Artikel 23 van de NIS2-richtlijn legt de regeling vast voor de verplichte melding van significante incidenten. Anders dan NIS1, dat de lidstaten veel interpretatieruimte liet, legt NIS2 geharmoniseerde termijnen op die gelden voor alle essentiële en belangrijke entiteiten in de hele Europese Unie. Zo structureert u uw meldingsproces om de termijnen van 24 u, 72 u en 1 maand te halen — zonder te weinig te melden of uw teams te overbelasten.
Wat is een "significant incident" volgens NIS2?
NIS2 definieert een significant incident als een gebeurtenis die:
- een ernstige operationele verstoring van de verleende diensten of financiële verliezen voor de entiteit heeft veroorzaakt of kan veroorzaken, OF
- andere natuurlijke of rechtspersonen heeft getroffen of kan treffen door aanzienlijke materiële, lichamelijke of immateriële schade te veroorzaken
De Europese Commissie heeft een uitvoeringsverordening gepubliceerd met sectorale drempels (beschikbaarheidsverlies > X uur, financiële impact > Y, aantal getroffen gebruikers > Z, enz.). Deze drempels moeten worden beoordeeld in combinatie met een kwalitatieve inschatting van de ernst.
Veelvoorkomende voorbeelden van significante incidenten
- Onbeschikbaarheid van een kernbedrijfsdienst > 2 uur (financiële sector) of > 4 uur (andere sectoren)
- Bevestigde compromittering van persoonsgegevens (vaak in combinatie met een AVG-verplichting)
- Onbevoegde toegang tot kritieke systemen, ook zonder bevestigde exfiltratie
- Ransomware-aanval, zelfs als het herstel snel verloopt
- Aanzienlijke prestatievermindering > 50% gedurende > 1 uur
- Verlies van integriteit van kritieke gegevens (corruptie, onbevoegde wijziging)
Incidenten die geen melding vereisen
- Kleine incidenten (interne storing zonder impact op gebruikers)
- Preventieve incidenten (patches toegepast vóór misbruik)
- Oefeningen en crisistests
- Volledig ingeperkte incidenten zonder impact op de dienstverlening
De voorzichtige regel: bij twijfel, melden. De autoriteit verkiest te veel meldingen boven te weinig, en wie een incident niet meldt dat ernstig blijkt te zijn, stelt zich bloot aan zwaardere sancties.
De drie meldingsmijlpalen
Mijlpaal 1 — Vroegtijdige waarschuwing: 24 uur
Termijn: uiterlijk 24 uur nadat de entiteit kennis heeft gekregen van het incident.
Minimale inhoud:
- Aanwijzing of het incident vermoedelijk het gevolg is van onrechtmatige of kwaadwillige handelingen
- Mogelijke grensoverschrijdende impact (andere lidstaten getroffen?)
- Onmiddellijke maatregelen die al zijn genomen om de verspreiding te beperken
Dit is een voorafgaande waarschuwing, geen gedetailleerd verslag. Het doel is de bevoegde autoriteit (nationaal CSIRT) in staat te stellen haar eigen bewakingsmechanisme te activeren en zo nodig andere autoriteiten te waarschuwen.
Wie melden in Frankrijk: ANSSI via het meldingsportaal Wie melden in België: CCB (Centrum voor Cybersecurity België) via het daartoe bestemde portaal Wie melden in andere lidstaten: nationaal CSIRT of de bevoegde NIS2-autoriteit
Mijlpaal 2 — Incidentmelding: 72 uur
Termijn: uiterlijk 72 uur nadat de entiteit kennis heeft gekregen van het incident.
Verwachte inhoud:
- Eerste beschrijving van het incident en de waarschijnlijke oorzaken
- Beoordeling van ernst en impact
- Indicatoren van compromittering (IoC's), indien geïdentificeerd
- Updates over lopende corrigerende maatregelen
- Geschat aantal getroffen gebruikers/klanten
- Geografische reikwijdte (landen, regio's)
- Gemeten operationele impact
De melding binnen 72 u komt bovenop de vroegtijdige waarschuwing binnen 24 u — u "vervangt" niet, u actualiseert en vult aan. Informatie die na 24 u nog niet beschikbaar was, wordt na 72 u verplicht.
Mijlpaal 3 — Eindverslag: 1 maand
Termijn: uiterlijk 1 maand na het significante incident.
