Hoe werkt de meldplicht voor cyberincidenten onder NIS2?

Onder de NIS2-richtlijn ben je als organisatie verplicht om significante cyberincidenten te melden bij de bevoegde autoriteiten. Dit geldt voor alle entiteiten die onder de NIS2 vallen, waaronder veel defensieleveranciers, kritieke-infrastructuurbeheerders en andere organisaties in sectoren die de EU als essentieel of belangrijk aanmerkt. In dit artikel beantwoorden we de meest gestelde vragen over de NIS2-meldplicht, zodat je precies weet wat er van je verwacht wordt.

Welke incidenten moeten verplicht worden gemeld onder NIS2?

Onder de NIS2-richtlijn moet je een incident melden wanneer het een significant incident betreft: een verstoring die aanzienlijke gevolgen heeft voor de continuïteit van je dienstverlening, de vertrouwelijkheid van gegevens of de beschikbaarheid van systemen. Niet elk technisch probleem valt hieronder, maar de drempel ligt bewust laag om onderrapportage te voorkomen.

Een incident wordt als significant beschouwd als het voldoet aan een of meer van de volgende criteria:

• Het heeft geleid tot ernstige operationele verstoringen of financiële schade voor de organisatie
• Het heeft andere personen of organisaties getroffen, of heeft daartoe het potentieel
• Het betreft een gerichte aanval, zoals ransomware of een gecoördineerde DDoS-aanval
• Er is sprake van ongeautoriseerde toegang tot systemen of gevoelige informatie

Voor defensieleveranciers is de drempel in de praktijk nog strenger. Bedrijven die opdrachten uitvoeren voor Defensie vallen ook onder het ABDO-kader (Algemene Beveiligingseisen voor Defensieopdrachten), dat aanvullende eisen stelt aan incidentrapportage. Bovendien gelden vanaf 1 januari 2026 de Algemene Beveiligingseisen voor Rijksoverheidsopdrachten (ABRO), waardoor binnen de hele Rijksoverheid dezelfde beveiligingseisen van kracht zijn voor opdrachten met risico’s voor de nationale veiligheid.

Binnen welke termijn moet een cyberincident worden gemeld?

De NIS2-richtlijn hanteert een getrapt meldproces met strikte termijnen. Je bent verplicht om een significant incident binnen 24 uur na ontdekking te melden als eerste vroegtijdige waarschuwing, gevolgd door een volledige melding binnen 72 uur. Uiterlijk een maand na het incident dien je een eindrapport in.

Het drietrapsproces ziet er als volgt uit:

• Vroegtijdige waarschuwing (binnen 24 uur): een eerste signaal dat er een significant incident heeft plaatsgevonden, inclusief een indicatie of het incident mogelijk kwaadaardig van aard is
• Incidentmelding (binnen 72 uur): een meer gedetailleerde melding met een eerste beoordeling van ernst, impact en mogelijke oorzaak
• Eindrapport (binnen een maand): een volledig rapport met een beschrijving van het incident, de getroffen maatregelen en de geleerde lessen

Deze termijnen zijn niet vrijblijvend. Het is dan ook essentieel dat je organisatie beschikt over een intern incidentresponsproces waarmee je snel kunt bepalen of een incident meldingsplichtig is. Wacht niet tot je alle details hebt om de eerste melding te doen: de 24-uurs termijn geldt al bij de eerste aanwijzingen van een significant incident.

Waar en bij wie moet een NIS2-melding worden ingediend?

In Nederland dien je een NIS2-incidentmelding in bij de bevoegde autoriteit voor jouw sector. Het Nationaal Cyber Security Centrum (NCSC) speelt hierbij een centrale rol, maar is niet voor alle organisaties het directe meldpunt. De NCSC-meldplicht geldt primair voor aanbieders van essentiële diensten die onder rijkstoezicht staan.

Afhankelijk van de sector waarbij je organisatie is ingedeeld, kan het meldpunt verschillen. Voor veel organisaties in de defensie- en veiligheidsketen is het NCSC het aangewezen loket. Andere sectoren hebben hun eigen toezichthouders, zoals de Autoriteit Persoonsgegevens (AP) voor incidenten waarbij ook persoonsgegevens zijn betrokken. In dat geval kan er sprake zijn van een dubbele meldplicht: zowel onder NIS2 als onder de AVG.

Het is belangrijk om vooraf te bepalen welke toezichthouder voor jouw organisatie relevant is. Dit voorkomt dat je in een crisissituatie kostbare tijd verliest aan het uitzoeken van de juiste meldroute. Raadpleeg de NIS2-compliancevereisten voor jouw sector tijdig, zodat je meldroutes al zijn vastgelegd in je incidentresponsplan.

Wat moet een NIS2-incidentmelding inhouden?

