NIS2 meldplicht: incidenten melden binnen 24 en 72 uur

De NIS2-richtlijn rust op 3 verplichtingen: de zorgplicht, de registratieplicht en de meldplicht. De meldplicht is de verplichting die in een crisis het meest onder druk staat, want dan loopt de klok. In Nederland wordt NIS2 omgezet in de Cyberbeveiligingswet, die naar verwachting in 2026 van kracht wordt. Vanaf dat moment moet je ernstige cyberincidenten binnen strakke termijnen melden bij de overheid.

Dit artikel legt uit wat een significant incident is, binnen welke termijnen je moet melden, aan wie, en hoe je je organisatie voorbereidt zodat je niet in paniek raakt op het moment dat het telt. Of je organisatie sowieso onder de regels valt, lees je in NIS2: voor welke bedrijven geldt het.

De 3 meldtermijnen

De meldplicht kent geen enkel moment, maar een reeks. Je doet eerst een snelle eerste melding en levert daarna meer detail aan. De termijnen zijn strak.

De eerste 24 uur is de kritieke fase. Je hoeft dan nog niet alles te weten; de vroege waarschuwing is bedoeld om de toezichthouder en het responsteam vroeg op de hoogte te brengen. De volledige analyse volgt later. Dit ritme van 24 uur, 72 uur en daarna een eindrapport is de kern van de meldplicht.

Wanneer is een incident significant

Niet elke storing is meldplichtig. Het gaat om significante incidenten. De richtlijn hanteert daarvoor criteria die in de Nederlandse uitwerking nader worden ingevuld.

Bij twijfel geldt: melden is veiliger dan niet melden. Niet melden van een meldplichtig incident kan leiden tot handhaving, en de boetes onder NIS2 zijn aanzienlijk. Voor essentiele entiteiten loopt dat op tot 10 miljoen euro of 2 procent van de wereldwijde jaaromzet, voor belangrijke entiteiten tot 7 miljoen euro of 1,4 procent. Meer daarover staat in NIS2 boetes en risico's.

Aan wie meld je

In Nederland verloopt de melding via het Nationaal Cyber Security Centrum (NCSC) en het bijbehorende responsteam. Het toezicht ligt bij de Rijksinspectie Digitale Infrastructuur (RDI).

Het melden gebeurt via een meldportaal. Het is verstandig om vooraf te weten waar dat portaal zit en wie binnen je organisatie de melding mag doen, zodat je in de eerste 24 uur geen tijd verliest met uitzoeken.

Meldplicht NIS2 versus datalekmelding AVG

Veel ondernemers verwarren de NIS2-meldplicht met de datalekmelding onder de AVG. Het zijn 2 verschillende regimes die naast elkaar bestaan.

Een ransomware-aanval die ook persoonsgegevens raakt, kan onder beide regimes meldplichtig zijn. Dan meld je dus zowel bij het NCSC als bij de Autoriteit Persoonsgegevens. Hoe de AVG-melding werkt, lees je in datalek melden. Het is geen of-of, maar in dat geval en-en.

Hoe je je voorbereidt

De meldplicht haal je niet op het moment van een incident; je bereidt hem voor. Een organisatie die pas tijdens een aanval gaat nadenken over melden, verliest kostbare uren.

1. Wijs een meldverantwoordelijke aan. 1 persoon die de melding mag en kan doen, plus een vervanger. Reken op een bereikbaarheidsregeling buiten kantooruren.
2. Leg het meldproces vast. Wie beslist dat iets significant is, wie meldt, en welke gegevens je paraat hebt. Een kaart van 1 pagina is genoeg.
3. Koppel het aan je incident response. De meldplicht is een onderdeel van bredere incidentafhandeling. Zie incident response plan voor het geheel.
4. Oefen 1 keer per jaar. Een korte simulatie van 2 uur laat zien of je binnen 24 uur een melding rond krijgt.
5. Registreer je toegang. Zorg dat de meldverantwoordelijke al toegang heeft tot het meldportaal, zodat dat geen vertraging oplevert.

Met deze voorbereiding kost een eerste melding straks minuten in plaats van uren. De voorbereiding zelf is een investering van een paar uur per jaar.

Wat de meldplicht in cijfers betekent

Die laatste 35 procent laat zien dat een groot deel van het MKB nog niet voorbereid is. Wie nu het meldproces inricht, staat straks niet voor verrassingen wanneer de Cyberbeveiligingswet in 2026 van kracht wordt.

