In het kort
- De meldplicht geldt voor significante incidenten bij essentiële en belangrijke entiteiten onder de Cyberbeveiligingswet.
- De reguliere route bestaat uit een vroegtijdige waarschuwing binnen 24 uur, een incidentmelding binnen 72 uur en een eindverslag binnen één maand na de incidentmelding.
- De termijnen lopen vanaf het moment waarop de organisatie kennis heeft gekregen van het significante incident.
- De melding verloopt via het centrale meldpunt op MijnNCSC en bereikt zowel het sectorale CSIRT als de bevoegde toezichthouder.
- Een NIS2-melding vervangt een eventuele datalekmelding onder de AVG niet. Beide verplichtingen moeten afzonderlijk worden beoordeeld.
Een organisatie ontdekt op maandag om 10.00 uur een mogelijk significant cyberincident. Wat moet er uiterlijk dinsdag om 10.00 uur, donderdag om 10.00 uur en een maand later zijn gemeld?
Terwijl technische teams systemen isoleren en de dienstverlening herstellen, moet de organisatie beoordelen of het incident onder de meldplicht van NIS2 en de Cyberbeveiligingswet valt. Die beoordeling kan niet wachten tot het volledige forensische onderzoek is afgerond.
Voor de brede context over toepasselijkheid, zorgplicht, registratie en bestuur kunt u eerst de centrale uitleg over NIS2 en de Cyberbeveiligingswet raadplegen. Dit artikel behandelt één vraag diepgaand: hoe werkt de meldcascade bij een significant incident?
Actuele status: de Cyberbeveiligingswet treedt op 15 augustus 2026 in werking. Tot die datum kunnen incidenten vrijwillig via MijnNCSC worden gemeld. Vanaf de inwerkingtreding geldt de wettelijke meldplicht voor organisaties die als essentiële of belangrijke entiteit binnen de reikwijdte vallen.
Voorbeeld: een incident op maandag om 10.00 uur
Stel dat de organisatie op maandag om 10.00 uur voldoende informatie heeft om een incident als mogelijk significant te herkennen. In de reguliere meldroute ziet de tijdlijn er dan als volgt uit:
| Uiterlijk moment | Wat gebeurt er? | Praktische vraag |
|---|---|---|
| Dinsdag 10.00 uur | Vroegtijdige waarschuwing binnen 24 uur | Kunnen wij aard, mogelijke oorzaak, impact en contactpersoon betrouwbaar doorgeven? |
| Donderdag 10.00 uur | Incidentmelding binnen 72 uur | Welke eerste beoordeling, gevolgen en indicatoren kunnen wij aanvullen? |
| Een maand na de incidentmelding | Eindverslag, of eerst een voortgangsverslag als het incident nog loopt | Kunnen wij oorzaak, gevolgen, besluiten en verbetermaatregelen aantoonbaar reconstrueren? |
De commerciële kernvraag: niet alleen “wat moeten wij melden?”, maar vooral “is onze organisatie operationeel in staat om dit binnen 24 uur te beoordelen, te besluiten en uit te voeren, ook ’s nachts of in het weekend?”
Wat is de meldplicht onder NIS2?
De Cyberbeveiligingswet is de Nederlandse implementatie van de Europese NIS2-richtlijn. De wet verplicht essentiële en belangrijke entiteiten om ieder significant incident gefaseerd te melden aan hun sectorale Computer Security Incident Response Team (CSIRT) en hun bevoegde toezichthouder.
In Nederland verloopt die melding via het centrale meldpunt op MijnNCSC. Eén melding wordt automatisch doorgestuurd naar het relevante sectorale CSIRT en de toezichthouder. Het CSIRT kan vervolgens ondersteuning bieden bij de afhandeling van het incident.
De meldplicht is daarmee meer dan een administratieve verplichting. De organisatie moet tijdens een incident snel kunnen bepalen:
- welke dienstverlening en processen worden geraakt;
- hoe ernstig de verstoring kan worden;
- of klanten, ketenpartners of andere organisaties getroffen zijn of kunnen worden;
- of financiële, materiële of immateriële schade kan ontstaan;
- wie het meldbesluit neemt en wie de melding indient;
- welke informatie binnen de wettelijke termijn betrouwbaar beschikbaar is.
