- Betekenis
- Tweede meldstap (incidentmelding)
- Termijn
- Binnen 72 uur
- Inhoud
- Eerste beoordeling van ernst en gevolgen
- Stap
- Middelste van drie
- Bijgewerkt
- juni 2026
- Redactie
- Compliance Compass
Wat is de incidentmelding?
De Incidentmelding (Engels: incident notification) volgt op de vroegtijdige waarschuwing en is de tweede stap van de NIS2-meldplicht. Binnen 72 uur geeft zij het NCSC een eerste onderbouwde inschatting van ernst, gevolgen en mogelijke oorzaken. Waar de waarschuwing alleen signaleert dát er iets significants is gebeurd, beantwoordt de incidentmelding voor het eerst de vraag wát er precies is gebeurd en hoe zwaar het weegt.
Wat erin staat
- Eerste beoordeling van het incident (ernst, reikwijdte, gevolgen voor diensten en gebruikers)
- Voor zover bekend: oorzaak en aard van de aanval en de getroffen systemen
- Al genomen directe maatregelen om het incident in te dammen
- Aanwijzingen voor mogelijke grensoverschrijdende gevolgen
Onderdeel van de meldketen
Zij is de middelste van drie stappen van de meldplicht: vroegtijdige waarschuwing (24 uur) → incidentmelding (72 uur) → Eindverslag (1 maand). De hele keten komt alleen op gang door een significant incident; in Nederland gaat de melding naar het NCSC, het nationale CSIRT, en bereikt zij ook de sectorale toezichthouder.
In de praktijk
Een betaaldienstverlener had op maandag de vroegtijdige waarschuwing over een DDoS-aanval verstuurd. Uiterlijk donderdag, dus binnen de termijn van 72 uur, levert het team de incidentmelding na: de aanval legde de betaal-API ongeveer zes uur plat, raakte naar schatting enkele duizenden transacties, de oorsprong wordt aan een botnet toegeschreven, en er is direct een scrubbingdienst ingeschakeld. Met die gegevens kan het NCSC andere marktpartijen waarschuwen.
Waarom die termijn van 72 uur
Zij geeft het NCSC onderbouwde informatie om zelf te reageren en zo nodig andere entiteiten te waarschuwen. Zonder voorbereide processen is die termijn lastig te halen – een incidentresponsplan met heldere rollen en sjablonen helpt verzuim te voorkomen – en daarmee boetes tot 10 mln EUR of 2 % van de jaaromzet.
Meer informatie: NIS2-richtlijn (EU) 2022/2555, incidentmelding op grond van art. 23 lid 4
Veelgestelde vragen
Wat is een incidentmelding?
De incidentmelding is de tweede van de drie NIS2-meldstappen en volgt op de vroegtijdige waarschuwing. Zij geeft het NCSC binnen 72 uur na kennisname van een significant incident een eerste onderbouwde beoordeling van ernst, gevolgen en – voor zover bekend – de oorzaak. In Nederland gaat de melding naar het NCSC, het nationale CSIRT; één melding bereikt ook de sectorale toezichthouder. De NIS2-plichten gelden sinds 15 augustus 2026.
Welke termijn geldt voor de incidentmelding?
De incidentmelding moet binnen 72 uur na kennisname van het significante incident bij het NCSC binnen zijn. Dat is 48 uur na afloop van de termijn van 24 uur voor de vroegtijdige waarschuwing. De derde stap, het eindverslag, volgt uiterlijk één maand na de incidentmelding. Verzuimde meldingen kunnen bij essentiële entiteiten boetes opleveren tot 10 mln EUR of 2 procent van de wereldwijde jaaromzet.
Wat moet de incidentmelding bevatten?
De incidentmelding bevat een eerste beoordeling van ernst en gevolgen voor diensten en gebruikers, voor zover bekend de oorzaak en de aard van de aanval, en de al genomen directe maatregelen om het incident in te dammen. Ook aanwijzingen voor mogelijke grensoverschrijdende gevolgen horen erbij. Daarmee is zij duidelijk gedetailleerder dan de voorafgaande vroegtijdige waarschuwing, die binnen 24 uur alleen het vermoeden signaleert.