Waar de meldplicht ophoudt

De meldplicht regelt dat je een incident meldt, niet dat je het voorkomt of oplost. Voorkomen valt onder de zorgplicht en de technische maatregelen, oplossen onder je incidentafhandeling. De 3 verplichtingen grijpen in elkaar: goede beveiliging verkleint de kans op een meldplichtig incident, een werkend meldproces zorgt dat je op tijd meldt als het toch gebeurt.

Begin daarom niet bij de meldplicht alleen, maar bij het geheel. Het NIS2-stappenplan zet de volgorde uiteen, en de pillar over NIS2-compliance verzamelt alle onderdelen op 1 plek.

Een meldproces dat werkt onder druk

De waarde van een meldproces blijkt pas tijdens een incident, en juist dan is er weinig tijd om na te denken. In de eerste 24 uur na een ransomware-aanval of een datadiefstal is je organisatie in crisis: systemen liggen plat, medewerkers bellen, en intussen loopt de meldtermijn. Wie dan nog moet uitzoeken wie mag melden en waar, verliest kostbare uren.

Daarom is het verstandig de meldplicht te behandelen als een vaste procedure, niet als improvisatie. Een organisatie die het meldproces 1 keer per jaar oefent in een sessie van 2 uur, weet precies wie de vroege waarschuwing binnen 24 uur indient en wie de aanvullende melding binnen 72 uur verzorgt. Dat scheelt het verschil tussen op tijd melden en een overtreding.

Reken op een kleine vaste rolverdeling. 1 meldverantwoordelijke en 1 vervanger zijn genoeg voor een MKB-bedrijf, mits ze allebei toegang tot het meldportaal hebben en bereikbaar zijn buiten kantooruren. De directie wordt direct geinformeerd, want onder NIS2 draagt het bestuur de eindverantwoordelijkheid en moet het kunnen aantonen dat het incident professioneel is afgehandeld. Zie NIS2 bestuurdersaansprakelijkheid voor die rol.

Houd ook rekening met de samenloop met andere meldplichten. Raakt het incident persoonsgegevens, dan geldt naast de NIS2-melding binnen 24 uur ook de AVG-datalekmelding binnen 72 uur bij de Autoriteit Persoonsgegevens. 1 incident, mogelijk 2 meldingen. Hoe die regimes zich verhouden, staat in NIS2 vs AVG. Een meldproces dat beide routes vooraf heeft vastgelegd, voorkomt dat je tijdens de crisis nog moet uitzoeken welk loket waar zit.

Onthoud tot slot dat melden geen bekentenis van falen is, maar een wettelijke plicht en vaak ook praktisch nuttig. Het responsteam kan je helpen het incident in te dammen en waarschuwt waar nodig andere organisaties. Wie binnen 24 uur meldt en professioneel afhandelt, staat juridisch en praktisch sterker dan wie een incident probeert stil te houden. Tijdig melden hoort daarmee bij een volwassen incidentaanpak, niet bij paniek.

Veelgestelde vragen

Binnen welke termijn moet ik een incident melden onder NIS2?

Een significant incident meld je binnen 24 uur als vroege waarschuwing, gevolgd door een uitgebreidere melding binnen 72 uur en een eindrapport binnen 1 maand.

Aan wie meld ik een cyberincident?

In Nederland aan het Nationaal Cyber Security Centrum (NCSC), via het meldportaal. Het toezicht op naleving ligt bij de Rijksinspectie Digitale Infrastructuur (RDI).

Wat is een significant incident?

Een incident met ernstige operationele verstoring, aanzienlijke financiele schade of impact op klanten en ketenpartners. Bij twijfel is melden veiliger dan niet melden.

Is de NIS2-meldplicht hetzelfde als de datalekmelding onder de AVG?

Nee, het zijn 2 aparte regimes. Een incident dat ook persoonsgegevens raakt, kan onder beide meldplichtig zijn, waarbij je zowel het NCSC als de Autoriteit Persoonsgegevens informeert.

Wat gebeurt er als ik niet meld?

Niet melden van een meldplichtig incident kan leiden tot handhaving en boetes, tot 10 miljoen euro of 2 procent van de jaaromzet voor essentiele entiteiten.

Dit is een gevoelig en juridisch onderwerp. Raadpleeg voor je eigen situatie de officiele bronnen of een gespecialiseerde adviseur, omdat de exacte invulling van de Cyberbeveiligingswet nog wordt vastgesteld.