Eén incident, vier klokken: NIS2, DORA, CRA en AVG-meldingen

Eén cyberincident kan vier meldingsklokken activeren. Dit draaiboek vergelijkt de termijnen, begeleidt je door classificatie en geeft een overzicht van de ontvangers in België, Nederland en Luxemburg.

Dit draaiboek is voor de mensen in de crisisoproep als er iets misgaat: de incidentmanager, CISO, DPO, juridisch adviseur en, in financiële entiteiten, de ICT-risicofunctie. Het stelt de rapportageregels voor één EU-cyberincident naast elkaar, met een beslissingsstroom en de Belgische, Nederlandse en Luxemburgse ontvangers. Aan het einde heb je een beslissingsformulier dat je in een tabletop kunt oefenen en voor echte situaties kunt gebruiken. Het behandelt alleen rapportage; de technische afhandeling staat in je incident response plan.

Voordat je begint

Noteer welke regelingen van toepassing zijn, ergens waar je het kunt openen tijdens een storing. Ben je een essentiële of belangrijke entiteit onder je nationale NIS2-wet? Een financiële entiteit onder DORA? Een fabrikant van producten met digitale elementen onder de CRA? De AVG is bijna altijd van toepassing. Stem dan de rollen af:

• Meldingsleider (CISO of ICT-risicomanager): eigenaar van classificatie en klokken.
• DPO: beslist over meldingen op grond van AVG artikel 33 en 34.
• Juridisch adviseur: controleert formulering, aansprakelijkheid en beperkingen door wetshandhaving.
• Indiener en plaatsvervanger: hebben actieve accounts op elk portaal (CCB-platform, NCSC-portaal, ENISA Single Reporting Platform, financieel toezichtkanaal).
• Goedkeurder: een lid van het bestuursorgaan dat bij elke indiening op de hoogte wordt gesteld.

De vier klokken vergeleken

Regime	Wat het activeert	Eerste rapportage	Opvolging	Eindrapport	Ontvanger
NIS2 (art. 23)	Een significant incident: ernstige operationele verstoring of financieel verlies, of aanzienlijke schade aan anderen	Vroegtijdige waarschuwing binnen 24u na bewustwording	Incidentmelding binnen 72u (24u voor vertrouwensdienstaanbieders); tussenrapport op verzoek	Een maand na de incidentmelding, of een voortgangsrapport als het incident nog gaande is	Nationale CSIRT of bevoegde autoriteit
DORA (art. 19; Del. Reg. 2025/301)	Een ernstig ICT-gerelateerd incident onder Del. Reg. 2024/1772	Initiële melding binnen 4u na classificatie van het incident als ernstig, en nooit later dan 24u na bewustwording	Tussenrapport binnen 72u na de initiële melding	Een maand na het meest recente bijgewerkte tussenrapport	Financiële bevoegde autoriteit
CRA (art. 14)	Een actief uitgebuite kwetsbaarheid, of een ernstig incident dat de veiligheid van het product aantast	Vroegtijdige waarschuwing binnen 24u na bewustwording	Melding binnen 72u	Kwetsbaarheid: 14 dagen nadat een fix of maatregel beschikbaar is. Incident: een maand na de 72u-melding	CSIRT-coördinator, via het ENISA Single Reporting Platform
AVG (art. 33/34)	Een inbreuk op de bescherming van persoonsgegevens	Meld de toezichthoudende autoriteit binnen 72u na bewustwording, tenzij de inbreuk waarschijnlijk geen risico oplevert	Informatie kan in fasen worden verstrekt	Geen vast eindrapport; documenteer de inbreuk intern	Gegevensbeschermingsautoriteit; betrokkenen zonder onnodig uitstel als het risico hoog is

Bronnen: NIS2 artikel 23^[1], DORA-tijdlijnen^[4], CRA artikel 14^[5], AVG^[7].

Stap 1: Start de bewustwordingsklok en noteer deze

Elke regeling telt vanaf bewustwording, dus maak dat moment expliciet: het moment waarop je redelijkerwijs zeker bent dat een beveiligingsgebeurtenis heeft plaatsgevonden met mogelijke gevolgen. Noteer datum, tijd en tijdzone in het incidentlogboek wanneer de incidentmanager het incident aangeeft.

• Noteer wie het eerst op de hoogte werd gesteld en hoe (een SOC-waarschuwing, een leveranciersmelding, een klacht van een klant).
• Bereken onmiddellijk elke mogelijke deadline en zet deze op de agenda van de bridge call.
• Markeer weekends en openbare feestdagen. DORA stelt sommige entiteiten in staat om tegen het middaguur van de volgende werkdag in te dienen, maar niet kredietinstellingen of entiteiten die ook essentiële of belangrijke entiteiten onder NIS2 zijn^[4].