Verwachte inhoud:
- Gedetailleerde en definitieve beschrijving van het incident
- Soort dreiging of grondoorzaak
- Toegepaste mitigerende maatregelen en hun doeltreffendheid
- Werkelijke grensoverschrijdende impact (indien van toepassing)
- Genomen preventieve maatregelen om herhaling te voorkomen
- Geleerde lessen
Als het incident na 1 maand nog aan de gang is, moet de entiteit op die termijn een voortgangsverslag bezorgen, en vervolgens een definitief eindverslag uiterlijk 1 maand nadat het incident is afgehandeld.
Overzichtstabel
| Mijlpaal | Termijn | Doel | Belangrijkste inhoud |
|---|---|---|---|
| Vroegtijdige waarschuwing | 24 u | Waarschuwen | Vermoeden van kwaadwillige handeling + mogelijke grensoverschrijdende impact |
| Melding | 72 u | Kwalificeren | Beschrijving, ernst, IoC's, reikwijdte, impact |
| Eindverslag | 1 maand | Afsluiten | Grondoorzaak, herstel, geleerde lessen |
Wanneer begint de klok te lopen?
Artikel 23 verwijst naar het moment van "kennisname" van het incident. Dit begrip is cruciaal en werd door de Commissie verduidelijkt.
Praktische interpretatie
De klok begint te lopen wanneer de entiteit:
- Betrouwbare informatie ontvangt (intern of extern) die wijst op een significant incident
- Heeft bevestigd dat de gebeurtenis voldoet aan de NIS2-criteria (drempeltest + kwalitatieve beoordeling)
Dit is niet het moment waarop het incident plaatsvond (dat kan veel vroeger zijn — typisch geval: een stille compromittering die pas 3 weken later wordt ontdekt).
Het is evenmin het moment waarop de entiteit een twijfel of vermoeden heeft — een SOC-ticket van niveau 2 doet de klok niet lopen. De bevestiging dat het incident significant is, doet de klok lopen.
Chronologisch voorbeeld
- D-30: Stille inbraak in het informatiesysteem (compromittering van een beheerdersaccount)
- D-5: EDR-alarm afgegaan, P1-SOC-ticket
- D-2: Forensisch onderzoek bevestigt: exfiltratie van 2.000 gebruikersaccounts
- D0, 14:00: De CISO bevestigt dat het incident voldoet aan de NIS2-criteria voor een significant incident → de klok begint te lopen
- D0+24 u (D+1, 14:00): Vroegtijdige waarschuwing verschuldigd
- D0+72 u (D+3, 14:00): Melding verschuldigd
- D0+1 maand (D+30, 14:00): Eindverslag verschuldigd
Het nauwkeurig vastleggen van het tijdstip van kennisname is dus een belangrijke operationele voorwaarde. Een ticket met tijdstempel in uw ITSM met het moment van bevestiging is het doorgaans aanvaarde bewijs.
Coördinatie met andere verplichte meldingen
Een significant NIS2-incident kan ook andere meldingsverplichtingen doen ontstaan:
AVG (72 u)
Als er persoonsgegevens betrokken zijn: meld het binnen 72 uur aan de nationale gegevensbeschermingsautoriteit op grond van artikel 33 van de AVG. Dit is een afzonderlijke melding, maar met een timing die samenvalt met de NIS2-termijn van 72 u.
DORA (voor financiële entiteiten)
Financiële entiteiten die onder DORA vallen, melden volgens een specifieke regeling (vroegtijdige waarschuwing, tussentijds verslag, eindverslag). De termijnen van DORA en NIS2 overlappen gedeeltelijk. In de praktijk stuurt het nationale CSIRT de melding door naar de financiële toezichthouder om een formele dubbele melding te vermijden. Meer details vindt u in onze DORA-gids 2026 en onze vergelijking DORA vs NIS2.
CER-richtlijn (fysieke kritieke entiteiten)
Voor entiteiten die ook onder de CER-richtlijn (Critical Entities Resilience) vallen, kan een aanvullende melding aan de CER-autoriteit vereist zijn voor niet-cyberincidenten (fysieke rampen, uitval van infrastructuur).
Luchtvaart, gezondheidszorg, enz.
Bestaande sectorale verplichtingen (EASA, EMA, enz.). NIS2 vervangt ze niet: ze bestaan naast elkaar.
Ons advies
Stel een meldingsmatrix op die het volgende kruist:
- Soort incident (cyber, fysiek, gemengd)
- Betrokken gegevens (persoonlijk, financieel, gezondheid)
- Te melden autoriteiten + termijnen
- Formuliersjabloon per autoriteit
Deze matrix maakt integraal deel uit van uw incidentresponsplan. ResiPlan automatiseert deze matrix door elk soort incident te koppelen aan de bijbehorende meldingsverplichtingen.
