Meldplicht Cyberbeveiligingswet: binnen 24 uur melden

Een vermoedelijk cyberincident is al stressvol genoeg. Onder de Cyberbeveiligingswet in algemene termen komt daar een harde klok bovenop: bij een significant incident moet u binnen 24 uur een eerste melding doen bij het CSIRT en uw toezichthouder, ook als u nog niet precies weet wat er is gebeurd. Organisaties die deze meldplicht pas ontdekken op het moment dat ze hem nodig hebben, verliezen kostbare tijd aan een proces dat vooraf uitgedacht had moeten worden — en een gemiste of te late melding is een compliance-probleem bovenop het incident zelf. Dit artikel legt uit wat u moet melden, aan wie, binnen welke termijnen, en hoe dit verschilt van de bekendere meldplicht datalekken onder de AVG.

Let op: dit artikel geeft algemene informatie op basis van de tekst van de Cyberbeveiligingswet en de officiële toelichting van NCSC, RDI en de NCTV. Het is geen juridisch advies. Drempelwaarden en sectorspecifieke details kunnen afwijken van de hoofdlijnen hieronder; controleer uw exacte verplichting altijd via het officiële meldpunt (MijnNCSC) of uw toezichthouder, zeker tijdens een lopend incident.

Wat is de meldplicht onder de Cyberbeveiligingswet?

De meldplicht is een van de kernverplichtingen van de Cyberbeveiligingswet, naast de zorgplicht (passende beveiligingsmaatregelen vooraf) en de registratieplicht. Ze geldt voor organisaties die als essentiële of belangrijke entiteit onder de wet zijn aangewezen: zodra zo'n organisatie te maken krijgt met een significant incident, moet ze dat proactief melden — niet pas wanneer een toezichthouder ernaar vraagt.

Een incident is significant wanneer het een ernstige verstoring van uw dienstverlening of aanzienlijke financiële schade veroorzaakt of kan veroorzaken, of wanneer het andere organisaties heeft geraakt of kan raken door aanzienlijke materiële of immateriële schade. Niet elke storing haalt die lat: de exacte drempelwaarden verschillen per sector en zijn verder uitgewerkt in lagere regelgeving. Twijfel over of uw incident significant genoeg is, is overigens geen reden om te wachten met de eerste stap — die is bewust laagdrempelig ingericht (zie hieronder).

De meldplicht staat niet los van de zorgplicht: een groot deel van wat u tijdens een incident moet kunnen doen — detecteren, classificeren, opschalen — is precies het proces dat incidentafhandeling als onderdeel van de zorgplicht van u vraagt. De meldplicht voegt daar een harde, wettelijke klok en een vast aanspreekpunt aan toe.

De meldtermijnen: 24 uur, 72 uur en het eindrapport

De Cyberbeveiligingswet werkt met een gefaseerde meldplicht: u meldt niet één keer alles, maar bouwt de melding in drie stappen op, elk met een eigen doel en eigen termijn.

Stap	Termijn	Inhoud
1. Vroegtijdige waarschuwing	Binnen 24 uur na kennisname	Beknopt: dat er iets speelt, of kwaadwillend handelen wordt vermoed, en of er grensoverschrijdende gevolgen denkbaar zijn.
2. Incidentmelding (vervolgmelding)	Binnen 72 uur na kennisname	Vollediger: een eerste inschatting van ernst en impact, en de vermoedelijke oorzaak.
3. Eindrapport	Uiterlijk 1 maand na de incidentmelding	Volledige beschrijving van het incident, de oorzaak, de ernst, de gevolgen en de genomen maatregelen.

Zoals de NIS2-hub van Secrotec het al samenvat: organisaties werken doorgaans met een eerste melding binnen 24 uur en uitgebreidere rapportage daarna. De tabel hierboven werkt die tweede fase uit in de exacte stappen die de wet voorschrijft.

Belangrijk: de klok van 24 uur gaat lopen vanaf het moment dat u kennis heeft van het significante incident — redelijkerwijs vermoedt dat er iets aan de hand is — niet vanaf het moment waarop het incident daadwerkelijk begon en niet pas vanaf het moment dat u alle feiten kent. Zie ook de FAQ hieronder.

Aan wie meldt u? CSIRT en toezichthouder

Meldingen onder de Cyberbeveiligingswet lopen via één centraal meldpunt, MijnNCSC. Vanaf daar wordt uw melding automatisch doorgezet naar zowel uw sectorale CSIRT als de toezichthouder van uw sector — u hoeft niet twee keer apart te melden.

