De meldplicht onder de Cyberbeveiligingswet: 24 uur, 72 uur, één maand

Wanneer is een incident significant?

Niet elk incident hoeft gemeld te worden, alleen een significant incident. De wet omschrijft dat naar het gevolg, niet naar de oorzaak. Een incident is significant als het een ernstige operationele verstoring van uw diensten of financiële verliezen voor uw organisatie veroorzaakt of kan veroorzaken, of als het andere organisaties heeft getroffen of kan treffen door aanzienlijke materiële of immateriële schade.

Die omschrijving staat in artikel 25 van de wet en is uitgewerkt in artikel 23 van het Cyberbeveiligingsbesluit. Concrete drempelwaarden per sector worden vastgelegd in ministeriële regelingen, en volgens het NCSC verschillen die per sector. Een deel daarvan wordt nog uitgewerkt. Voor de digitale sector liggen de drempels al vast in een Europese uitvoeringsverordening. Tot uw sectorregeling er is, beoordeelt u zelf of een incident aan de omschrijving voldoet.

Stap 1: vroegtijdige waarschuwing, binnen 24 uur

Zo snel mogelijk, en in elk geval binnen 24 uur nadat u van het significante incident kennis heeft gekregen, doet u een vroegtijdige waarschuwing. Die hoeft nog geen volledig beeld te geven. Zij vermeldt of het incident vermoedelijk is veroorzaakt door een onrechtmatige of kwaadwillige handeling, en of het grensoverschrijdende gevolgen kan hebben.

Stap 2: melding, binnen 72 uur

Binnen 72 uur volgt de eigenlijke melding. Daarin werkt u de vroegtijdige waarschuwing bij en geeft u een eerste beoordeling van de ernst en de impact van het incident, en waar beschikbaar de indicatoren van aantasting. Voor verleners van vertrouwensdiensten geldt een kortere termijn: raakt het incident hun vertrouwensdienst, dan doen zij deze melding binnen 24 uur.

Tussentijds verslag, op verzoek

Het CSIRT of de toezichthouder kan tussendoor om een verslag vragen over de stand van zaken. Dat is geen vaste stap, maar houd er rekening mee dat het verzoek kan komen terwijl u nog midden in de afhandeling zit.

Stap 3: eindverslag, binnen één maand

Uiterlijk een maand na de melding van stap 2 levert u een eindverslag. Dat beschrijft het incident, de ernst en de impact, de vermoedelijke oorzaak en de maatregelen die u heeft genomen om de gevolgen te beperken.

Waar meldt u?

U meldt via één portaal: mijn.ncsc.nl. Een melding daar bereikt tegelijk uw sectorale CSIRT en uw toezichthouder; u hoeft ze niet apart te informeren. Welk CSIRT dat is, hangt af van uw sector. In de regel is het het NCSC; voor de zorg is het Z-CERT, voor de waterschappen en afvalwater CERT-WM en voor gemeenten de IBD.

Het meldportaal hoort bij dezelfde omgeving waarin u zich registreert in het nationaal entiteitenregister. Die registratie is een bijgehouden gegeven, geen eenmalig formulier: elke wijziging, zoals nieuwe contactgegevens, IP-reeksen of domeinnamen, meldt u binnen twee weken. Klopt uw registratie niet, dan bereikt het CSIRT tijdens een incident mogelijk de verkeerde persoon, precies op het moment dat elk uur telt.

Drie misverstanden

• Eén termijn van 24 uur. Er zijn drie stappen: 24 uur, 72 uur en een maand na de melding.
• Apart melden bij de toezichthouder. Eén melding via mijn.ncsc.nl bereikt CSIRT en toezichthouder tegelijk.
• Pas melden als alles bekend is. De vroegtijdige waarschuwing is bedoeld voor het moment waarop u nog niet alles weet.

Wat er moet klaarliggen voordat het misgaat

De meldplicht is lastig om te improviseren. Een termijn van 24 uur laat geen ruimte om tijdens een incident nog uit te zoeken wie beslist en wie toegang heeft tot het portaal. Incidentenbehandeling is daarom zelf een van de tien elementen van de zorgplicht, onderdeel b van artikel 21, uitgewerkt in artikel 8 van het Cyberbeveiligingsbesluit.

• Gedocumenteerde procedures voor detectie, analyse, melding en herstel.
• Een vastgelegde afweging wie beoordeelt of een incident significant is, en op basis waarvan.
• Toegang tot mijn.ncsc.nl voor de mensen die melden, en een vervanger voor elk van hen.
• Een logboek dat vanaf de eerste signalering bijhoudt wat er wanneer is vastgesteld, zodat de termijnen aantoonbaar zijn gehaald.
• Een oefening, zodat de eerste echte melding niet ook de eerste keer is.

Wat er op het spel staat

Het niet naleven van de meldplicht valt in dezelfde, hoogste boetecategorie als de zorgplicht. Voor een essentiële entiteit is de maximale boete 10 miljoen euro of 2% van de wereldwijde jaaromzet van de onderneming waartoe zij behoort, voor een belangrijke entiteit 7 miljoen euro of 1,4%, telkens het hoogste bedrag. Zwaarder dan de boete weegt meestal de vraag die de toezichthouder na een incident stelt: kunt u laten zien dat u tijdig en volledig heeft gemeld?