Significant incident helder uitgelegd

Wat is een significant incident?

Een significant incident is een incidentmet ernstige gevolgen – bijvoorbeeld langere uitval, groot dataverlies of veel getroffen gebruikers. Pas die ernst maakt een incident meldingsplichtig. De term is daarmee de drempeldie bepaalt of de NIS2-meldketen in werking treedt of niet: een gewoon incident blijft een interne aangelegenheid, een significant incident wordt een plicht tegenover de overheid.

Wanneer een incident „significant” is

Bepalend zijn onder meer de duur van de verstoring, het aantal getroffen personen of klanten, mogelijke financiële schade, het weglekken van gevoelige gegevens en de gevolgen voor andere entiteiten of voor de voorziening aan het publiek. Omdat NIS2 geen vaste puntentelling voorschrijft maar het aan uw organisatie overlaat om de significantie naar de omstandigheden te beoordelen, vertaalt u die factoren het best al vóór het eerste echte geval in eigen, vastgelegde drempelwaarden – anders gaan er juist binnen de toch al krappe termijn van 24 uur kostbare minuten verloren aan intern overleg.

Beslischecklist: is dit incident significant?

Eén duidelijk Ja is in de regel genoeg om de meldketen te starten. Bij twijfel: melden.

• Ernstige verstoring van de bedrijfsvoering? Centrale dienst langere tijd uitgevallen of zwaar aangetast → eerder Ja. Korte, zelf verholpen storing zonder gevolg voor klanten → eerder Nee.
• Aanzienlijke financiële schade? Voelbare schade aan omzet, losgeld of herstel voor de entiteit → Ja. Verwaarloosbare kosten → Nee.
• Gevolgen voor derden? Klanten, leveranciers, andere entiteiten of de voorziening aan het publiek zijn geraakt → Ja. Puur intern gebleven → Nee.
• Weglekken van gevoelige gegevens? Persoonsgegevens of bedrijfskritieke gegevens zijn weggelekt of gemanipuleerd → Ja. Geen toegang tot gegevens vastgesteld → Nee.
• Veel getroffenen of herhaling? Groot aantal gebruikers geraakt, of een opzettelijke dan wel herhaalde aanval → Ja. Op zichzelf staand geval zonder brede uitwerking → Nee.

Gevolg: de meldplicht

Is er sprake van een significant incident, dan geldt de getrapte meldplicht met vroegtijdige waarschuwing (24 uur), incidentmelding (72 uur) en eindverslag (1 maand). Te onderscheiden van het ingetreden incident is de aanzienlijke cyberdreiging, een gevaar dat nog niet tot schade heeft geleid.

Twee gevallen, één drempel

Scenario: een webwinkel merkt dat via een kwetsbaarheid klantgegevens van zo'n 40.000 accounts zijn weggelekt. Dataverlies plus veel getroffenen – twee duidelijke Ja op de checklist. Het team beoordeelt het incident binnen enkele minuten als significant en start de meldketen. Een korte piekbelasting in de webshop van de dag ervoor bleef daarentegen onder elke drempel, raakte geen enkele klant en werd alleen intern vastgelegd. Dezelfde maatstaf, twee tegengestelde uitkomsten.

Wat moet u concreet doen?

Zodra de checklist een Ja oplevert, telt elke minuut. Deze stappen horen in het draaiboek:

• Beoordeling vastleggen: noteer kort het moment van ontdekking en het doorslaggevende criterium – dat toont later aan dat u op tijd hebt beoordeeld.
• Vroegtijdige waarschuwing versturen: binnen 24 uur melden bij het NCSC; zorg dat uw inschrijving in het entiteitenregister op mijn.ncsc.nl al rond is voordat het zover komt.
• Indammen: getroffen systemen isoleren en bewijs veiligstellen, parallel aan de melding.
• Termijnen bewaken: plan de melding na 72 uur en het verslag na één maand in.
• Plan in werking zetten: het incidentresponsplan activeren, zodat rollen en escalatie meteen werken.

Wie hier aarzelt, riskeert een boete tot 10 miljoen euro of 2 % van de wereldwijde jaaromzet (essentiële entiteiten) dan wel 7 miljoen euro of 1,4 % (belangrijke entiteiten). Heldere criteria besparen precies die overlegtijd.

Meer informatie: NIS2-richtlijn (EU) 2022/2555, criteria voor significante incidenten (art. 23)