Wat is het verschil tussen een NIS2-melding en een AVG-melding?

Een NIS2-melding en een AVG-melding zijn twee verschillende meldplichten die voortkomen uit aparte wetgeving: de NIS2-richtlijn richt zich op de continuïteit en veiligheid van netwerk- en informatiesystemen, terwijl de AVG gaat over de bescherming van persoonsgegevens. Het belangrijkste verschil zit in het onderwerp van de melding: bij NIS2 meld je een beveiligingsincident, bij de AVG meld je een datalek. Voor veel organisaties in sectoren als defensie, energie of de maakindustrie kunnen beide meldplichten tegelijkertijd van toepassing zijn. In dit artikel beantwoorden we de meest gestelde vragen over beide meldplichten en de overlap daartussen.

Welke incidenten vallen onder de NIS2-meldplicht?

Onder de NIS2-meldplicht vallen incidenten die een significante impact hebben op de continuïteit of veiligheid van je netwerk- en informatiesystemen. Het gaat dus niet alleen om datalekken, maar om elk beveiligingsincident dat de werking van je organisatie of de dienstverlening aan anderen ernstig verstoort of kan verstoren.

Een incident is meldingsplichtig onder NIS2 als het voldoet aan criteria zoals een grote verstoring van de dienstverlening, aanzienlijke financiële schade of een bedreiging voor andere organisaties of de samenleving. Denk aan een ransomware-aanval die systemen platgooit, een DDoS-aanval op kritieke infrastructuur of een ernstige kwetsbaarheid die actief wordt misbruikt.

De NIS2-meldplicht geldt voor organisaties in essentiële sectoren zoals energie, vervoer, gezondheidszorg, overheidsdiensten en de maakindustrie, maar ook voor hun toeleveranciers. Voldoe je niet aan de meldplicht, dan riskeer je boetes die kunnen oplopen tot miljoenen euro’s.

Welke incidenten vallen onder de AVG-meldplicht?

Onder de AVG-meldplicht vallen inbreuken op persoonsgegevens, ook wel datalekken genoemd. Concreet gaat het om elk beveiligingsincident waarbij persoonsgegevens per ongeluk of onrechtmatig worden vernietigd, verloren, gewijzigd, openbaar gemaakt of toegankelijk gemaakt voor onbevoegden.

Niet elk datalek hoeft gemeld te worden. De AVG verplicht je alleen tot melding bij de Autoriteit Persoonsgegevens als het lek waarschijnlijk een risico oplevert voor de rechten en vrijheden van de betrokken personen. Is er een hoog risico, dan moet je ook de betrokkenen zelf informeren. Voorbeelden van meldingsplichtige datalekken zijn:

• Een gehackte database met klant- of personeelsgegevens
• Een e-mail met gevoelige persoonsgegevens die naar de verkeerde ontvanger is gestuurd
• Verlies of diefstal van een laptop met onversleutelde persoonsgegevens
• Ransomware waarbij toegang tot persoonsgegevens is geblokkeerd of gelekt

De AVG-meldplicht geldt voor alle organisaties die persoonsgegevens verwerken, ongeacht de sector. Dat maakt het bereik breder dan dat van NIS2.

Wat zijn de belangrijkste verschillen tussen een NIS2- en AVG-melding?

Het kernverschil tussen een NIS2-melding en een AVG-melding zit in het doel en de reikwijdte: NIS2 beschermt de veiligheid van systemen en diensten, de AVG beschermt persoonsgegevens van individuen. Beide meldplichten hebben eigen termijnen, eigen toezichthouders en eigen criteria voor wanneer een melding verplicht is.

De praktische verschillen op een rij:

• Onderwerp: NIS2 betreft beveiligingsincidenten met impact op continuïteit; AVG betreft inbreuken op persoonsgegevens.
• Termijn: NIS2 hanteert een vroege waarschuwing binnen 24 uur en een volledige melding binnen 72 uur; de AVG schrijft een melding voor binnen 72 uur na ontdekking van het datalek.
• Toezichthouder: Voor NIS2 is dat de sectorspecifieke toezichthouder; voor de AVG is dat de Autoriteit Persoonsgegevens.
• Doelgroep: NIS2 geldt voor organisaties in aangewezen sectoren; de AVG geldt voor alle verwerkingsverantwoordelijken.

Kan één incident zowel een NIS2- als een AVG-melding vereisen?

Ja, één incident kan zowel een NIS2-melding als een AVG-melding vereisen. Dit is het geval wanneer een beveiligingsincident ook persoonsgegevens raakt. In de praktijk is dat vaker regel dan uitzondering, zeker bij cyberaanvallen op organisaties die werken met klant- of personeelsdata.