Een volledige NIS2-incidentmelding bevat een gestructureerde beschrijving van het incident, de impact, de getroffen maatregelen en de mogelijke oorzaak. De exacte inhoud verschilt per fase van het meldproces: de eerste waarschuwing is beknopt, terwijl het eindrapport uitgebreid en analytisch van aard is.

Voor de volledige incidentmelding (binnen 72 uur) verwacht de toezichthouder doorgaans de volgende informatie:

• Een beschrijving van het incident: wanneer het begon, hoe het werd ontdekt en welke systemen zijn getroffen
• Een eerste beoordeling van de ernst en de impact op de dienstverlening en eventuele derde partijen
• De maatregelen die al zijn genomen om het incident in te dammen of te herstellen
• Een indicatie van de mogelijke oorzaak, indien al bekend

Het eindrapport dat binnen een maand moet worden ingediend, gaat dieper in op de technische analyse, de getroffen herstelmaatregelen en de structurele verbeteringen die zijn of worden doorgevoerd. Dit rapport dient ook als intern leerdocument: het helpt je organisatie om herhaling te voorkomen en de digitale weerbaarheid structureel te versterken.

Wat zijn de gevolgen van niet of te laat melden onder NIS2?

Organisaties die niet of te laat melden onder de NIS2-richtlijn riskeren aanzienlijke boetes en reputatieschade. Voor essentiële entiteiten kunnen boetes oplopen tot 10 miljoen euro of 2% van de wereldwijde jaaromzet, afhankelijk van welk bedrag hoger is. Voor belangrijke entiteiten gelden lagere maxima, maar de financiële risico’s zijn alsnog significant.

Naast financiële sancties zijn er ook operationele en contractuele gevolgen. Voor defensieleveranciers kan niet-naleving betekenen dat je de geschiktheid verliest om opdrachten voor Defensie of de Rijksoverheid uit te voeren. De ABRO-eisen die per 1 januari 2026 gelden, koppelen beveiligingsnaleving direct aan contractuele geschiktheid. Een gemiste of te late melding kan dus niet alleen leiden tot een boete, maar ook tot het verlies van lopende of toekomstige opdrachten.

Bovendien geldt voor bestuurders van essentiële entiteiten dat zij persoonlijk aansprakelijk kunnen worden gesteld als kan worden aangetoond dat zij onvoldoende toezicht hebben gehouden op de naleving van de NIS2-verplichtingen. Dit maakt de meldplicht niet alleen een technische verantwoordelijkheid, maar ook een bestuurlijke.

Hoe bereid je je organisatie voor op de NIS2-meldplicht?

Een goede voorbereiding op de NIS2-meldplicht begint met het inrichten van een intern incidentresponsproces dat snel en gestructureerd in werking treedt zodra een mogelijk significant incident wordt gedetecteerd. Wacht niet tot een incident zich voordoet om te bedenken wie wat doet: dat kost je kostbare uren binnen de 24-uurs termijn.

Concrete stappen om je organisatie klaar te maken voor de meldplicht zijn onder andere het opstellen van een incidentresponsplan met duidelijke rollen en escalatieroutes, het trainen van medewerkers op het herkennen en intern melden van incidenten, en het periodiek oefenen met gesimuleerde incidentscenario’s. Zorg ook dat je meldroutes naar de bevoegde toezichthouder vooraf zijn vastgelegd en getest.

Daarnaast is het verstandig om je bredere ISO 27001-compliance op orde te hebben. Een goed ingericht informatiebeveiligingsbeheersysteem (ISMS) biedt de structuur en documentatie die je nodig hebt om snel en volledig te kunnen rapporteren. Het helpt je ook om incidenten sneller te detecteren, wat direct bijdraagt aan het halen van de 24-uurs termijn.

Hoe Hofsecure je helpt met NIS2-compliance en de meldplicht

Wij begrijpen dat de NIS2-meldplicht voor veel organisaties een complexe verantwoordelijkheid is, zeker als je actief bent in de defensieketen of andere sterk gereguleerde sectoren. Bij Hofsecure combineren we meer dan 20 jaar ervaring bij defensiebedrijven met een pragmatische aanpak die direct toepasbaar is in jouw organisatie. Geen wollige rapporten, maar concrete stappen die je de volgende dag al kunt uitvoeren.

Zo helpen wij je met de NIS2-meldplicht en bredere compliance:

• GAP-analyse: we brengen in kaart waar je organisatie nu staat ten opzichte van de NIS2-vereisten, inclusief de meldplicht
• Incidentresponsplan: we ontwikkelen een op maat gemaakt plan met duidelijke rollen, escalatieroutes en meldprocedures
• CISO as a service: we blijven betrokken na implementatie en zorgen dat je altijd compliant blijft, ook bij nieuwe regelgeving zoals de ABRO

Wil je weten of jouw organisatie klaar is voor de NIS2-meldplicht? Neem vrijblijvend contact op en we vertellen je precies waar je staat en welke stappen je moet zetten.