Een procedure voor het melden van incidenten binnen 24 en 72 uur begint niet bij een formulier en eindigt niet bij de verantwoordelijkheid van de IT-afdeling. De effectiviteit hangt af van het moment waarop de organisatie geacht wordt kennis te hebben van een incident, wie de impact kwalificeert, wie het besluit neemt en of de melding ook kan worden voorbereid en verzonden bij onvolledige informatie, afwezigheid van sleutelfunctionarissen of uitval van primaire systemen. Meldingsgereedheid moet daarom als een organisatiebreed proces worden ingericht en vervolgens onder tijdsdruk worden beproefd.
Waarom de klok eerder begint te lopen dan het management vaak denkt
De termijn mag niet pas ingaan na volledige technische bevestiging of nadat de zaak is overgedragen aan de persoon die bevoegd is om de melding te doen. De organisatie moet onderscheid maken tussen een gebeurtenis — een waargenomen afwijking of waarschuwing — en een beveiligingsincident dat gevolgen heeft voor de vertrouwelijkheid, integriteit, beschikbaarheid of authenticiteit van bedrijfsmiddelen en diensten. Een volgende categorie is het incident dat voldoet aan de wettelijke meldcriteria. Niet ieder alarm activeert dus automatisch het 24- en 72-uursproces, maar ieder signaal moet wel volgens vastgestelde criteria worden beoordeeld.
Het grootste risico op vertraging ontstaat wanneer de procedure niet bepaalt wanneer de organisatie kennis heeft gekregen van een incident. De eerste melding kan binnenkomen bij de servicedesk, een lijnoperator, een beheerder, een dienstverlener of de klantenservice. Wanneer de termijn pas wordt geteld vanaf het moment waarop een directielid of beveiligingscoördinator is geïnformeerd, ontstaat een kunstmatige leemte tussen de feitelijke herkenning van de verstoring en de formele reactie. De procedure moet daarom interne en externe meldbronnen, escalatiecriteria en de rol vastleggen die beslist of een verstoring de grens van een reguliere storing heeft overschreden.
Wanneer een leverancier die een productiesysteem beheert de servicedesk informeert over verlies van beschikbaarheid en een vermoeden van externe beïnvloeding, kunnen de oorzaak, de volledige omvang en de verwachte hersteltijd nog onbekend zijn. Dat rechtvaardigt niet dat op het definitieve technische rapport wordt gewacht. Voor escalatie volstaan gegevens over het tijdstip waarop het signaal bekend werd, de getroffen diensten en locaties, de waargenomen impact, mogelijke gevolgen en reeds genomen beheersmaatregelen. Op basis daarvan maakt de bevoegde functionaris een eerste beoordeling en documenteert deze het besluit om het meldproces wel of niet te activeren.
De fasen van 24 en 72 uur moeten worden gezien als de stapsgewijze ontwikkeling van de kennis over hetzelfde incident: eerst wordt op basis van de beschikbare aanwijzingen een vroegtijdige waarschuwing verstrekt, waarna de beoordeling met nauwkeurigere bevindingen wordt aangevuld. Het zijn geen twee losstaande administratieve verplichtingen. De concrete termijnen, kwalificatiedrempels en meldkanalen moeten steeds worden getoetst aan de actuele nationale wetgeving waarmee NIS2 is geïmplementeerd en aan de eisen van de bevoegde autoriteit. Een procedure die uitsluitend op de richtlijn is gebaseerd, is onvoldoende. De effectiviteit van de gekozen inrichting kan worden beoordeeld met een NIS2-audit in een productiebedrijf – hoe beoordeelt u of de organisatie klaar is voor de nieuwe verplichtingen?.
