Wat zijn de eerste stappen na een cyberaanval onder NIS2?

Na een cyberaanval gelden onder NIS2 directe verplichtingen: je moet het incident binnen 24 uur melden bij de bevoegde autoriteit, intern de schade beperken en een gestructureerd incidentresponsproces opstarten. NIS2 stelt duidelijke eisen aan de snelheid en volledigheid van die respons, en geldt voor alle organisaties die vallen onder de essentiële of belangrijke entiteiten binnen de Europese richtlijn. In dit artikel beantwoorden we de meest gestelde vragen over wat je precies moet doen na een cyberaanval onder NIS2.

Welke verplichtingen gelden er direct na een cyberincident onder NIS2?

Direct na een cyberincident verplicht NIS2 organisaties om het incident te detecteren, te beoordelen en te melden aan de relevante toezichthouder. Daarnaast moet je maatregelen nemen om verdere schade te beperken en de continuïteit van je dienstverlening zoveel mogelijk te waarborgen. Deze verplichtingen gelden zodra je weet of redelijkerwijs kunt vermoeden dat er sprake is van een significant incident.

De NIS2-richtlijn maakt onderscheid tussen significante en niet-significante incidenten. Een incident is significant als het een ernstige operationele verstoring veroorzaakt, financiële schade oplevert of andere organisaties of personen treft. Denk aan een ransomware-aanval die je productieprocessen stilzet, of een datalek dat klantgegevens blootstelt. Voor defensieleveranciers is de lat extra hoog: geclassificeerde informatie of systemen die raken aan de nationale veiligheid vallen bovendien onder aanvullende eisen zoals de ABDO en, vanaf 1 januari 2026, de nieuwe ABRO-beveiligingseisen voor rijksoverheidsopdrachten.

De kern van de NIS2-verplichtingen bestaat uit drie pijlers: melden, beheersen en documenteren. Al deze drie moeten vrijwel gelijktijdig worden opgestart, niet na elkaar.

Hoe snel moet een cyberaanval worden gemeld onder NIS2?

Onder NIS2 moet een significant cyberincident binnen 24 uur na ontdekking worden gemeld via een vroege waarschuwing aan de bevoegde nationale autoriteit. Binnen 72 uur volgt een vollediger incidentmelding, en uiterlijk een maand na het incident lever je een eindrapport in met een volledige analyse en genomen maatregelen.

Dit drietrapsmodel ziet er als volgt uit:

• Vroege waarschuwing (binnen 24 uur): een eerste signaal dat er een significant incident heeft plaatsgevonden, inclusief een eerste inschatting van de aard en omvang.
• Incidentmelding (binnen 72 uur): een gedetailleerdere melding met informatie over de impact, de vermoedelijke oorzaak en de genomen maatregelen.
• Eindrapport (binnen een maand): een volledige analyse, inclusief lessen die zijn getrokken en structurele verbeteringen die zijn doorgevoerd.

In Nederland is het Nationaal Cyber Security Centrum (NCSC) de primaire ontvangende instantie voor meldingen van essentiële entiteiten. Belangrijke entiteiten melden bij de relevante sectorale toezichthouder. De 24-uursgrens is bewust kort gehouden: vroegtijdige melding stelt autoriteiten in staat om andere organisaties te waarschuwen en de bredere impact te beperken. Wacht dus niet tot je het volledige plaatje hebt voordat je meldt.

Wat moet een organisatie intern doen in de eerste uren na een aanval?

In de eerste uren na een cyberaanval draait alles om indammen, informeren en documenteren. Je moet de aanval zo snel mogelijk beperken in zijn verspreiding, de juiste mensen intern alarmeren en tegelijkertijd beginnen met het vastleggen van wat er is gebeurd. Elke minuut telt, maar gehaaste beslissingen zonder overzicht maken het herstel later moeilijker.

Een gestructureerde aanpak in de eerste uren omvat minimaal de volgende stappen: isoleer getroffen systemen van het netwerk om verdere verspreiding te stoppen, schakel je incidentresponsteam in en activeer je crisisprotocol, en zorg dat er geen bewijs wordt vernietigd door systemen zomaar te herstarten of te wissen. Bewaar logbestanden en screenshots als bewijsmateriaal voor zowel interne analyse als de verplichte NIS2-melding.

Communicatie is in deze fase minstens zo belangrijk als de technische respons. Informeer het management direct, zodat zij tijdig beslissingen kunnen nemen over bijvoorbeeld het informeren van klanten of het inschakelen van externe hulp. Voor NIS2-compliance is het cruciaal dat je dit proces vooraf hebt vastgelegd in een incidentresponsplan, zodat niemand in paniek hoeft te improviseren.

Wie is verantwoordelijk voor de NIS2-melding binnen een organisatie?

Onder NIS2 ligt de eindverantwoordelijkheid voor de meldplicht bij de directie of het bestuur van de organisatie. Het is niet voldoende om dit volledig te delegeren aan de IT-afdeling. De richtlijn stelt expliciet dat leidinggevenden persoonlijk aansprakelijk kunnen worden gesteld als zij hun toezichthoudende rol niet serieus nemen.

