is de hele klok. Heb je ergens gelezen dat NIS2 een meldtermijn van acht uur oplegt, dan klopt dat niet. De getallen zijn 24, 72 en een maand, en ze staan in artikel 23. Dat mag stellig gezegd worden, want dat getal van acht uur circuleert breed en verandert een beheersbare procedure in paniek.
Wat elke stap bevat
Vroegtijdige waarschuwing, binnen 24 uur
Die is bewust dun. Het is een seintje, geen onderzoek. Waar van toepassing geeft hij twee dingen aan: of het vermoeden bestaat dat het incident door onrechtmatige of kwaadwillige handelingen is veroorzaakt, en of het grensoverschrijdende gevolgen kan hebben.
Er wordt niet van je verwacht dat je de oorzaak kent. Er wordt verwacht dat je de telefoon hebt gepakt.
Incidentmelding, binnen 72 uur
Die actualiseert de waarschuwing en voegt een eerste beoordeling toe: ernst, gevolgen en, waar beschikbaar, de indicatoren van compromittering. Nog steeds een beoordeling, geen conclusie.
Verleners van vertrouwensdiensten werken met een strakkere variant hiervan voor incidenten die hun vertrouwensdiensten raken, dus check je nationale wet als dat jou betreft.
Tussentijds rapport, op verzoek
Vraagt het CSIRT of de autoriteit om statusupdates, dan lever je die. Er is geen vaste frequentie; die bepaalt degene die het aan de andere kant behandelt.
Eindrapport, binnen een maand
Let op het ankerpunt: een maand na de melding van 72 uur, niet een maand nadat je het merkte. Het bevat een gedetailleerde beschrijving met ernst en gevolgen, het type dreiging of de vermoedelijke oorzaak, de toegepaste en lopende mitigerende maatregelen en, waar van toepassing, de grensoverschrijdende gevolgen.
Loopt het incident nog wanneer die maand om is, dan dien je op dat moment een voortgangsrapport in en het eindrapport binnen een maand nadat je de afhandeling hebt afgerond.
Wat telt als significant incident?
Artikel 23 definieert het met twee onderdelen. Een incident is significant als één ervan opgaat:
- het heeft ernstige operationele verstoring van je diensten of financieel verlies voor jou veroorzaakt, of kan dat veroorzaken
- het heeft andere natuurlijke of rechtspersonen geraakt of kan die raken door aanzienlijke materiële of immateriële schade
Lees "kan veroorzaken" goed. Een net voorkomen incident dat je had kunnen platleggen voldoet aan de letterlijke tekst. Dit is de afweging die je procedure snel moet maken, en precies daarom moet je hem niet voor het eerst tijdens een incident maken.
Sommige lidstaten publiceren drempels die getallen achter die woorden zetten. In Polen is de betreffende regeling nog niet uitgevaardigd, dus de classificatie rust daar nu alleen op de wettelijke definitie. Heeft jouw land wel drempels gepubliceerd, gebruik ze. Zo niet, schrijf dan op welke redenering je toepast en bewaar die bij de procedure, zodat het besluit consistent en verdedigbaar is in plaats van geïmproviseerd.
Je moet mogelijk ook je klanten informeren
Deze wordt gemist omdat iedereen op de toezichthouder let. Waar passend moet je de afnemers van je diensten informeren over significante incidenten die de dienstverlening nadelig kunnen beïnvloeden. En speelt er een significante cyberdreiging, dan communiceer je aan mogelijk geraakte afnemers welke maatregelen of remedies zij zelf kunnen nemen.
Dat is een klantcommunicatieplicht binnen een beveiligingsregulering. Hij heeft een eigenaar, een kanaal en een concept nodig, en die eigenaar is meestal niet degene die naar de alerts kijkt.
Wie ontvangt de melding eigenlijk?
De ontvanger wordt bepaald door nationale wetgeving, het terugkerende thema van dit hele onderwerp. Het is je CSIRT of je bevoegde autoriteit, en de routering verschilt per land en soms per sector.
Polen is een nuttig voorbeeld van waarom je het beter kunt opzoeken dan aannemen. Meldingen gaan daar vandaag naar CSIRT NASK. Een sectoraal CSIRT wordt opgezet bij UKE, met een deadline van 3 oktober 2027. En een instantie genaamd CSIRT Telco bestaat niet, hoewel die naam in rondgaande samenvattingen opduikt. Noemt je procedure een ontvanger die niet bestaat, dan ontdek je dat op het slechtst denkbare moment.
Een procedure bouwen die een zondagochtend overleeft
Een klok van 24 uur start zodra je op de hoogte raakt, en dat houdt zich niet aan kantooruren. De procedure die werkt is kort en concreet:
- Eén eigenaar en één plaatsvervanger met naam voor het meldbesluit, met contactroutes die om drie uur 's nachts werken. Geen teamalias.
- Een opgeschreven significantietoets als twee of drie vragen, gekoppeld aan de twee onderdelen hierboven, zodat een engineer met piket ze zonder jurist kan beantwoorden.
- De instantie, het kanaal en het formulier vastgelegd in de procedure zelf. Zoek de echte indienroute op voordat je hem nodig hebt.
- Drie voorbereide sjablonen, één per stap. Dat van 24 uur moet in tien minuten in te vullen zijn.
- Een concept voor de klantmelding en de beslisregel wanneer die uitgaat.
- Eén oefening. Speel het één keer aan tafel door met een plausibel scenario en klok jezelf tot de vroegtijdige waarschuwing. De meeste teams ontdekken dat het besluit de bottleneck is, niet het schrijven.
- Bewaar de artefacten. De tijdlijn, de besluitregistratie, de indieningen. Een toezichthouder die twaalf maanden later naar een incident vraagt wil gedateerd bewijs, net zoals een auditor bewijs wil met bron en tijdstempel intact.
Draai je al ISO 27001, dan geven A.5.24 tot A.5.28 je detectie, beoordeling, respons en leren. Wat ze niet geven is de externe klok, want ISO vraagt nooit om een toezichthouder te informeren. Die lacune en de drie andere staan in de vergelijking van ISO 27001 met NIS2.
Waar we kunnen helpen en waar niet
AuditBadger heeft incidentmanagement met een anoniem meldportaal en tracking tokens, zodat de intake en het tijdlijnbewijs op dezelfde plek staan als je controls. Onze module voor incidentmanagement is het deel hiervan dat we echt van je kunnen overnemen.
Wat we niet doen is voor jou beslissen of een incident significant is onder je nationale wet, of namens jou indienen. NIS2-ondersteuning is early access, per account aangezet na een gesprek, en de Poolse omzetting hebben we als eerste gemodelleerd. De rest van de meldplicht is een procedure en een persoon met een naam, wat weinig glamoureus is en precies daarom vaak ongeschreven blijft.
Weet je niet zeker of de plicht je überhaupt raakt, begin dan bij de scopetest. De maatregelgebieden, de nationale verschillen en waar we vandaag staan vind je op onze NIS2-pagina.