Stel dat een ransomware-aanval systemen versleutelt en daarbij ook een database met persoonsgegevens wordt blootgesteld. Dan is er sprake van een significant beveiligingsincident (NIS2-meldplicht) én een inbreuk op persoonsgegevens (AVG-meldplicht). Beide meldingen moeten dan afzonderlijk en bij verschillende instanties worden gedaan, elk met hun eigen inhoud en termijnen.

Het is dus belangrijk dat je incidentresponsproces rekening houdt met beide meldplichten tegelijk. Een goede voorbereiding voorkomt dat je in de stress van een incident vergeet welke meldingen er allemaal gedaan moeten worden.

Bij welke instantie moet je een NIS2-incident melden?

Een NIS2-incident meld je bij de bevoegde nationale toezichthouder voor jouw sector. In Nederland verschilt deze toezichthouder per sector: zo is de Rijksinspectie Digitale Infrastructuur (RDI) verantwoordelijk voor meerdere sectoren, terwijl andere sectoren hun eigen sectorale toezichthouder hebben.

Naast de sectorale toezichthouder speelt ook het Nationaal Cyber Security Centrum (NCSC) een rol. Voor organisaties die als essentieel of belangrijk zijn aangemerkt, geldt dat zij hun melding indienen via het daarvoor aangewezen kanaal. Het NCSC fungeert als centraal informatiepunt en coördineert bij grootschalige incidenten.

Een AVG-melding doe je altijd bij de Autoriteit Persoonsgegevens, via hun online meldloket. Wanneer betrokkenen ook geïnformeerd moeten worden, doe je dat rechtstreeks en zo snel mogelijk nadat je het hoge risico hebt vastgesteld.

Wat zijn de gevolgen als je een melding te laat of niet doet?

Het niet of te laat doen van een verplichte melding kan leiden tot forse boetes en reputatieschade. Zowel onder NIS2 als onder de AVG zijn toezichthouders bevoegd om sancties op te leggen aan organisaties die hun meldplicht niet nakomen.

Onder NIS2 kunnen boetes oplopen tot tientallen miljoenen euro’s, afhankelijk van de omzet van de organisatie en de ernst van de overtreding. De AVG kent boetes tot 20 miljoen euro of 4% van de wereldwijde jaaromzet, waarbij het hoogste bedrag geldt. Naast financiële schade loop je ook het risico op reputatieschade, verlies van klanten en het mislopen van aanbestedingen. Voor defensieleveranciers en andere bedrijven in gereguleerde sectoren kan dat directe contractuele gevolgen hebben.

Hoe bereid je je organisatie voor op beide meldplichten?

Een goede voorbereiding op de NIS2-meldplicht en de AVG-meldplicht begint met duidelijke interne procedures voor het detecteren, beoordelen en escaleren van incidenten. Zonder die basis is het vrijwel onmogelijk om binnen de vereiste termijnen te handelen.

Concrete stappen die je kunt zetten:

• Stel een incidentresponsplan op dat beide meldplichten adresseert en duidelijk maakt wie verantwoordelijk is voor welke melding.
• Train medewerkers zodat zij incidenten herkennen en direct de juiste personen informeren.
• Voer regelmatig een GAP-analyse uit om te controleren of je processen nog aansluiten op de actuele wetgeving.
• Documenteer incidenten zorgvuldig, ook als ze uiteindelijk niet meldingsplichtig blijken.

Organisaties die al werken met een framework zoals ISO 27001 hebben hierbij een voorsprong: veel van de benodigde processen voor detectie, registratie en respons zijn dan al ingebed in de dagelijkse bedrijfsvoering. Het is wel belangrijk om die processen specifiek te toetsen aan de termijnen en criteria van zowel NIS2 als de AVG.

Hoe Hofsecure je helpt met NIS2- en AVG-compliance

Wij begrijpen dat de combinatie van NIS2 en AVG voor veel organisaties complex en tijdrovend is, zeker wanneer je actief bent in sectoren als defensie, de maakindustrie of de zorg. Met meer dan 20 jaar ervaring bij defensiebedrijven en andere sterk gereguleerde organisaties helpen we je niet alleen om compliant te worden, maar ook om dat te blijven.

Wat we voor je doen:

• We voeren een GAP-analyse uit om te bepalen waar jouw organisatie nu staat ten opzichte van de NIS2-meldplicht en AVG-verplichtingen.
• We vertalen de uitkomsten naar een concreet actieplan met werkbare procedures, zodat je weet wie wat doet bij een incident.
• Via onze CISO as a service blijven we structureel betrokken, voeren we periodieke controles uit en zorgen we dat je altijd klaar bent voor een melding.

Cybersecurity compliance hoeft geen last te zijn. Wil je weten hoe we jouw organisatie kunnen helpen? Neem vrijblijvend contact op en we vertellen je direct wat de mogelijkheden zijn.