In de praktijk voert de CISO of een aangewezen security officer de melding uit, maar de directie moet aantoonbaar betrokken zijn en akkoord geven. Voor organisaties zonder interne CISO is dit een kwetsbaar punt: wie pakt de coördinatie op als het misgaat? Het is verstandig om vooraf een duidelijke verantwoordelijkheidsstructuur vast te leggen, inclusief een back-up als de primaire contactpersoon niet beschikbaar is.

Bij defensieleveranciers komt daar nog een extra laag bij: afhankelijk van de aard van de opdracht kunnen ook de opdrachtgever (Defensie) en andere ketenpartners geïnformeerd moeten worden. Zorg dat je weet welke meldverplichtingen er naast NIS2 nog meer op je van toepassing zijn.

Wat zijn de gevolgen als een organisatie de NIS2-meldplicht niet naleeft?

Het niet naleven van de NIS2-meldplicht kan leiden tot aanzienlijke boetes, reputatieschade en in ernstige gevallen het verlies van contracten of vergunningen. Voor essentiële entiteiten kunnen boetes oplopen tot 10 miljoen euro of 2% van de wereldwijde jaaromzet, afhankelijk van welk bedrag hoger is. Voor belangrijke entiteiten gelden maxima van 7 miljoen euro of 1,4% van de jaaromzet.

Naast financiële sancties kan de toezichthouder ook operationele maatregelen opleggen, zoals een tijdelijk verbod op bepaalde activiteiten of verplichte audits. Voor defensieleveranciers is het risico nog concreter: het niet voldoen aan beveiligingseisen kan betekenen dat je contractuele geschiktheid vervalt en je opdrachten verliest. In een sector waar vertrouwen en betrouwbaarheid alles zijn, is reputatieschade soms moeilijker te herstellen dan een boete te betalen.

Hoe verschilt de NIS2-meldplicht van de AVG-meldplicht bij een datalek?

De NIS2-meldplicht en de AVG-meldplicht zijn twee aparte verplichtingen die naast elkaar kunnen bestaan. De AVG verplicht je om datalekken waarbij persoonsgegevens zijn betrokken binnen 72 uur te melden bij de Autoriteit Persoonsgegevens. NIS2 richt zich op significante verstoringen van netwerk- en informatiesystemen, ongeacht of er persoonsgegevens bij betrokken zijn.

Het verschil zit in drie dimensies:

• Aanleiding: AVG gaat specifiek over persoonsgegevens; NIS2 gaat over operationele verstoringen en cyberincidenten in brede zin.
• Meldinstantie: AVG-meldingen gaan naar de Autoriteit Persoonsgegevens; NIS2-meldingen gaan naar het NCSC of de sectorale toezichthouder.
• Tijdlijn: AVG kent één deadline van 72 uur; NIS2 kent een drietrapsmodel van 24 uur, 72 uur en een maand.

Bij een ransomware-aanval waarbij klantdata is buitgemaakt, kunnen beide meldplichten tegelijkertijd van toepassing zijn. Zorg dat je incidentresponsplan beide trajecten dekt en dat de verantwoordelijkheden voor beide meldingen duidelijk zijn belegd.

Welke documentatie moet een organisatie bijhouden na een cyberaanval?

Na een cyberaanval moet je een volledig dossier opbouwen van het incident: wat er is gebeurd, wanneer het is ontdekt, welke systemen zijn getroffen, welke maatregelen zijn genomen en wat de impact was. Deze documentatie is niet alleen nodig voor de NIS2-meldingen, maar ook voor interne evaluatie en eventuele juridische of verzekeringstechnische procedures.

Goede incidentdocumentatie bevat minimaal een tijdlijn van het incident, logbestanden van getroffen systemen, een overzicht van genomen herstelmaatregelen, communicatieverslagen (intern en extern) en een analyse van de oorzaak. Dit eindrapport, dat je binnen een maand na het incident bij de toezichthouder indient, moet aantonen dat je de situatie beheerst hebt en structurele verbeteringen hebt doorgevoerd.

Bewaar deze documentatie veilig en gestructureerd. In de praktijk zien we dat organisaties die vooraf investeren in een goed ISO 27001-managementsysteem veel sneller en vollediger kunnen documenteren, simpelweg omdat de processen en sjablonen al klaarliggen. Een cyberaanval is niet het moment om te beginnen met nadenken over hoe je documenteert.

Hoe Hofsecure je helpt bij incidentrespons onder NIS2

Wij begrijpen dat de eerste stappen na een cyberaanval overweldigend kunnen zijn, zeker als je organisatie nog geen volwassen incidentresponsproces heeft. Met meer dan 20 jaar ervaring bij defensiebedrijven en grote industriële organisaties helpen wij je om NIS2-verplichtingen niet alleen na te leven, maar ze ook echt te beheersen. Concreet doen we dat door:

• Een GAP-analyse uit te voeren om te bepalen waar je nu staat op het gebied van incidentrespons en NIS2-compliance.
• Een concreet incidentresponsplan op te stellen dat voldoet aan de NIS2-meldtermijnen en aansluit op je bestaande processen.
• Als CISO as a Service de coördinatie op ons te nemen bij een daadwerkelijk incident, inclusief de communicatie met toezichthouders.
• Je team te begeleiden bij de documentatie en het eindrapport, zodat je aantoonbaar in control bent.

Geen wollige rapporten, maar directe actie. Wil je weten hoe goed jouw organisatie voorbereid is op een cyberaanval? Neem vrijblijvend contact op en we kijken samen wat er nodig is.