Een incidentresponsplan zonder beslisroute voor de wettelijke meldplicht is daarom niet compleet.
Wanneer is een cyberincident significant?
Niet ieder beveiligingsincident hoeft verplicht te worden gemeld. Artikel 25 van de Cyberbeveiligingswet koppelt de meldplicht aan een significant incident. Daarvan is sprake wanneer het incident:
De eigen organisatie ernstig raakt
Het incident veroorzaakt of kan een ernstige operationele verstoring van de diensten of financiële verliezen voor de betrokken organisatie veroorzaken.
Schade bij anderen veroorzaakt
Het incident heeft andere entiteiten getroffen of kan die treffen door aanzienlijke materiële of immateriële schade te veroorzaken.
De woorden “kan veroorzaken” zijn belangrijk. De organisatie hoeft niet altijd te wachten tot de maximale schade daadwerkelijk is ingetreden. Ook de redelijkerwijs te verwachten impact kan aanleiding zijn om een incident als significant te beoordelen.
Geen universele meldgrens
Er bestaat niet één algemene grens, zoals een vast aantal uren uitval of een vast aantal getroffen klanten, die voor iedere sector en organisatie geldt. Nadere drempelwaarden kunnen verschillen per sector, subsector, soort entiteit of individuele entiteit. Voor bepaalde digitale entiteiten gelden bovendien rechtstreeks toepasselijke Europese criteria.
Een werkbare beslismatrix combineert daarom:
- de algemene wettelijke definitie;
- toepasselijke sectorale of Europese drempelwaarden;
- de kritieke diensten en processen van de eigen organisatie;
- interne impactniveaus en escalatiecriteria;
- een vastgelegde route voor twijfelgevallen.
Welke incidenten kunnen meldplichtig zijn?
Of een incident meldplichtig is, hangt af van de gevolgen en niet uitsluitend van de technische oorzaak. De volgende situaties kunnen, afhankelijk van de impact, als significant worden aangemerkt:
Ransomware en uitval
Kritieke bedrijfs-, productie- of zorgprocessen zijn niet beschikbaar en herstel kan meerdere dagen duren.
Incident bij een leverancier
Een cloud-, software- of IT-dienstverlener wordt getroffen waardoor de eigen dienstverlening ernstig wordt geraakt.
Compromittering van beheeraccounts
Een aanvaller krijgt verhoogde rechten en kan systemen, gegevens of dienstverlening ingrijpend beïnvloeden.
DDoS of langdurige onbeschikbaarheid
Een digitale dienst is slecht bereikbaar of uitgevallen, met substantiële gevolgen voor gebruikers of ketenpartners.
Diefstal of manipulatie van gegevens
Gegevens zijn gestolen, gewijzigd of vernietigd en kunnen aanzienlijke schade bij de organisatie of anderen veroorzaken.
Beperkt incident of bijna-incident
De aanval is tijdig geblokkeerd en heeft geen significante gevolgen. Een vrijwillige melding bij het CSIRT kan nog steeds passend zijn.
Let op: deze voorbeelden zijn geen automatische juridische kwalificatie. Beoordeel altijd de concrete gevolgen, toepasselijke drempelwaarden en de specifieke sectorcontext.
Welke termijnen gelden voor de NIS2-meldplicht?
De melding verloopt gefaseerd. De organisatie hoeft in de eerste uren nog niet alle feiten te kennen, maar moet wel tijdig waarschuwen en de informatie daarna aanvullen.