Waar de organisatie de eerste uren verliest
De eerste uren gaan vaak niet verloren aan technische analyse, maar aan wachten. Een melding blijft in het ticketsysteem staan, buiten kantooruren werkt de contactstructuur niet, de leverancier stelt nog een advies op, afdelingen discussiëren over de omvang van de impact en de bevoegde beslisser is niet bereikbaar. Handmatige gegevensverzameling uit meerdere bronnen vergroot de vertraging. Het probleem ontstaat vooral op de raakvlakken tussen IT, operationele technologie, productie, kwaliteit, juridische zaken, communicatie, gegevensbescherming, inkoop en directie, omdat elk van deze functies slechts over een deel van de informatie beschikt.
| Knelpunt | Gevolg | Risico-eigenaar | Preventieve maatregel |
|---|---|---|---|
| Melding zonder automatische escalatie | Te late start van de kwalificatie | Proceseigenaar incidentmanagement | Prioriteitsdrempels en alarmering van aangewezen rollen |
| Geen bereikbaarheid buiten kantooruren | Wachten tot de volgende werkdag | Directie en operationeel management | Piketregeling, vervanging en periodieke bereikbaarheidstests |
| Wachten op de leverancier | Besluitvorming wordt afhankelijk van een extern rapport | Inkoop en contracteigenaar | Contractuele meldingstermijnen, vereiste gegevens en beschikbaarheid van deskundigen |
| Discussie over de impact of ontbreken van een beslisser | Geen formeel besluit | Bevoegd lid van het management | Kwalificatiematrix, mandaten en vervangingsregeling |
| Handmatig samenvoegen van informatie | Geen consistent incidentbeeld | Incidentcoördinator | Centraal register voor tijdstippen, diensten, locaties, gevolgen en maatregelen |
In een productiebedrijf geeft verlies van toegang tot het planningssysteem in combinatie met instabiliteit van bepaalde installaties niet direct een volledig beeld. Het kan gaan om een storing in onderling afhankelijke systemen, een verstoring van operationele technologie of een incident met een bredere reikwijdte. De organisatie moet tegelijkertijd de bedrijfsvoering en productiecontinuïteit beheersen, vaststellen welke bedrijfsmiddelen en locaties zijn getroffen en de escalatie uitvoeren. Technische beheersmaatregelen mogen niet wachten op een formeel besluit, maar het besluit over een melding mag evenmin worden uitgesteld totdat de oorzaak is vastgesteld of de verstoring volledig is verholpen.
Knelpunten worden het duidelijkst tijdens een scenario-oefening met onder meer een nachtelijk scenario en de afwezigheid van een sleutelfunctionaris. Meet de tijd vanaf het eerste signaal tot escalatie, kwalificatie, contact met de beslisser en het verzamelen van de minimale gegevensset. Ook de contractvoorwaarden met IT- en communicatiedienstverleners moeten worden getoetst. Een leverancier kan de informatievoorziening ondersteunen, maar melden namens de organisatie vereist een duidelijke grondslag, een passend mandaat en overeenstemming met de geldende procedure. Het enkele feit dat een leverancier een systeem beheert, verlegt de verantwoordelijkheid niet.
De beoordeling van de gereedheid moet de hele organisatie omvatten en niet alleen IT: rollen, informatiestromen, leveranciers, operationele technologie en crisismanagement. Het bewijs dat deze mechanismen werken, moet aansluiten op de reikwijdte die is beschreven in NIS2- en KSC-documentatie vóór een inspectie: welke beleidsdocumenten, registers en bewijzen zijn werkelijk nodig?.
De procedure van eerste signaal tot melding
De procedure moet vanaf het eerste signaal leiden tot een aantoonbaar verzonden melding, zonder het besluit afhankelijk te maken van de afronding van de technische analyse. De processtroom omvat ontvangst van het signaal, registratie van tijdstip en bron, eerste kwalificatie, veiligstelling van bewijsmateriaal en beoordeling van de impact op de dienst. Daarna volgen escalatie, besluitvorming, opstellen van het bericht, verzending via het juiste kanaal en bewaring van de ontvangst- of verzendbevestiging. Iedere stap vereist een eigenaar, een vervanger, een interne termijn en een voorgeschreven registratie. Interne deadlines moeten ruimte laten voor goedkeuring en technische problemen bij de verzending; ze mogen niet samenvallen met de wettelijke uiterste termijn.
Voor de eerste fase, binnen 24 uur, is een minimale set bevestigde gegevens nodig: identificatie van de entiteit, detectietijdstip, getroffen dienst, waargenomen gevolgen, bekende reikwijdte en genomen maatregelen. Onzekere informatie moet als voorlopig worden gemarkeerd, met vermelding van de bron en de wijze waarop verificatie plaatsvindt. Onzekerheid over de oorzaak, de volledige omvang of het eindtijdstip van het incident mag niet leiden tot schijnzekerheid en mag de melding ook niet automatisch blokkeren. De procedure moet bepalen wie de melding goedkeurt, wie als vervanger optreedt en hoe eerder verstrekte informatie wordt bijgewerkt.