Stap 2: Test NIS2-significantie

Onder NIS2 is een incident significant als het ernstige operationele verstoring van je diensten of financieel verlies voor je heeft veroorzaakt, of daartoe in staat is, of als het anderen treft door aanzienlijke materiële of immateriële schade te veroorzaken^[1]. Uitvoeringsverordening (EU) 2024/2690 stelt bindende getallen alleen voor digitale infrastructuur en digitale aanbieders vast: DNS- en TLD-aanbieders, cloud- en datacentrumproviders, content delivery networks, beheerde (beveiligings)serviceproviders, onlinemarktplaatsen, zoekmachines, sociale netwerken en vertrouwensdienstaanbieders.^[2].

• Voor deze entiteiten zijn de algemene criteria: een direct financieel verlies boven EUR 500.000 of 5% van de jaarlijkse omzet, afhankelijk van welke lager is; diefstal van bedrijfsgeheimen; dood of aanzienlijke schade aan de gezondheid; of succesvolle, vermoedelijk kwaadwillige ongeautoriseerde toegang die ernstige operationele verstoring zou kunnen veroorzaken.
• Incidenten die binnen zes maanden terugkeren met dezelfde vermoedelijke oorzaak tellen samen.
• Controleer vervolgens de dienstspecifieke drempels in artikelen 5 tot en met 14 (bijvoorbeeld niet-beschikbaarheid voor cloudservices).
• In België publiceert de CCB richtlijnen voor andere sectoren die een lagere financiële drempel van EUR 250.000 hanteren. Waar de richtlijnen en de EU-verordening verschillen, prevaleert de verordening^[8].

Stap 3: Classificeren onder DORA (alleen financiële entiteiten)

DORA heeft zijn eigen test, vastgesteld in Gedelegeerde Verordening (EU) 2024/1772^[3]. Een incident is groot als het kritieke diensten treft en aan een van twee voorwaarden is voldaan. Ofwel was er succesvolle, kwaadwillige, ongeoorloofde toegang tot netwerk- en informatiesystemen die tot gegevensverlies kan leiden, ofwel zijn minstens twee andere materialiteitsdrempels bereikt.

• Cliënten en transacties: meer dan 10% van de cliënten die de dienst gebruiken, of meer dan 100.000 cliënten; of meer dan 10% van de dagelijkse gemiddelde transacties.
• Duur en downtime: het incident duurt langer dan 24 uur, of een dienst die kritieke of belangrijke functies ondersteunt, is langer dan 2 uur niet beschikbaar.
• Geografische verspreiding: impact in twee of meer lidstaten.
• Economische impact: kosten en verliezen boven EUR 100.000.
• Reputatie-impact en gegevensverlies: kwalitatieve tests. Voorbeelden zijn mediaberichtgeving, herhaalde klachten van cliënten, of impact op beschikbaarheid, integriteit of vertrouwelijkheid van gegevens.

Classificatie als groot start de 4-uurstermijn; als classificatie pas na 24 uur plaatsvindt, dien je binnen 4 uur erna in^[4]. DORA is lex specialis ten opzichte van NIS2, dus financiële entiteiten rapporteren onder DORA; controleer nationale regelingen voor een eventuele kopie naar de CSIRT.

Stap 4: Controleer de CRA als je producten maakt

Vanaf 11 september 2026 moeten fabrikanten actief uitgebuite kwetsbaarheden en ernstige incidenten die de veiligheid van hun producten met digitale elementen aantasten, melden^[6]. De rest van de CRA is van toepassing vanaf 11 december 2027. Dit is een productplicht: deze geldt ook als je eigen netwerk nooit is aangeraakt, bijvoorbeeld wanneer je firmware bij een klant wordt uitgebuit.

• Dien één melding in via het Single Reporting Platform van ENISA. Deze gaat naar de CSIRT die is aangewezen als coördinator in de lidstaat van je hoofdvestiging (in België de CCB), en ENISA ontvangt deze tegelijkertijd.
• Stuur de vroegtijdige waarschuwing binnen 24 uur en de melding binnen 72 uur. Het eindrapport is verschuldigd 14 dagen nadat een corrigerende maatregel beschikbaar is (voor kwetsbaarheden) of één maand na de melding (voor ernstige incidenten).
• Informeer de getroffen gebruikers en vertel hen welke mitigaties zij kunnen toepassen^[5].