| Termijn | Meldmoment | Belangrijkste inhoud |
|---|---|---|
| Binnen 24 uur | Vroegtijdige waarschuwing | Eerste informatie, vermoedelijk kwaadwillig handelen, mogelijke grensoverschrijdende gevolgen en contactpersoon. |
| Binnen 72 uur | Incidentmelding | Update, eerste beoordeling van ernst en gevolgen, beschikbare indicatoren voor aantasting en grensoverschrijdende impact. |
| Op verzoek | Tussentijds verslag | Relevante ontwikkelingen en de actuele stand van zaken. |
| Binnen één maand na de 72-uursmelding | Eindverslag | Gedetailleerde beschrijving, waarschijnlijke oorzaak, gevolgen en genomen of lopende maatregelen. |
| Wanneer het incident voortduurt | Voortgangsverslag | Voorlopige rapportage; het definitieve eindverslag volgt binnen één maand na afhandeling. |
Stap 1: vroegtijdige waarschuwing binnen 24 uur
De vroegtijdige waarschuwing moet onverwijld worden gegeven of, wanneer dat niet mogelijk is, uiterlijk binnen 24 uur nadat de organisatie kennis heeft gekregen van het significante incident.
De wet verlangt dat de organisatie bij deze waarschuwing aangeeft:
- of het incident vermoedelijk door een onrechtmatige of kwaadwillige handeling is veroorzaakt;
- of het incident grensoverschrijdende gevolgen kan hebben;
- welke functionaris verantwoordelijk is voor de melding en hoe deze bereikbaar is.
Het meldformulier vraagt daarnaast om algemene en incidentspecifieke informatie, zoals datum en tijd, type incident, mogelijke oorzaak en impact. Geef aan welke gegevens voorlopig zijn en welke nog worden onderzocht.
U hoeft binnen 24 uur nog niet alles te weten
De vroegtijdige waarschuwing is geen volledig forensisch onderzoeksrapport. Het doel is tijdig waarschuwen op basis van de informatie die op dat moment beschikbaar is. Wachten op volledige technische zekerheid kan juist het risico vergroten dat de wettelijke termijn wordt overschreden.
Leg vooraf vast wie de voorlopige impact beoordeelt, welke minimale informatie nodig is, wie het meldbesluit neemt en hoe aannames en onzekerheden worden gedocumenteerd.
Stap 2: incidentmelding binnen 72 uur
Uiterlijk binnen 72 uur nadat de organisatie kennis heeft gekregen van het significante incident volgt de uitgebreidere incidentmelding. Deze bevat, wanneer van toepassing en beschikbaar:
- een update van de vroegtijdige waarschuwing;
- een initiële beoordeling van de ernst en de gevolgen;
- indicatoren voor aantasting of compromittering;
- informatie waarmee mogelijke grensoverschrijdende gevolgen kunnen worden bepaald.
Voor vertrouwensdienstverleners kan een kortere termijn gelden wanneer het incident gevolgen heeft voor de vertrouwensdienst. Voor organisaties waarop gelijkwaardige sectorspecifieke Europese meldregels van toepassing zijn, zoals bepaalde verplichtingen onder DORA of de netcode cybersecurity voor elektriciteit, kan een andere meldroute of termijn gelden.
Stap 3 en 4: tussentijdse update en eindverslag
Het CSIRT of de bevoegde toezichthouder kan tijdens de afhandeling om een tussentijds verslag vragen. Centrale dossiervorming is daarom essentieel: technische bevindingen, besluiten, maatregelen en communicatie moeten vanuit één actueel incidentbeeld beschikbaar zijn.
Uiterlijk één maand na de incidentmelding volgt het eindverslag met:
- een gedetailleerde beschrijving van het incident, de ernst en de gevolgen;
- het soort dreiging of de waarschijnlijke grondoorzaak;
- toegepaste en nog lopende risicobeperkende maatregelen;
- eventuele grensoverschrijdende gevolgen.
Duurt het incident op dat moment nog voort, dan wordt eerst een voortgangsverslag ingediend. Het definitieve eindverslag volgt binnen één maand nadat het incident is afgehandeld.
Wanneer begint de termijn van 24 uur?
De wettelijke tekst koppelt de termijn aan het moment waarop de organisatie kennis heeft gekregen van het significante incident. Dat is niet noodzakelijk hetzelfde moment als de eerste technische afwijking, de initiële aanval of de afronding van het forensische onderzoek.
In de praktijk moet de organisatie kunnen reconstrueren wanneer voldoende informatie beschikbaar kwam om het incident als mogelijk significant te herkennen. Leg daarom tijdens ieder ernstig incident minimaal vast:
Eerste waarneming
Wanneer werd de eerste afwijking, waarschuwing of verstoring opgemerkt?