Wanneer een vestiging geen toegang meer heeft tot het systeem waarmee de uitvoering van orders wordt aangestuurd, registreert de coördinator het alarm, het detectietijdstip en de meldingen van gebruikers. Tegelijkertijd stelt het technische team logbestanden veilig en beperkt het de gevolgen. De eigenaar van de dienst beoordeelt de impact op productie, logistiek en afnemers, terwijl de beslisser op basis van de beschikbare gegevens bepaalt of een meldplicht van toepassing is. Als het incident voortduurt, het registratiesysteem niet beschikbaar is of de leverancier de bron van het incident vormt, moet het voorbereide alternatieve kanaal worden gebruikt zonder op een eindrapport te wachten. Binnen een groep met meerdere vennootschappen moeten de getroffen diensten, de toepasselijkheid per entiteit en het mandaat om namens elke entiteit op te treden afzonderlijk worden vastgesteld.
Voor de fase van 72 uur vult de organisatie de beoordeling aan met informatie over de aard en ernst van het incident, de impact, beschikbare indicatoren van compromittering en maatregelen om de gevolgen te beperken, voor zover dit volgt uit de dan geldende regelgeving en formulieren. Wanneer latere bevindingen de omvang, oorzaak of kwalificatie van het incident wijzigen, moet de eerder verstrekte informatie beheerst worden gecorrigeerd. Zij mag niet spoorloos worden vervangen. Vóór invoering van de procedure moet daarom worden vastgesteld welke autoriteit of welk incidentresponsteam voor de betreffende categorie entiteit bevoegd is, welk meldkanaal geldt, hoe de termijnen worden berekend en welke eisen van toepassing zijn op actualisaties en vervolgrapportages. De reikwijdte voor organisaties wordt uitgebreider behandeld in NIS2 voor productiebedrijven: op wie is de richtlijn van toepassing, welke verplichtingen ontstaan en hoe bereidt u de organisatie voor zonder het onderwerp tot IT te beperken?.
De informatiestroom moet steunen op één incidentregister met een tijdlijn, opeenvolgende versies van de bevindingen, gegevensbronnen, besluiten met motivering, inhoud van berichten en verzendbevestigingen. E-mail en berichtenplatforms kunnen voor alarmering worden gebruikt, maar mogen geen parallelle versies van de incidentbeschrijving creëren. De procesgereedheid moet worden gemeten aan de hand van de tijd tussen signaal, registratie, escalatie, besluit en verzending, het aandeel registraties met een vermelde bron en de mogelijkheid om te reconstrueren wie de beoordeling van het incident heeft gewijzigd en op welke grond.
Rollen, vervanging en beslisdrempels
Het meldproces vereist een duidelijke scheiding tussen activiteiten, verantwoordelijkheden en bevoegdheden. De persoon die de gebeurtenis detecteert, registreert deze en start de escalatie. De incidentcoördinator beheert de tijdlijn en informatiestroom; de technisch deskundige beoordeelt de aard van de gebeurtenis en stelt gegevens veilig. De eigenaar van de dienst of het proces bepaalt de operationele impact. Een juridisch bevoegde functionaris beoordeelt de informatie- en meldverplichtingen. De goedkeurder neemt het meldbesluit, waarna een gemachtigde medewerker de melding verzendt en het bewijs daarvan bewaart. Eén persoon kan meerdere rollen vervullen, mits de beslissingsbevoegdheid daardoor niet onduidelijk wordt en geen enkelvoudige afhankelijkheid ontstaat.
Een verantwoordelijkhedenmatrix is pas bruikbaar wanneer deze naast de functienaam ook de taakomvang, vereiste reactietijd, beslissingsbevoegdheid, vervanger en het verwachte uitvoeringsbewijs vermeldt. De matrix moet bovendien bepalen wie bij onvolledige informatie mag beslissen en hoe een conflict tussen productiecontinuïteit, beveiliging en informatieverplichtingen wordt opgelost. Het management keurt het responsmodel, de escalatiedrempels en de beschikbare middelen goed. Het kan het volledige beslissingsrisico niet overdragen aan een systeembeheerder of kwaliteitsfunctionaris, die doorgaans niet het mandaat heeft om zakelijke en juridische gevolgen af te wegen.
