Meldplicht

De richtlijn schrijft voor dat NIS2-organisaties significante incidenten moeten melden bij het Computer Security Incident
Response Team (CSIRT) en de toezichthouder. Er geldt een gefaseerde meldplicht. De eerste melding is een vroegtijdige waarschuwing die zo snel mogelijk, maar in ieder geval binnen 24 uur na waarneming van het incident plaatsvindt. 

De meldplicht draagt direct bij aan het verhogen van de digitale veiligheid binnen de lidstaten van de Europese Unie. Informatie die uit een melding voortkomt, zoals details over het incident, kan andere organisaties helpen om zich beter te wapenen. Ook hebben organisaties recht op bijstand van het sectorale CSIR na het maken van een verplichte melding.

De meldplicht geldt voor alle organisaties die volgens de NIS2-richtlijneen belangrijke of essentiële entiteit zijn. Doe de NIS2 Zelfevaluatie om er achter te komen of jouw organisatie onder de richtlijn valt. Vrijwillige meldingen kunnen worden gedaan door elke organisatie.

De meldplicht geldt voor ‘significante incidenten’. Dit zijn incidenten die een ernstige operationele verstoring verstoring van de diensten of financiële verliezen voor de organisatie (kunnen) veroorzaken. Ook gaat het om incidenten die (kunnen) leiden tot aanzienlijke materiële of immateriële schade bij andere organisaties. De exacte drempelwaarden voor significante incidenten worden nog uitgewerkt. Daarnaast worden entiteiten. nadrukkelijk uitgenodigd vrijwillige meldingen te maken van niet-significante incidenten of bijna-incidenten.

Vanaf 17 oktober is het mogelijk een vrijwillige melding te maken via een webformulier op www.ncsc.nl. Spoedig daarna volgt een centraal meldpunt op mijn.ncsc.nl. Hier kan jouw organisatie in één keer melding maken bij het betreffende sectorale CSIRT en de bevoegde toezichthouder.

In de melding worden algemene gegevens (zoals de datum en tijd van het incident) en incidentspecifieke gegevens (zoals type, oorzaak en impact) uitgevraagd. Ook deel je de gegevens van een contactpersoon zodat jouw sectorale CSIRT contact kan opnemen voor hulp en bijstand.

Een melding van een significant incident wordt automatisch doorgestuurd naar jouw sectorale CSIRT en de bevoegde toezichthouder. Het sectorale CSIRT biedt vervolgens ondersteuning bij de afhandeling van het incident. De specifieke bijstand verschilt per situatie en is afhankelijk van onder andere de (potentiële) impact. Ook wordt de melding opgenomen in een totaaloverzicht van incidenten per sector. Dit overzicht wordt cijfermatig gedeeld met de EU. Een vrijwillige melding wordt enkel gestuurd naarhet sectorale CSIRT en niet gedeeld met de toezichthouder.

Vanaf 17 oktober is een meldformulier beschikbaar op www.ncsc.nl. Vanaf dan is het mogelijk via die route vrijwillige meldingen te maken. Spoedig daarna lanceert het centrale meldpunt op mijn.ncsc.nl. De meldplicht is pas van kracht zodra de Cyberbeveiligingswet in werking treedt.

• Er geldt een bijzondere meldplicht voor partijen die ook onder de Digital Operational Resilience Act (DORA) of Netcode Netwerkcode cyber security voor grensoverschrijdend elektriciteitsstromen. vallen. Deze entiteiten moeten binnen vier uur een vroegtijdige waarschuwing geven
• Voor vertrouwensdiensten geldt dat zij binnen 24 uur een melding moeten indienen.