Interne escalatie
Wanneer werd het incident doorgezet naar security, management, privacy of crisisorganisatie?
Beoordeling van significantie
Wanneer werd duidelijk dat ernstige gevolgen bestonden of redelijkerwijs konden ontstaan?
Meldbesluit en indiening
Wie nam het besluit, op basis van welke informatie en wanneer werd de melding ingediend?
Een zorgvuldig incidentlog is daardoor niet alleen technisch nuttig, maar ook belangrijk voor bestuurlijke verantwoording en toezicht.
Waar moet een NIS2-incident worden gemeld?
De verplichte melding verloopt via het centrale meldpunt op MijnNCSC. Met één melding worden zowel het relevante sectorale CSIRT als de bevoegde toezichthouder bereikt.
Controleer vóór een incident:
- of de organisatie correct is geregistreerd;
- welke medewerkers toegang hebben tot MijnNCSC;
- of eHerkenning of andere authenticatiemiddelen beschikbaar zijn;
- wie als vervanger kan optreden buiten kantooruren;
- waar contactgegevens en meldinstructies ook offline beschikbaar zijn;
- of de volledige meldroute praktisch is getest.
Tijdens een ransomware-aanval ontdekken dat alleen een afwezige medewerker toegang tot het meldportaal heeft, is geen werkbare meldprocedure.
NIS2-melding en datalekmelding: wat is het verschil?
De meldplicht uit de Cyberbeveiligingswet en de meldplicht datalekken uit de AVG hebben verschillende criteria.
| Cyberbeveiligingswet / NIS2 | AVG |
|---|---|
| Richt zich op significante gevolgen voor dienstverlening, financiële verliezen en aanzienlijke schade bij andere entiteiten. | Richt zich op een inbreuk in verband met persoonsgegevens en het risico voor de rechten en vrijheden van betrokkenen. |
| Vroegtijdige waarschuwing in beginsel binnen 24 uur en incidentmelding binnen 72 uur. | Een meldplichtig datalek wordt in beginsel binnen 72 uur na kennisname bij de Autoriteit Persoonsgegevens gemeld. |
| Melding via MijnNCSC aan het sectorale CSIRT en de bevoegde toezichthouder. | Melding via het datalekportaal van de Autoriteit Persoonsgegevens. |
Een incident kan alleen onder de AVG vallen, alleen onder NIS2 vallen of onder beide regimes. Een melding via MijnNCSC vervangt daarom niet automatisch een eventuele melding bij de Autoriteit Persoonsgegevens.
Wat als het incident bij een leverancier ontstaat?
Ook wanneer de technische oorzaak bij een cloudprovider, softwareleverancier of managed service provider ligt, kan de afnemende NIS2-entiteit zelf meldplichtig zijn wanneer haar eigen dienstverlening significant wordt geraakt of redelijkerwijs kan worden geraakt.
Leveranciersafspraken moeten daarom aansluiten op de kortste wettelijke termijn van de klant. Leg contractueel vast:
- hoe snel een leverancier een vermoedelijk ernstig incident meldt;
- welke technische en operationele informatie direct wordt gedeeld;
- wie tijdens een incident bereikbaar en bevoegd is;
- hoe updates, bewijs en oorzaakonderzoek worden geleverd;
- hoe wordt samengewerkt bij communicatie en wettelijke meldingen.
Praktische consequentie: een contract waarin een leverancier pas na 48 of 72 uur rapporteert, kan te laat zijn om als klant zelf een onderbouwde vroegtijdige waarschuwing binnen 24 uur te doen.
Moeten klanten en andere ontvangers worden geïnformeerd?
In bepaalde situaties wel. De Cyberbeveiligingswet verplicht een essentiële of belangrijke entiteit om ontvangers van haar diensten onverwijld te informeren wanneer een significant incident nadelige invloed kan hebben op de verlening van die diensten.