Niet iedere melding hoeft door een directielid te worden goedgekeurd wanneer het interne bevoegdhedenmodel voorziet in een passend mandaat of een passende machtiging die aansluit op de eisen voor de betrokken entiteit en het meldkanaal. Een vervangingsregeling vereist een persoonlijk aangewezen opvolger, 24/7 beschikbare contactgegevens en een regel voor overdracht wanneer binnen de vastgestelde tijd geen contact tot stand komt. De vervanger moet daadwerkelijk toegang hebben tot het register, het formulier, de mailbox, de vereiste elektronische handtekeningen en het alternatieve kanaal. Een bepaling in de procedure zonder toegekende toegangsrechten biedt geen operationele continuïteit.
Wanneer zich 's nachts een incident voordoet, mag de coördinator niet onbeperkt wachten op de goedkeurder. Na het verstrijken van de interne contactlimiet wordt de vervanger benaderd en vervolgens de functionaris die bevoegd is om in een noodsituatie te beslissen. Interne termijnen moeten duidelijk korter zijn dan externe termijnen, zodat tijd overblijft voor gegevenscontrole, juridische kwalificatie, goedkeuring, technische problemen en het documenteren van de verzending. De doorlooptijden van detectie tot escalatie, besluit en indiening moeten tijdens oefeningen worden gemeten.
Dit model vereist budget voor piketdiensten, toegangsrechten, opleidingen en hulpmiddelen. Het moet daarom worden meegenomen in de planning zoals beschreven in Wat kost de implementatie van NIS2 en uKSC – hoe stelt u een budget op voor audits, documentatie, opleidingen en beveiligingsmaatregelen zonder kostbare fouten?. Eén beslisser of één houder van de benodigde rechten lijkt efficiënt, maar is een schijnbesparing: tijdens een incident wordt organisatorische afwezigheid dan de oorzaak van formele vertraging.
Een oefening die de werkelijke gereedheid zichtbaar maakt
Kennis van de procedure bewijst niet dat de organisatie klaar is om een incident te melden. Dat blijkt pas wanneer de procedure onder tijdsdruk en met onvolledige informatie kan worden uitgevoerd. Het oefenscenario moet informatie stapsgewijs vrijgeven. Het eerste signaal kan dubbelzinnig zijn, delen van de systemen en documentatie kunnen onbereikbaar zijn, de leverancier kan vertraagd reageren en de operationele impact kan toenemen naarmate nieuwe berichten binnenkomen. Deze opzet laat zien of de organisatie de escalatie kan starten zonder op een volledige technische analyse te wachten.
Voer de oefening uit op een realistische tijdlijn en registreer wanneer het signaal is ontvangen en vastgelegd, wanneer het aan de coördinator is doorgegeven, wanneer het team bijeenkwam, wanneer de eerste kwalificatie plaatsvond en wanneer de tekst werd opgesteld, goedgekeurd en voor verzending aangeboden. De test mag niet tot een echte melding leiden, tenzij vooraf een veilige testomgeving en een methode voor het markeren van testgegevens zijn afgesproken. Voor deelname van externe partijen is een afzonderlijk besluit nodig. Het is zinvol de leverancier te betrekken wanneer diens informatie, toegang of optreden noodzakelijk is om het incident te kwalificeren. De directie moet ten minste deelnemen aan een scenario waarin een zakelijk besluit, risicoacceptatie of activering van de vervangingsregeling nodig is.
Een voorbeeldscenario kan beginnen met een melding over een vertraagd productiesysteem. Vervolgens maakt de oefenleider bekend dat het incidentregister niet toegankelijk is, de goedkeurder afwezig is, gegevens over het aantal getroffen processen elkaar tegenspreken en de leverancier niet reageert. Waarnemers geven geen aanwijzingen, maar registreren de feitelijke tijden en bewijzen. Zij beoordelen hoe snel het signaal de coördinator bereikt, of vervangers beschikbaar zijn, hoeveel verantwoordelijkheden onduidelijk blijven, of de tijdlijn volledig is, welke verschillen tussen bronnen bestaan en of het alternatieve kanaal kan worden gebruikt. Ook rollen zonder vervanger, ontbrekende rechten en verouderde contactgegevens worden vastgelegd.
