NIS2-incidentmelding: 24 uur, 72 uur, één maand

De NIS2-richtlijn maakte van incidentmelding, voorheen een vaag omschreven plicht, een gefaseerd proces met vaste termijnen. Voor essentiële en belangrijke entiteiten is de eerste melding verschuldigd binnen 24 uur nadat ze kennis hebben gekregen van een significant incident. Dat is weinig tijd om uit te zoeken wat er gebeurd is, te beslissen of het significant is en de juiste persoon te vinden om de melding in te dienen, zeker om 3 uur 's nachts op een zondag.

De organisaties die het goed doen, zijn degene die de beslissingen over melding vooraf hebben genomen.

De drie fasen

Artikel 23 van NIS2 legt een gefaseerde aanpak vast. Elke lidstaat zet die om in nationaal recht en wijst aan waar meldingen naartoe gaan, meestal het nationale CSIRT of de bevoegde autoriteit. In België bijvoorbeeld speelt het Centrum voor Cybersecurity België die rol. De grote lijnen zijn overal dezelfde.

Vroegtijdige waarschuwing: binnen 24 uur

Onverwijld en in elk geval binnen 24 uur nadat ze kennis heeft gekregen van een significant incident, stuurt de entiteit een vroegtijdige waarschuwing. Die is bewust kort. Ze vermeldt, waar relevant, of het incident vermoedelijk door onrechtmatige of kwaadwillige handelingen is veroorzaakt en of het een grensoverschrijdende impact kan hebben.

Het doel is de autoriteit vroeg te waarschuwen; wachten op zekerheid gaat daar net tegenin.

Incidentmelding: binnen 72 uur

Binnen 72 uur nadat ze kennis heeft gekregen van het incident, dient de entiteit een incidentmelding in. Die werkt de vroegtijdige waarschuwing bij en geeft een eerste beoordeling: de ernst en impact van het incident en, indien beschikbaar, de indicatoren van compromittering.

De autoriteit kan onderweg ook tussentijdse verslagen vragen over relevante statusupdates.

Eindverslag: binnen één maand

Uiterlijk één maand na de incidentmelding dient de entiteit een eindverslag in. Dat bevat een gedetailleerde beschrijving van het incident, inclusief de ernst en impact ervan; het soort dreiging of de grondoorzaak die het incident waarschijnlijk heeft veroorzaakt; de toegepaste en lopende risicobeperkende maatregelen; en een eventuele grensoverschrijdende impact.

Loopt het incident op dat moment nog, dan dient de entiteit in plaats daarvan een voortgangsverslag in, gevolgd door het eindverslag binnen één maand nadat het incident is afgehandeld.

Naast deze meldingen moeten entiteiten mogelijk ook de afnemers van hun diensten onverwijld informeren over significante incidenten die hen waarschijnlijk treffen, en over maatregelen die die afnemers kunnen nemen in reactie op een significante cyberdreiging.

Wat "significant" doorgaans betekent

Niet elk incident moet gemeld worden. Onder NIS2 is een incident significant als het een ernstige operationele verstoring van de diensten of financiële verliezen voor de betrokken entiteit heeft veroorzaakt of kan veroorzaken; of als het andere natuurlijke of rechtspersonen heeft getroffen of kan treffen door aanzienlijke materiële of immateriële schade te veroorzaken.

Twee kenmerken van deze definitie zijn in de praktijk belangrijk. Ten eerste betekent kan veroorzaken dat u de potentiële impact beoordeelt, niet alleen wat al gebeurd is. Ten tweede zijn de drempels in de richtlijn zelf kwalitatief. Voor bepaalde entiteiten in de digitale sector legt een uitvoeringsverordening specifiekere criteria vast; voor andere kunnen nationale richtsnoeren helpen. Hoe dan ook hebt u vóór een incident uw eigen gedocumenteerde interpretatie nodig, want de klok van 24 uur stopt niet terwijl u erover discussieert.

Bereid classificatiecriteria voor

Vertaal de definitie naar criteria die uw team snel kan toepassen. Typische dimensies zijn:

• Impact op diensten: welke diensten getroffen zijn, hoelang en voor hoeveel gebruikers.
• Financiële impact: directe verliezen of kosten boven een drempel die u zelf bepaalt.
• Impact op anderen: schade voor klanten, patiënten, burgers of andere organisaties.
• Gegevens: vertrouwelijkheid, integriteit of beschikbaarheid van gegevens, vooral persoonsgegevens.
• Oorzaak: vermoedelijk kwaadwillige activiteit, wat ook van belang is voor de vroegtijdige waarschuwing.
• Grensoverschrijdende effecten: diensten of gebruikers in andere lidstaten.

Bepaal wat "ernstig" en "aanzienlijk" voor uw organisatie betekenen in elke dimensie, en leg de redenering achter elke classificatiebeslissing vast. Dat verslag is later nuttig bewijs, of de beslissing nu was om te melden of niet.

Vergeet niet dat andere regelingen op hetzelfde incident van toepassing kunnen zijn: de AVG-melding van een datalek bij de gegevensbeschermingsautoriteit, sectorregels en, voor financiële entiteiten, DORA. Breng in kaart waar ze overlappen, zodat één incident geen drie ongecoördineerde processen op gang brengt.

Wijs rollen toe vóór het incident

De meldingsketen moet mensen benoemen, geen afdelingen:

• Wie verklaart dat er een vermoedelijk significant incident is en start de klok.
• Wie classificeert, met een plaatsvervanger voor nachten, weekends en vakanties.
• Wie keurt goed dat de melding wordt ingediend, en op welk niveau. Bestuursorganen van NIS2-entiteiten zijn verantwoordelijk voor de maatregelen voor het beheer van cyberbeveiligingsrisico's, dus de betrokkenheid van het senior management moet gepland worden in plaats van geïmproviseerd.
• Wie dient in bij de autoriteit en beschikt over toegang tot het meldingskanaal.
• Wie communiceert met de getroffen afnemers van diensten, en met de teams voor juridische zaken, communicatie en gegevensbescherming.

Leg vast hoe u hen buiten de kantooruren bereikt, en test het.

Templates en bewijs

Bereid voor elke fase ontwerpen voor met de velden die de autoriteit verwacht, vooraf ingevuld met wat niet verandert: gegevens van de entiteit, sector, contactpersonen. Tijdens een incident vult het team feiten in in plaats van een formulier te ontwerpen.

Houd vanaf het eerste signaal een tijdlijn bij: wanneer het incident werd gedetecteerd, wanneer het werd geclassificeerd, wanneer elke melding werd verstuurd en wat erin stond. Het eindverslag steunt op deze tijdlijn, net als een latere beoordeling door de autoriteit.

Oefen het

Een procedure die nooit is doorlopen, faalt bij het eerste echte incident. Neem de melding op in uw oefeningen: een tabletopscenario waarin het team binnen de termijn moet beslissen of een incident significant is en de vroegtijdige waarschuwing moet opstellen, volstaat vaak om ontbrekende contactgegevens, onduidelijke goedkeuringsregels en templates die om informatie vragen die niemand heeft, aan het licht te brengen. Noteer wat misliep en los het op vóór de volgende oefening.

Kort samengevat

NIS2-melding beloont voorbereiding. Spreek uw criteria af, benoem uw mensen, bereid uw templates voor en oefen de eerste 24 uur. Tools kunnen helpen door incidenten, classificaties, playbooks en oefenresultaten op één plek bij te houden en meldingen op te stellen die een mens nakijkt, maar de beslissingen over wat als significant geldt, neemt u zelf, en vooraf.

Dit artikel is algemene informatie, geen juridisch advies.