Bij een significante cyberdreiging kan de organisatie ook moeten uitleggen welke beschermings- of herstelmaatregelen ontvangers zelf kunnen nemen. Incidentrespons en crisiscommunicatie moeten daarom vooraf op elkaar zijn afgestemd.
Welke handhavingsrisico’s bestaan?
Het niet naleven van de meldplicht kan leiden tot toezicht en handhaving. Voor overtreding van onder meer de zorg- en meldplicht gelden wettelijke boetemaxima:
Essentiële entiteiten
Maximaal €10 miljoen of 2% van de totale wereldwijde jaaromzet van de onderneming in het voorgaande boekjaar, wanneer dat omzetgerelateerde bedrag hoger is.
Belangrijke entiteiten
Maximaal €7 miljoen of 1,4% van de totale wereldwijde jaaromzet van de onderneming in het voorgaande boekjaar, wanneer dat omzetgerelateerde bedrag hoger is.
Dit zijn wettelijke maxima en geen automatische boetes. De praktische betekenis van de meldplicht is breder: een gebrekkig meldproces wijst vaak ook op tekortkomingen in detectie, incidentrespons, ketenbeheersing, continuïteit en bestuurlijke informatievoorziening.
Hoe richt u een werkbaar meldproces in?
Een procedure is pas bruikbaar wanneer zij onder tijdsdruk werkt. Neem minimaal de volgende onderdelen op:
Bepaal scope en kritieke diensten
Leg vast welke entiteiten, diensten, locaties, systemen en leveranciers binnen de NIS2-scope vallen.
Vertaal significantie naar besliscriteria
Combineer wet, sectorale drempels, impact op diensten, klanten, financiën, veiligheid en ketenpartners.
Benoem rollen en vervangers
Wijs verantwoordelijkheden toe voor analyse, privacy, juridische beoordeling, communicatie, meldbesluit en indiening.
Maak meldsjablonen
Bereid formats voor de 24-uurswaarschuwing, 72-uursmelding, updates, eindrapport en bestuurlijke besluitvorming voor.
Richt centrale dossiervorming in
Bewaar tijdstippen, besluiten, technische bevindingen, communicatie en maatregelen in één beheerst incidentdossier.
Oefen de volledige keten
Test buiten kantooruren, toegang tot MijnNCSC, samenwerking met leveranciers en besluitvorming met onvolledige informatie.
Stappenplan bij een mogelijk significant incident
Beheers de directe dreiging
Isoleer waar nodig systemen, beperk verdere verspreiding en bescherm relevant bewijs.
Open een centraal incidentdossier
Registreer gebeurtenissen, tijdstippen, besluiten, betrokkenen en beschikbare informatie.
Bepaal de mogelijke impact
Onderzoek gevolgen voor dienstverlening, financiën, klanten, ketenpartners, gegevens en andere organisaties.
Toets de meldcriteria
Pas de wettelijke definitie, sectorale drempels en interne beslismatrix toe.
Escaleren en melden
Wacht niet automatisch op volledige zekerheid wanneer significante impact redelijkerwijs mogelijk is.
Beoordeel parallelle verplichtingen
Denk aan AVG, sectorspecifieke regelgeving, contractuele meldingen, politie, verzekeraar en communicatie aan ontvangers.
Actualiseer en sluit af
Lever de 72-uursmelding, tussentijdse updates en het eindverslag en vertaal lessen naar structurele verbeteracties.
Checklist: is uw 24-uursmeldketen uitvoerbaar?
- Wij weten of en voor welke onderdelen onze organisatie onder de Cyberbeveiligingswet valt.
- Wij kennen de algemene én toepasselijke sectorspecifieke meldcriteria.
- Ernstige incidenten kunnen dag en nacht worden geëscaleerd.
- Het is duidelijk wanneer de termijn van 24 uur mogelijk begint.
- Er is een bevoegde beslisser én een vervanger aangewezen.
- Meerdere medewerkers hebben werkende toegang tot MijnNCSC.
- Wij kunnen binnen enkele uren de impact op kritieke dienstverlening beoordelen.
- Leveranciers leveren de benodigde informatie binnen onze wettelijke termijnen.
- NIS2-, AVG- en contractuele meldplichten worden parallel beoordeeld.
