Meld incidenten onder de Cyberbeveiligingswet (meldplicht)

Wat moet je melden?

De meldplicht geldt voor significante incidenten. Dat zijn incidenten die je dienstverlening ernstig verstoren, financiële schade veroorzaken of grote schade bij andere organisaties kunnen aanrichten. De exacte drempelwaarden worden nog uitgewerkt. Voor sectorspecifieke informatie kunnen organisaties terecht bij het ministerie van verantwoordelijk is voor hun sector. Kleinere incidenten en bijna-incidenten mag je vrijwillig melden.

Waar meld je?

Je meldt via het centrale meldpunt op MijnNCSC. Met een melding bereik je in een keer je sectorale CSIRT en de toezichthouder.

Hoe verloopt een melding?

Er geldt een gefaseerde meldplicht. De eerste melding is een vroegtijdige waarschuwing binnen 24 uur. In de melding geef je algemene gegevens (datum en tijd) en incidentspecifieke gegevens (type, oorzaak en impact). Ook deel je een contactpersoon, zodat je CSIRT contact kan opnemen voor hulp.

Na je melding gaat die automatisch naar je sectorale CSIRT en de toezichthouder. Het CSIRT biedt ondersteuning bij de afhandeling. De melding telt ook mee in een overzicht per sector dat cijfermatig met de EU wordt gedeeld. Een vrijwillige melding gaat alleen naar het CSIRT en niet naar de toezichthouder.

Gelden er uitzonderingen?

Voor sommige partijen gelden kortere termijnen. Organisaties die ook onder DORA of de netcode cybersecurity voor elektriciteit vallen, geven binnen vier uur een vroegtijdige waarschuwing. Vertrouwensdiensten melden binnen 24 uur.

Nu al melden?

Zolang de wet nog niet in werking is, kun je incidenten vrijwillig melden via MijnNCSC. De verplichting gaat in zodra de Cbw van kracht wordt op 15 augustus.