De meldplicht in de praktijk: 24 uur, 72 uur, één maand

De 24-uursmelding wordt vaak gelezen als een deadline waarna het klaar is. Dat is precies verkeerd om. Het is een startsein: het eerste van vier momenten in een meldketen die tot een maand na het incident doorloopt.

De cascade

NIS2 legt een gelaagde meldplicht op, en de Cyberbeveiligingswet neemt die over. Bij een significant incident meldt u bij het CSIRT — in Nederland het NCSC — en bij uw toezichthouder:

• Binnen 24 uur — vroegtijdige waarschuwing. Een kort signaal, geen analyse. U geeft aan of het incident vermoedelijk het gevolg is van een onrechtmatige of kwaadwillige handeling en of er grensoverschrijdende gevolgen kunnen zijn.
• Binnen 72 uur — incidentmelding. Een actualisering van de waarschuwing, met een eerste beoordeling van de ernst, de impact en waar mogelijk de indicatoren van compromittering.
• Op verzoek — tussentijdse rapportage. Het CSIRT of de toezichthouder kan tussentijds om een statusupdate vragen.
• Binnen één maand — eindverslag. Een uitgebreide beschrijving van het incident, de ernst en de gevolgen, het type dreiging en de vermoedelijke grondoorzaak, de genomen en lopende mitigatiemaatregelen en eventuele grensoverschrijdende effecten. Loopt het incident na een maand nog, dan levert u een voortgangsverslag en volgt het eindverslag binnen een maand na afhandeling.

Daarnaast kan er een informatieplicht richting uw afnemers ontstaan wanneer een incident hun dienstverlening raakt, of wanneer u een significante cyberdreiging signaleert waartegen zij zelf maatregelen kunnen nemen. Die melding staat los van de melding aan het NCSC en wordt in draaiboeken vaak vergeten.

De klok start bij constatering, niet bij het incident

De termijn van 24 uur begint te lopen op het moment dat u zich bewust wordt van het incident. Dat is goed nieuws en slecht nieuws tegelijk. Goed nieuws, omdat een aanvaller die drie weken ongezien binnen zat u niet retroactief in overtreding brengt. Slecht nieuws, omdat het moment van constatering het enige is waar u zelf invloed op heeft.

Zonder logging en alarmering constateert u een incident pas als een klant belt, een leverancier iets meldt of er losgeld wordt geëist. Detectie is daarmee geen luxe naast de meldplicht — het is de voorwaarde eronder. Een organisatie die niets ziet, meldt niets, en verantwoordt dat achteraf tegenover een toezichthouder die de vraag stelt waarom het drie weken duurde.

Wat u vooraf vastlegt

Een melding halen op een dinsdagnacht lukt alleen als de beslissingen al genomen zijn. Zes dingen die op papier moeten staan voordat u ze nodig heeft:

1. Wie besluit. Eén persoon die mag vaststellen dat iets een significant incident is, en een plaatsvervanger. Zonder aangewezen beslisser verdwijnt het besluit in een groepsapp.
2. Wat significant bij u betekent. Vertaal de wettelijke criteria — ernstige verstoring van de dienstverlening, financiële verliezen, aanzienlijke materiële of immateriële schade — naar drempels in uw eigen termen. Hoeveel uur uitval, hoeveel klanten, welke systemen.
3. Waar u meldt. Het kanaal, wie een account heeft en wie erbij kan als die persoon op vakantie is.
4. Bereikbaarheid buiten kantooruren. Van uw eigen mensen én van uw IT-leverancier. Inclusief het nummer dat u belt als e-mail plat ligt.
5. Voorbereide tekstblokken. De vroegtijdige waarschuwing bevat weinig informatie. Schrijf de vaste onderdelen nu, zodat u straks alleen de feiten hoeft in te vullen.
6. Een logboek vanaf minuut nul. Tijdstempels, wie wat wanneer deed, welke systemen zijn afgesloten. Het eindverslag over een maand is alleen te schrijven als iemand tijdens de chaos heeft meegeschreven.

Oefen het één keer

Een tabletop van negentig minuten is voldoende. Neem een concreet scenario — ransomware op vrijdagavond, één versleutelde bestandsserver, de back-up van vannacht onbevestigd — en loop de eerste 24 uur door. Wie belt wie, wanneer valt het besluit dat dit significant is, wie schrijft de melding, wie informeert de klanten.

De eerste keer duurt die 24-uursmelding in de oefening bijna altijd langer dan 24 uur. Dat is precies de waarde van de oefening: u vindt de blokkades op een moment dat ze niets kosten.