Meldplicht Cyberbeveiligingswet: 24 uur, 72 uur en één maand
De meldplicht onder de Cyberbeveiligingswet werkt in drie trappen vanaf het moment dat je een incident ontdekt. Wat je binnen 24 uur meldt, wat binnen 72 uur, en wat er in het eindverslag na een maand hoort. Plus hoe dit zich verhoudt tot de 72-uursmelding uit de AVG.
Er is één onderdeel van de Cyberbeveiligingswet waar je geen tijd hebt om het op te zoeken als het zover is: de meldplicht. Die begint te lopen op het moment dat je een significant incident ontdekt, en de eerste termijn is vierentwintig uur.
Vierentwintig uur klinkt ruim tot je bedenkt dat het meestal begint op een vrijdagmiddag om half vijf, en dat je op dat moment nog niet eens weet wat er precies aan de hand is.
Dit stuk zet de drie termijnen op een rij, wat er in elke melding hoort, en hoe het zich verhoudt tot de meldplicht die je misschien al kent uit de AVG.
Voor wie geldt dit
De meldplicht geldt voor organisaties die onder de Cyberbeveiligingswet vallen. Dat zijn er in Nederland ongeveer achtduizend, in achttien sectoren, meestal vanaf vijftig medewerkers of tien miljoen euro omzet. Daarnaast een aantal groepen ongeacht hun omvang, waaronder DNS-dienstverleners en aanbieders van domeinnaamregistratiediensten.
Val je er niet onder, dan geldt deze meldplicht niet voor jou. Twee redenen om toch verder te lezen: je hebt via de AVG mogelijk wél een meldplicht, en je opdrachtgever die er wel onder valt kan contractueel van jou verlangen dat je hem binnen een bepaalde tijd informeert. Dat is dan geen wettelijke plicht maar een afspraak, en die moet je wel kunnen waarmaken.
Wat is een significant incident
Niet elk voorval hoeft gemeld. Het gaat om incidenten die de dienstverlening ernstig verstoren, financiële schade veroorzaken, of het risico op aanzienlijke schade bij andere organisaties met zich meebrengen. De precieze drempels verschillen per sector en zijn in aanvullende regelgeving uitgewerkt.
Kleinere incidenten mag je vrijwillig melden. Dat klinkt als extra werk, maar het heeft een praktisch voordeel: je bouwt er een dossier mee op waaruit blijkt dat je de zaak serieus neemt.
In de praktijk is de belangrijkste vraag bij twijfel niet "moet ik dit melden" maar "kan ik straks uitleggen waarom ik het niet gemeld heb". Als het antwoord op die tweede vraag onprettig is, meld je het.
De drie trappen
De klok begint te lopen op het moment van ontdekking, niet op het moment waarop het incident begon. Dat is een belangrijk verschil, want die twee liggen vaak weken uit elkaar.
Binnen 24 uur: de vroegtijdige waarschuwing
Dit is geen volledig verslag. Het is een seintje dat er iets aan de hand is. Wat erin hoort:
- dat er een significant incident is
- of het vermoedelijk kwaadwillig van aard is
- of er grensoverschrijdende gevolgen kunnen zijn
Meer wordt er op dat moment niet van je verwacht, en dat is maar goed ook, want meer weet je meestal nog niet. De valkuil is dat mensen wachten met melden tot ze het complete plaatje hebben. Dat is precies de omgekeerde volgorde.
Binnen 72 uur: de eigenlijke melding
Nu wordt het inhoudelijk. Hier hoort in:
- een inschatting van de ernst en de gevolgen
- de indicatoren van compromittering, dus waaraan je ziet dat er ingebroken is
- een actualisering van wat je in de eerste melding hebt gezegd
Let op: voor aanbieders van vertrouwensdiensten is deze tweede termijn geen 72 maar 24 uur. Val je in die categorie, dan lopen de eerste twee trappen dus samen.
Binnen één maand: het eindverslag
Het volledige verhaal:
- een gedetailleerde beschrijving van het incident
- de aard van de dreiging en de vermoedelijke oorzaak
- de maatregelen die je hebt genomen en nog neemt
- de grensoverschrijdende gevolgen, als die er waren
Duurt het incident langer dan een maand? Dan lever je op dat moment een tussentijds verslag met de stand van zaken, en volgt het eindverslag binnen een maand nadat het incident is afgehandeld.