Stap 5: Beslis over AVG-melding

Wanneer persoonsgegevens zijn vernietigd, verloren gegaan, gewijzigd, openbaar gemaakt of zonder toestemming zijn benaderd, moet de verwerkingsverantwoordelijke zijn leidinggevende toezichthoudende autoriteit binnen 72 uur na kennisname op de hoogte stellen, tenzij de inbreuk waarschijnlijk geen risico oplevert; als het risico hoog is, moeten de betrokkenen zonder onnodig uitstel worden geïnformeerd^[7]. Verwerkers stellen de verwerkingsverantwoordelijke zonder onnodig uitstel in kennis. NIS2- en DORA-meldingen vervangen de AVG-melding niet.

• Beoordeel het risico vanuit het perspectief van de betrokkene.
• Registreer elke inbreuk intern, inclusief die welke je niet meldt, met je redenering.

Stap 6: Dien in, stem af en noteer de vervolgstappen

Gebruik één feitenblad als bron voor elk rapport: tijdlijn, getroffen diensten, vermoedelijke oorzaak, grensoverschrijdende impact, genomen maatregelen en indicatoren van compromittering. Formaten verschillen per portaal; de feiten niet.

• Dien het eerste rapport op tijd in, ook al is het kort. Markeer onbekenden als 'onder onderzoek'.
• Zet de vervolgstermijnen in het incidentenlogboek. Deze lopen vanaf verschillende startpunten: het NIS2-eindrapport loopt vanaf de 72-uurmelding, en het DORA-eindrapport vanaf het meest recente tussenrapport.
• Als je een DORA-termijn niet kunt halen, informeer de autoriteit voordat deze verloopt en leg uit waarom.
• Informeer het management en noteer dat je dit hebt gedaan.

Stap 7: Afsluiten en leren

Na de eindrapportages, beoordeel de rapportage zelf: werden de termijnen gehaald, was de classificatie snel genoeg, werkten de portals en accounts? Verwerk de lessen in dit draaiboek en je tafeloefeningsscenario's. De bijbehorende sjabloon bevat het besluitvormingsblad, een termijnencalculator, een Benelux-contactlijst en een inzendingslogboek.

Hoe dit aansluit op andere frameworks

ISO/IEC 27001:2022 controles 5.24 tot 5.28 vereisen een incidentbeheerproces, maar stellen geen externe deadlines; dit draaiboek is de regelgevingslaag erbovenop. CyFun en NIS2 artikel 21 verwachten gedocumenteerde incidentafhandeling, en DORA artikel 17 vereist een incidentbeheerproces dat de classificatie in stap 3 voedt. In Secrato zijn het draaiboek en het beslisblad bewijs voor de incidentafhandelingscontroles in de Uniforme controlebibliotheek, dus één beoordeling telt voor NIS2, DORA, ISO/IEC 27001 en AVG.

Veelgestelde vragen

Dienen we een NIS2 vroegtijdige waarschuwing in als we nog niet zeker weten of het incident significant is?

De vroegtijdige waarschuwing is bedoeld om snel en licht te zijn. Als significantie waarschijnlijk lijkt, dien in en corrigeer later; dat is veel makkelijker uit te leggen dan een gemiste deadline.

We zijn een bank in België. Melden we aan zowel NBB als CCB?

DORA heeft voorrang voor financiële entiteiten, dus de DORA-melding aan je financiële toezichthouder is de primaire verplichting. Controleer de huidige NBB- en CCB-richtlijnen over hoe DORA-meldingen met het CSIRT worden gedeeld. Ga er niet van uit dat je een aparte NIS2-melding moet indienen.

Valt een ransomware-aanval op ons ERP-systeem onder de CRA?

Alleen als de aanval een kwetsbaarheid in een product met digitale elementen exploiteert dat je fabriceert, of als het een ernstig incident is dat de veiligheid van dat product aantast. Een aanval op je eigen interne systemen valt onder NIS2 en de AVG, niet onder de CRA.

Welke tools helpen bij NIS2-incidentmelding binnen 24 uur?

Een beslissingstijdlijn die het team vertelt welke klok is gestart, en één plek voor de incidentfeiten. Ons gratis incidentmeldingsbeslissingstijdlijnblad dekt het eerste deel. Een GRC-platform zoals Secrato houdt incidentregisters bij die zijn gekoppeld aan de getroffen controls, risico's en bewijs, zodat de vroegtijdige waarschuwing, de melding en het eindrapport uit dezelfde informatie putten.