- De volledige meldketen is met een realistisch scenario geoefend.
- Wij kunnen achteraf aantonen welke besluiten wanneer en waarom zijn genomen.
Veelgestelde vragen over de NIS2-meldplicht
Wat is de meldplicht van NIS2?
Essentiële en belangrijke entiteiten moeten significante incidenten gefaseerd melden aan hun sectorale CSIRT en bevoegde toezichthouder. De reguliere route bestaat uit een vroegtijdige waarschuwing binnen 24 uur, een incidentmelding binnen 72 uur en een eindverslag binnen één maand na de incidentmelding.
Moet ieder cyberincident worden gemeld?
Nee. De verplichte melding geldt voor significante incidenten: incidenten die een ernstige operationele verstoring of financiële verliezen veroorzaken of kunnen veroorzaken, of andere entiteiten aanzienlijke materiële of immateriële schade berokkenen of kunnen berokkenen.
Binnen hoeveel uur moet een NIS2-incident worden gemeld?
De vroegtijdige waarschuwing moet onverwijld en, wanneer dat niet mogelijk is, uiterlijk binnen 24 uur na kennisname van het significante incident worden gegeven. Binnen 72 uur volgt de uitgebreidere incidentmelding.
Wanneer begint de termijn van 24 uur?
De termijn begint wanneer de organisatie kennis heeft gekregen van het significante incident. Leg daarom vast wanneer het incident is waargenomen, geëscaleerd en als mogelijk significant is beoordeeld.
Waar moet een NIS2-incident worden gemeld?
De melding verloopt via het centrale meldpunt op MijnNCSC. Met één melding worden het relevante sectorale CSIRT en de bevoegde toezichthouder bereikt.
Is een NIS2-melding hetzelfde als een datalekmelding?
Nee. De NIS2-meldplicht en de meldplicht datalekken uit de AVG hebben verschillende criteria. Eén incident kan onder één of onder beide meldplichten vallen. Beide moeten afzonderlijk worden beoordeeld.
Moet ik melden wanneer de oorzaak bij een leverancier ligt?
Dat kan. Wanneer een incident bij een leverancier significante gevolgen heeft of kan hebben voor de dienstverlening van uw eigen organisatie, kan uw organisatie zelf meldplichtig zijn.
Mag een organisatie wachten op het forensische onderzoek?
Binnen 24 uur hoeft nog niet ieder technisch detail vast te staan. De vroegtijdige waarschuwing wordt gebaseerd op de beschikbare informatie. Wachten op volledige zekerheid kan de wettelijke termijn in gevaar brengen.
Moeten klanten over een NIS2-incident worden geïnformeerd?
In bepaalde gevallen wel. Ontvangers van diensten moeten onverwijld worden geïnformeerd wanneer een significant incident nadelige invloed kan hebben op de dienstverlening. Ook kan informatie nodig zijn over maatregelen die zij zelf kunnen treffen.
Officiële bronnen
Deze pagina is gebaseerd op primaire en officiële bronnen. Controleer bij een concreet incident altijd de actuele wetstekst, toepasselijke sectorspecifieke regels en aanwijzingen van het bevoegde CSIRT en de toezichthouder.
- Staatsblad 2026, 187: Cyberbeveiligingswet, artikelen 25 tot en met 30
- Staatsblad 2026, 189: Cyberbeveiligingsbesluit
- NCSC: meld incidenten onder de Cyberbeveiligingswet
- Rijksoverheid: Cyberbeveiligingswet vanaf 15 augustus 2026 van kracht
- Autoriteit Persoonsgegevens: zo meldt u een datalek
Is uw 24-uursmeldketen werkelijk uitvoerbaar?
De NIS2 Quickscan & Readiness Review brengt scope, bestuurlijke verantwoordelijkheid, incidentmelding, ketenrisico en aantoonbaarheid samen in een concrete 90-dagenroute.
Laatst inhoudelijk gecontroleerd op 4 augustus 2026. Deze pagina bevat algemene informatie en is geen juridisch oordeel over de meldplicht van een specifieke organisatie of een specifiek incident.