Waar meld je
Via één centraal meldpunt op MijnNCSC. Je doet één melding en die komt terecht bij zowel het sectorale CSIRT als de toezichthouder. Dat scheelt: je hoeft niet uit te zoeken wie je waarvoor moet hebben.
Val je onder andere Europese sectorwetgeving, bijvoorbeeld DORA in de financiële sector of de netcode cyberbeveiliging voor elektriciteit, dan kan er een andere route gelden met soms kortere termijnen.
Dit is niet hetzelfde als de AVG-melding
Twee meldplichten die op elkaar lijken en waar mensen ze door elkaar halen.
De AVG gaat over persoonsgegevens. Lekken die, dan meld je dat binnen 72 uur bij de Autoriteit Persoonsgegevens, en soms ook bij de betrokkenen zelf. Dat geldt voor vrijwel elk bedrijf, ook een eenmanszaak. Daar staat een apart stuk over.
De Cyberbeveiligingswet gaat over de continuïteit en veiligheid van je dienstverlening. Die geldt alleen voor de organisaties die eronder vallen, en die kent drie trappen in plaats van één.
Bij een ransomware-aanval waarbij ook klantgegevens zijn ingezien, kunnen ze allebei tegelijk gelden. Twee meldingen, twee instanties, twee klokken die tegelijk lopen. En dan is er vaak nog een derde: de melding aan je eigen klanten, omdat dat in je contract staat.
Wat je nu regelt zodat het straks werkt
Al deze termijnen zijn haalbaar, maar alleen als je niet op het moment zelf hoeft uit te zoeken hoe het ook alweer zat. Vier dingen, samen een dagdeel werk.
1. Zet de klok op ontdekking, niet op melding
Leg in je procedure vast dat het moment van ontdekking wordt genoteerd, met datum en tijd, door degene die het als eerste ziet. Dat klinkt triviaal en het is bij elke discussie achteraf het eerste wat gevraagd wordt.
2. Wijs één iemand aan die besluit
Niet een commissie. Eén persoon die bepaalt of er gemeld wordt, met een plaatsvervanger voor als die op vakantie is. Met naam, mailadres en 06-nummer.
3. Maak de eerste melding vooraf
Schrijf nu al de tekst van de vroegtijdige waarschuwing, met de vaste gegevens ingevuld en de rest als invulvelden. Dan is het op het moment zelf tien minuten werk in plaats van een uur staren naar een leeg scherm.
Doe hetzelfde voor het bericht aan je klanten. Juist dat bericht schrijf je slecht als je het onder druk moet doen.
4. Weet wie je belt
Je hostingpartij, je ICT-leverancier, je verzekeraar, en als het serieus is een forensisch onderzoeker. Zet die nummers op dezelfde A4 als de procedure, en print die A4 ook. Als je systemen plat liggen, kom je niet bij het document in de cloud.
Wat je in het eerste uur doet
De melding is één ding, het incident zelf is iets anders. In grote lijnen: isoleer wat besmet is zonder het uit te zetten, want een uitgezette machine verliest bewijs. Verander wachtwoorden vanaf een schoon apparaat. Leg vast wat je doet en wanneer, want dat heb je nodig voor het eindverslag. En trek er iemand bij die dit vaker heeft gedaan.
Voor het meest voorkomende scenario, iemand die op een verkeerde link heeft geklikt, staat er een apart stuk over wat je in het eerste uur doet.
Waar wij in beeld komen
Wij vallen mogelijk zelf onder de registratieplicht vanwege de domeinnamen die wij voor klanten registreren, en dat zijn we op dit moment juridisch aan het toetsen. Dat betekent dat we ons in dezelfde vragen aan het verdiepen zijn als onze klanten.
Wat wij voor klanten doen: bij een incident in onze omgeving informeren wij je binnen de termijn die in onze voorwaarden en de verwerkersovereenkomst staat, en leveren wij de technische gegevens die je nodig hebt om je eigen melding te kunnen doen. Logbestanden, tijdlijn, wat er wel en niet benaderd is.
Dat laatste is in de praktijk het lastigste deel van een melding, want zonder die gegevens kun je in je eindverslag niets over de oorzaak zeggen.
Wil je je incidentprocedure een keer doorlopen voordat je hem nodig hebt? Bel gerust. Dat gesprek duurt een half uur en het is een stuk prettiger dan hetzelfde gesprek op een vrijdagavond.
