Organisaties die onder de Cyberbeveiligingswet vallen, hebben een meldplicht voor significante incidenten. Significante meldingen moeten worden gemeld bij het aangewezen bij het Computer Security Incident Response Team (CSIRT) en de bevoegde toezichthouder.
Melden kan via het centrale meldportaal op MijnNCSC. Met één melding kunnen organisaties voldoen aan hun meldplicht richting het CSIRT en de toezichthouder.
De meldplicht heeft als doel de gevolgen van cyberincidenten te beperken, organisaties te ondersteunen bij herstel en het inzicht in dreigingen en kwetsbaarheden te vergroten.
Welke incidenten moeten gemeld worden?
De meldplicht geldt voor significante incidenten. Een incident is significant wanneer het:
- een ernstige verstoring van de diensten of financiële verliezen voor de organisatie veroorzaakt of kan veroorzaken, of;
- andere entiteiten heeft getroffen of kan treffen door aanzienlijke materiële of immateriële schade te veroorzaken.
Voor verschillende sectoren zijn criteria vastgesteld die bepalen wanneer sprake is van een significant incident. Deze criteria en drempelwaarden kunnen per sector verschillen.
Meldingen aan het CSIRT en de toezichthouder
Organisaties moeten significante incidenten melden aan hun CSIRT en de bevoegde toezichthouder. Via het centrale meldportaal kunnen organisaties met één melding voldoen aan hun meldplicht richting beide partijen.
De meldplicht bestaat uit verschillende meldmomenten:
- Vroegtijdige waarschuwing: binnen 24 uur nadat de organisatie kennis heeft genomen van een significant incident.
- Incidentmelding; binnen 72 uur na kennisname van het incident. Deze melding bevat een eerste beoordeling van de ernst, impact en mogelijke oorzaak van het incident.
Eindverslag: uiterlijk één maand na de incidentmelding. Hierin wordt onder meer ingegaan op de oorzaak van het incident, de gevolgen en de genomen herstelmaatregelen.
Bekijk de criteria en drempelwaarden voor significante incidenten.
Wanneer moet een incident worden gemeld?
De meldplicht bestaat uit verschillende meldmomenten:
- Vroegtijdige waarschuwing: binnen 24 uur nadat de organisatie kennis heeft genomen van een significant incident.
- Incidentmelding; binnen 72 uur na kennisname van het incident. Deze melding bevat een eerste beoordeling van het incident, waaronder de ernst en impact.
- Eindverslag: uiterlijk één maand na incidentmelding. Hierin wordt onder meer ingegaan op het incident, de oorzaak, de gevolgen en de genomen en lopende herstelmaatregelen.
Voor bepaalde organisaties kunnen afwijkende meldtermijnen gelden.
Ondersteuning door het CSIRT
Na een melding kan het aangewezen CSIRT ondersteuning bieden bij de afhandeling van het incident. Deze ondersteuning kan bijvoorbeeld bestaan uit:
- Advies over het beperken van de gevolgen van een incident.
- Ondersteuning bij herstel
- Informatie over dreigingen, kwetsbaarheden en aanvalsmethoden
- Het delen van relevante kennis en expertise.
De meldplicht draagt daarmee niet alleen bij aan het toezicht en het inzicht in incidenten, maar zorgt er ook voor dat organisaties ondersteuning kunnen krijgen bij de afhandeling van een incident.
Meer informatie over de meldplicht en het meldproces is te vinden op de website van het NCSC.