Het NCSC treedt op als CSIRT voor het grootste deel van de aangewezen sectoren. Voor toezicht is de rolverdeling breder: de Rijksinspectie Digitale Infrastructuur (RDI) is toezichthouder voor negen van de sectoren die onder de wet vallen, waaronder digitale infrastructuur en ICT-dienstenbeheer; voor andere sectoren gelden andere, sectorspecifieke toezichthouders. Weet u niet zeker wie voor uw organisatie de juiste toezichthouder is, dan is dat precies het soort vraag dat u nu al kunt uitzoeken — niet pas op het moment dat de klok al loopt.

Een incident dat (nog) niet aan de wettelijke drempel voldoet, kunt u overigens ook vrijwillig melden: dan komt de melding alleen bij het CSIRT terecht, niet bij de toezichthouder. Dat kan zinvol zijn als u wel behoefte heeft aan technische ondersteuning, maar geen formeel toezichttraject wilt starten.

Wat moet u wel en niet melden?

Niet elk incident is meldingsplichtig. De wet richt zich op incidenten met daadwerkelijke of potentiële impact — een geblokkeerde phishingmail of een enkele mislukte inlogpoging zonder gevolgen haalt die lat doorgaans niet. Waar het wél om gaat:

• Incidenten die uw dienstverlening ernstig verstoren of dreigen te verstoren.
• Incidenten met aanzienlijke financiële gevolgen voor uw eigen organisatie.
• Incidenten die andere organisaties hebben geraakt of kunnen raken door aanzienlijke schade — bijvoorbeeld via een gedeelde keten of leverancier.

De exacte drempelwaarden zijn per sector verder uitgewerkt. Twijfel hierover hoort thuis in uw eigen meldproces (zie hieronder), niet in het moment zelf: bij twijfel is de veilige route de eerste, bewust beknopte melding binnen 24 uur. Die verplicht u nog tot niets anders dan het openen van het proces, en voorkomt dat achteraf blijkt dat u te laat was.

Meldplicht NIS2 versus datalekmelding AVG

De meldplicht onder de Cyberbeveiligingswet wordt vaak verward met de meldplicht datalekken onder de AVG — begrijpelijk, want beide draaien om het snel melden van een incident, maar het zijn twee losse wettelijke verplichtingen:

• Trigger: de AVG-meldplicht wordt geactiveerd door een inbreuk op persoonsgegevens; de meldplicht onder de Cyberbeveiligingswet door een significant incident, ongeacht of daarbij persoonsgegevens betrokken zijn.
• Ontvanger: een datalek meldt u bij de Autoriteit Persoonsgegevens; een significant incident bij het CSIRT en uw toezichthouder via MijnNCSC.
• Termijn: de AVG kent een termijn van 72 uur voor de melding van een datalek; de Cyberbeveiligingswet werkt met de gefaseerde 24-uurs/72-uurs/eindrapport-structuur hierboven.

Eén incident kan onder beide meldplichten tegelijk vallen — bijvoorbeeld een ransomware-aanval die zowel uw dienstverlening verstoort als klantgegevens raakt. In dat geval meldt u apart bij beide instanties, elk volgens hun eigen procedure; de ene melding vervangt de andere niet. Zie ook de FAQ hieronder voor de praktische kant hiervan.

Hoe bouwt u dit in uw bestaande incidentproces?

Heeft u al een ISO 27001-ISMS, dan heeft u al veel van het onderliggende proces staan: incidenten detecteren, classificeren, opschalen en evalueren zijn stuk voor stuk maatregelen die een werkend ISMS al invult. Wat een ISMS niet automatisch meebrengt, is de specifieke 24-uursklok van de Cyberbeveiligingswet en het juiste regelgevende aanspreekpunt — dat moet u er bewust bovenop zetten, niet stilzwijgend als "vast wel gedekt" beschouwen.

Concreet betekent dit:

• Bouw nu een interne beslisboom: wie beoordeelt of een incident significant is, en wie mag de 24-uursmelding daadwerkelijk indienen?
• Zoek uit welke CSIRT- en toezichthoudercombinatie voor uw sector geldt, vóórdat u die informatie onder tijdsdruk nodig heeft.
• Integreer de meldstap expliciet in uw bestaande incidentproces, met een concreet moment waarop de 24-uursklok wordt gestart.
• Leg dit vast en toets het: uw meldproces inrichten is precies het soort hiaat dat een gap-analyse blootlegt — liever nu dan op het moment dat een echt incident dat voor u doet.

Zo voorkomt u dat het eerste moment waarop u serieus over meldtermijnen nadenkt, ook meteen het moment is waarop u ze onder tijdsdruk moet halen.