NIS2 — Incidentmelding binnen 24u, 72u, 1 maand
De 3 strikte termijnfasen van Art. 23 uitgelegd: vroegtijdige waarschuwing binnen 24u, melding binnen 72u, rapport binnen 1 maand. Voorgeconfigureerde ResiPlan-workflow, voorbeelden voor ANSSI / CCB / BSI, downloadbare sjablonen.
De 4 verplichte mijlpalen
Artikel 23(4) NIS2 — elke mijlpaal heeft zijn eigen inhoud en ontvanger.
Vroegtijdige waarschuwing — 24 uur
Eerste melding aan het nationale CSIRT (CCB in België, ANSSI in Frankrijk, BSI in Duitsland). Minimale inhoud: vermoeden van oorzaak, grensoverschrijdende impact, stand van zaken. Lichte vorm: het doel is de alert te timestampen.
Melding — 72 uur
Gedetailleerde initiële incidentmelding: omvang, ernst, impact, gekende IOC's, reeds genomen maatregelen. Is het incident nog actief, dan een geschatte duur. Volledig formulier op het portaal van het CSIRT.
Tussentijds verslag (indien gevraagd)
Op verzoek van het CSIRT geeft een tussentijds verslag een stand van zaken over de voortgang, de evolutie van de ernst en de lopende corrigerende acties.
Eindverslag — 1 maand
Volledig verslag 1 maand na de melding binnen 72 uur (of 1 maand na de afsluiting van het incident, afhankelijk van de nationale omzetting). Inhoud: grondoorzaak, volledige tijdlijn, schade, herstelmaatregelen, geleerde lessen, actieplan.
Essentiële vs belangrijke entiteit
| Criterium | Essentieel | Belangrijk |
|---|---|---|
| Toezicht | Ex ante (proactief, regelmatige audits) | Ex post (reactief, na een incident) |
| Maximale sancties | 10 miljoen euro of 2% van de wereldwijde omzet | 7 miljoen euro of 1,4% van de wereldwijde omzet |
| Melding 24u/72u/1m | Identiek | Identiek |
| Audits op verzoek | Op elk moment mogelijk | Bij redelijk vermoeden |
Behandelde NIS2-artikelen
Veelgestelde vragen over NIS2
Wat zijn de NIS2-meldingstermijnen?
Drie strikte fasen: (1) vroegtijdige waarschuwing binnen 24 uur nadat men kennis krijgt van het significante incident; (2) incidentmelding binnen 72 uur; (3) eindrapport binnen 1 maand (gerekend vanaf de melding na 72u, of vanaf de afsluiting, afhankelijk van de omzetting). Tussendoor kan een tussentijds rapport worden gevraagd.
Wat is het verschil tussen een essentiële en een belangrijke entiteit onder NIS2?
Essentiële entiteiten (bijlage I, >250 werknemers of >€50M omzet in bepaalde sectoren) worden ex ante gecontroleerd (regelmatige audits, proactief onderzoek) met maximale sancties van €10M of 2% van de omzet. Belangrijke entiteiten (bijlage II of kleiner) worden ex post gecontroleerd (reactief na een incident) met maximale sancties van €7M of 1,4% van de omzet. De meldingstermijnen 24/72/1m zijn identiek.
Wat is een significant incident volgens artikel 23 van NIS2?
Een incident is significant (artikel 23(3)) als het (a) ernstige operationele verstoringen of financiële verliezen voor de entiteit heeft veroorzaakt of kan veroorzaken, of (b) materiële of immateriële schade aan andere natuurlijke of rechtspersonen heeft veroorzaakt of kan veroorzaken. De in 2024 gepubliceerde ITS van de ESA's kwantificeren de sectorale drempels (downtime, getroffen klanten, omzetverlies).
Moeten we klanten op de hoogte brengen bij een NIS2-incident?
Ja, in 2 gevallen. (1) Als het incident de dienstverlening aan klanten nadelig kan beïnvloeden, moet de entiteit hen onverwijld informeren. (2) Voor digitale dienstverleners (ISP's, cloud) moet de informatie aan klanten ook de maatregelen bevatten die zij kunnen nemen. De inhoud is eenvoudiger dan de melding aan het CSIRT.
Bestaat er een voorbeeld van een NIS2-melding dat geldig is voor het Belgische CCB?
Het CCB (Centre for Cybersecurity Belgium) aanvaardt meldingen via zijn portaal Safeonweb@Work voor Belgische belangrijke/essentiële entiteiten. Formaat afgestemd op de ITS van de ESA's: type incident, sector, grensoverschrijdende impact, IOC's, maatregelen. ResiPlan genereert automatisch vooraf ingevulde inhoud voor CCB, ANSSI, CSIRT.LU en BSI.
Hoe integreert u de NIS2-workflow 24/72/1m in een bestaand BCMS?
Het BCMS (ISO 22301) dekt de continuïteit, NIS2 voegt traceerbaarheid en melding van incidenten toe. Optimale integratie: (1) maak een incident aan in uw bestaande IRP, (2) activeer automatisch de herinneringen na 24u/72u/1m, (3) koppel het incident aan de BIA-bedrijfsprocessen om de impact te meten, (4) genereer het eindrapport via export. Zie onze modules BIA en Mass Notifications.
Moet ik mij inschrijven in een NIS2-register van belangrijke entiteiten?
Ja. Elke lidstaat houdt een register bij. In Frankrijk beheert ANSSI de inschrijving. Entiteiten moeten zich zelf aanmelden als ze aan de criteria voldoen (sector uit bijlage I/II + groottedrempels). Een niet-ingeschreven maar in aanmerking komende entiteit blijft onderworpen aan de verplichtingen en riskeert sancties.
Welke voorbeelden van ECB/DORA-meldingsworkflows zijn geldig voor het Belgische CCB?
Voor Belgische entiteiten die onder DORA + NIS2 vallen (banken, verzekeraars) moet de workflow (a) een ECB-melding versturen via het SSM (single supervisory mechanism) voor de DORA-dimensie, en (b) een CCB-melding voor de NIS2-dimensie. ResiPlan dupliceert de melding automatisch in beide kanalen wanneer het incident beide regelgevingen raakt.
Activeer de NIS2-workflow 24/72/1m met 1 klik
Gratis proefperiode van 7 dagen. Voorgeconfigureerde workflow voor ANSSI, CCB, BSI, AGCS. Automatische meldingen aan getroffen klanten.