Welke incidenten moet mijn organisatie melden?

De meldplicht geldt voor zogenoemde “significante incidenten”. Daarvan is sprake als een incident de dienstverlening ernstig verstoort, financiële schade veroorzaakt of aanzienlijke (im)materiële schade bij andere organisaties kan veroorzaken. De concrete drempelwaarden kunnen per sector verschillen en worden in sectorspecifieke regelgeving nader ingevuld.

De melding wordt via het meldportaal van de NCSC aan zowel het toepasselijke CSIRT als de toezichthouder gestuurd en bestaat in beginsel uit drie fasen. Uiterlijk binnen 24 uur nadat een organisatie van het significante incident kennis heeft gekregen moet een vroegtijdige waarschuwing worden gedaan. Vervolgens moet uiterlijk binnen 72 uur na ontdekking een incidentmelding worden ingediend met een eerste beoordeling van de ernst en gevolgen. Ten slotte moet in beginsel binnen één maand na de incidentmelding een eindverslag worden verstrekt. Als het incident op dat moment nog voortduurt, wordt eerst een voortgangsverslag verstrekt en volgt het eindverslag binnen één maand nadat het incident is afgehandeld.