De 7 operationele stappen om de termijnen te halen
1. Detectie en escalatie (continu)
- SIEM-, EDR- en SOAR-tools voor proactieve detectie
- Duidelijk gedocumenteerde escalatieprocedure L1 → L2 → CISO
- 24/7 wachtdienst van de CISO voor essentiële entiteiten
2. Kwalificatie (D0)
- NIS2-checklist: drempels overschreden? grensoverschrijdende impact? vermoeden van kwaadwillige handeling?
- Gedocumenteerde beslissing: significant incident JA / NEE
- Officieel tijdstip van kennisname (tijdstempel in ITSM)
3. Mobilisatie van de crisiscel (D0+1 u tot 4 u)
- Actieve crisiscel: CISO, CIO, directie, juridische dienst, communicatie, DPO
- Eén aangewezen aanspreekpunt voor de autoriteiten
- Voorbereiding van de vroegtijdige waarschuwing binnen 24 u
4. Vroegtijdige waarschuwing (D0 tot D+24 u)
- Verstuur het formulier via het nationale portaal (ANSSI, CCB, enz.)
- Archivering van de indiening met tijdstempel
- Interne communicatie: instructie om niet extern te communiceren zonder coördinatie
5. Melding binnen 72 u (D+24 u tot D+72 u)
- Geleidelijke aanvulling: forensisch onderzoek, logs, gedrag van de aanvaller
- Inschatting van de impact: aantal slachtoffers, geografische reikwijdte, financieel verlies
- Voorbereiding van externe communicatie, indien relevant
6. Herstel en opvolging (D+3 tot D+30)
- Corrigerende plannen + continue monitoring
- Regelmatige updates aan de autoriteit op verzoek
- Coördinatie met andere entiteiten bij een incident in de toeleveringsketen
7. Eindverslag en post-mortem (D+30)
- Indiening van het eindverslag
- Interne post-mortem: wat werkte, wat moet beter?
- Bijwerken van de playbooks + opleiding van de teams
Veelgemaakte fouten om te vermijden
Fout 1 — Wachten op "volledigheid" voordat u meldt Nee. NIS2 legt mijlpalen op, ook als de informatie onvolledig is. Het is beter vroeg te melden met de beschikbare informatie en nadien aan te vullen dan de termijn te missen omdat u naar volledigheid streeft.
Fout 2 — Het tijdstip van "kennisname" niet vastleggen De officiële tijdstempel is cruciaal. Die moet kunnen worden geregistreerd in uw ITSM of SIEM en bij een audit kunnen worden voorgelegd. Een eenvoudige e-mail aan de CISO volstaat niet.
Fout 3 — Melding en externe communicatie door elkaar halen De melding aan de NIS2-autoriteit is een wettelijke verplichting. Externe communicatie (klanten, pers, media) is een afzonderlijke strategische beslissing, af te stemmen met de juridische dienst en de directie.
Fout 4 — De melding als een louter technische aangelegenheid beschouwen NIS2 brengt de persoonlijke aansprakelijkheid van bestuurders in het spel. De beslissing om al dan niet te melden, de inhoud van het verslag en de termijnen moeten door de directie worden gevalideerd, niet alleen door de CISO.
Fout 5 — Parallelle sectorale meldingen negeren AVG, DORA, CER-richtlijn, sectorale verplichtingen… zorg ervoor dat uw matrix volledig is.
Hoe ResiPlan uw NIS2-conformiteit versnelt
ResiPlan bevat standaard:
- Een module voor incidentbeheer met automatische workflow voor 24 u/72 u/1 maand
- Vooraf ingevulde formulieren voor ANSSI, CCB en andere CSIRT-autoriteiten
- Registratie van het tijdstip van kennisname, met tijdstempel en voorlegbaar als bewijs
- Een meldingsmatrix die NIS2, AVG en DORA kruist per soort incident
- Een volledig audittraject voor controles door de autoriteiten
Start uw gratis proefperiode van 14 dagen om de incidentmodule aan het werk te zien.
Conclusie
NIS2 maakt van incidentmelding geen administratieve oefening meer, maar een kritiek, getimed proces dat de aansprakelijkheid van bestuurders in het spel brengt. De termijnen van 24 u/72 u/1 maand zijn strikt en de sancties bij tekortkoming zijn aanzienlijk (tot 2% van de wereldwijde omzet voor essentiële entiteiten).
De operationele sleutel: bereid het proces voor voordat zich een incident voordoet. Duidelijke playbooks, geautomatiseerde tools, een vooraf samengestelde crisiscel, bestaande contacten met de CSIRT's. Op de dag zelf is het te laat om te improviseren.
Verder lezen: