Wat moet u melden?
De meldplicht geldt voor significante incidenten. Een incident is significant wanneer het ernstige verstoring van uw dienstverlening of financiële schade veroorzaakt of kan veroorzaken, of wanneer het andere personen of organisaties aanzienlijke materiële of immateriële schade kan berokkenen. Denk aan ransomware die uw dienstverlening stillegt, of een inbraak waarbij gegevens van klanten zijn buitgemaakt.
Drie meldmomenten
De melding verloopt in fases, zodat u niet hoeft te wachten tot alles bekend is.
- Binnen 24 uur na kennisname: een vroegtijdige waarschuwing, met onder meer of er vermoedelijk sprake is van kwaadwillend handelen en of er gevolgen over de grens kunnen zijn.
- Binnen 72 uur: een incidentmelding met een eerste beoordeling van ernst en impact en, waar beschikbaar, aanwijzingen van de aanval.
- Binnen een maand: een eindverslag met een beschrijving, de oorzaak, de genomen maatregelen en eventuele grensoverschrijdende gevolgen.
Ook uw afnemers informeren
Naast de melding aan de overheid moet u in bepaalde gevallen ook de afnemers van uw diensten informeren, bijvoorbeeld over maatregelen die zij zelf kunnen nemen. Bereid voor hoe u dat doet en wie die communicatie verzorgt. In de hectiek van een incident is er geen tijd om dat alsnog te bedenken.
Samenloop met de AVG
Zijn bij een incident persoonsgegevens betrokken, dan geldt ook de meldplicht datalekken uit de AVG. Die melding doet u binnen 72 uur bij de Autoriteit Persoonsgegevens. De twee meldplichten bestaan naast elkaar en hebben verschillende criteria. Richt één incidentproces in dat beide beoordelingen maakt, zodat geen van de meldingen wordt vergeten.
Bereid het meldproces nu voor
Leg vast wie beoordeelt of een incident significant is, wie de melding doet en wie bereikbaar is buiten kantoortijden. Zorg dat uw organisatie is geregistreerd en dat de juiste personen toegang hebben tot het meldportaal. Maak afspraken met uw ICT-partner en hostingprovider over het tijdig doorgeven van incidenten. Oefen het proces met een scenario, zodat de termijn van 24 uur haalbaar is.