De evaluatie mag zich niet beperken tot de vraag of de conceptmelding vóór de interne deadline gereed was. Beoordeel ook of de deelnemers:
- bevestigde feiten van aannames scheidden,
- informatiebronnen vermeldden,
- de grondslag van de kwalificatie documenteerden,
- gegevens markeerden die later moesten worden aangevuld,
- de vervangingsregeling volgens de vastgestelde regels activeerden,
- het alternatieve meldkanaal konden gebruiken.
Ook het handelen onder onzekerheid is een belangrijke uitkomst. Het team mag niet iedere verstoring automatisch kwalificeren als een meldingsplichtig incident, maar mag de escalatie evenmin uitstellen totdat de volledige technische analyse is afgerond.
De oefening eindigt met een plan voor corrigerende maatregelen, niet alleen met een verslag. Voor iedere tekortkoming moeten een eigenaar, een uiterste datum, een meetbaar criterium voor effectiviteit en het opnieuw te testen onderdeel worden vastgesteld. De organisatie moet volgen welk aandeel van de maatregelen binnen de gekozen termijn is afgesloten en aantoonbaar effectief is bevonden. De frequentie van vervolgoefeningen en de variatie in scenario’s worden bepaald op basis van risico, resultaten van de vorige test en organisatorische wijzigingen. Nieuwe rollen, leveranciers, systemen of meldkanalen en wezenlijke tekortkomingen vormen in het bijzonder aanleiding voor een aanvullende test. Deze afspraken moeten aansluiten op de planning in Implementatie van NIS2 na opname in het KSC-register – actieplan tot 3 april 2027.
Minimumniveau voor bestuurlijke gereedheid
Het management kan het incidentmeldproces pas als operationeel beschouwen wanneer de volledige organisatorische inrichting is goedgekeurd. Deze bestaat uit een procedure, escalatiecriteria, een actuele contactlijst, toegewezen rollen en vervangers, toegang tot het primaire en alternatieve meldkanaal, berichtsjablonen, één incidentregister, regels voor het veiligstellen en bewaren van bewijs en een uitgevoerde oefening. Het ontbreken van een van deze onderdelen is een operationeel risico en niet slechts een redactionele tekortkoming in de documentatie.
Het bewijs van gereedheid is niet het aantal goedgekeurde documenten, maar een consistente audittrail: vanaf de detectie van de gebeurtenis via kwalificatie en besluitvorming tot het opstellen en verzenden van de melding. Deze moet tijdstippen, informatiebronnen, beslissers, de grondslag voor kwalificatie en de aan de bevoegde partij verstrekte inhoud laten zien. De organisatie moet bovendien aantonen dat zij kan handelen bij afwezigheid van sleutelfunctionarissen, uitval van primaire systemen en beperkte toegang tot gegevens.
Na de oefening is een managementbeoordeling nodig die de bevindingen vóór een audit of inspectie omzet in besluiten. De proceseigenaar kan binnen het eigen mandaat de instructie, het register of de contactlijst verbeteren. De directie moet beslissen over tekortkomingen waarvoor acceptatie van restrisico, financiering, aanvullende capaciteit of een wijziging van verantwoordelijkheden nodig is. Voor iedere maatregel moeten een eigenaar, een deadline en een datum voor herbeoordeling van de effectiviteit worden vastgelegd.
Incidentmelding moet deel uitmaken van een breder implementatieplan, waarbij steeds wordt gecontroleerd of termijnen en eisen nog actueel zijn. Bij de beoordeling van de volwassenheid moet ook aandacht worden besteed aan NIS2 en NEN-EN-ISO 27001: wat biedt een certificaat en wat ontbreekt nog voor aansluiting op KSC?. De organisatie is pas gereed wanneer zij binnen beperkte tijd en met onvolledige informatie het juiste besluit kan nemen, uitvoeren en aantoonbaar kan onderbouwen.
Masz pytania? Porozmawiajmy.
Bezpłatna konsultacja – bez zobowiązań.
