Met NIS2 krijgen organisaties niet alleen zorgplicht en registratieplicht, maar ook een strakker omschreven meldplicht. Die bestond al onder de huidige NIS, maar wordt nu aangescherpt. Kort gezegd: als iets misgaat dat de continuïteit van je dienstverlening serieus in gevaar brengt, moet je dat melden. En dat moet snel.
Volgens NIS2 gaat het om incidenten die een aanzienlijk effect hebben op de beveiliging van je netwerk- en informatiesystemen. Dat betekent: jouw systemen kunnen niet langer betrouwbaar beschikbaar zijn, of hun integriteit, vertrouwelijkheid of authenticiteit is in het geding.
Om te bepalen of een incident 'aanzienlijk' is, wordt gekeken naar onder andere:
Blijkt het incident inderdaad groot genoeg? Dan moet je melden bij de bevoegde autoriteit of het CSIRT. In Nederland is dat meestal het Nationaal Cyber Security Centrum (NCSC).
NIS2 introduceert een 'twee-stappenaanpak' voor meldingen:
Eerste melding
Eindmelding
Niet alleen incidenten moeten gemeld worden. Onder NIS2 geldt ook een meldplicht voor significante cyberdreigingen, dreigingen die mogelijk kunnen leiden tot een groot incident.
Een dreiging of incident wordt als significant gezien als:
De meldplicht onder NIS2 vraagt om snelheid, structuur en goede interne processen. Wie nu alvast zijn meldprocedures op orde heeft, is straks niet alleen compliant, maar kan ook sneller reageren en de schade beperken als het misgaat.