Meldplicht onder de Cyberbeveiligingswet

De Cbw verplicht organisaties die binnen het toepassingsbereik van de wet vallen om significante incidenten te melden bij zowel het sectorale Computer Security Incident Response Team (CSIRT) als de bevoegde toezichthouder.

Significante incidenten zijn incidenten die een ernstige operationele verstoring van de diensten of financiële verliezen voor de betrokken organisatie veroorzaken of kunnen veroorzaken, dan wel kunnen leiden tot aanzienlijke materiële of immateriële schade bij andere personen of organisaties. De concrete drempelwaarden voor de kwalificatie als significant incident zijn uitgewerkt in de desbetreffende ministeriële regelingen. Een overzicht van de ministeriële regelingen kunt u vinden in ons overzichtsartikel.

Voor dergelijke significante incidenten geldt een gefaseerde meldprocedure. Het doel hiervan is om de bevoegde autoriteiten en het CSIRT in staat te stellen snel te kunnen reageren op significante incidenten indien nodig, terwijl de getroffen entiteit de ruimte krijgt om het onderzoek af te ronden en de volledige bevindingen op een later moment aan te leveren. Een organisatie moet onverwijld, maar uiterlijk binnen 24 uur nadat zij kennis heeft gekregen van een significant incident, een vroegtijdige waarschuwing indienen. Vervolgens moet onverwijld, maar uiterlijk binnen 72 uur na kennisneming van het incident, een uitgebreidere incidentmelding worden gedaan. Het sectorale CSIRT of de toezichthouder kan tussentijds om updates verzoeken. Binnen één maand na de eerste melding moet een eindrapport worden ingediend. Als het incident nog loopt volstaat een voortgangsverslag en volgt het eindrapport later.

Voor organisaties die tevens onder de Digital Operational Resilience Act (DORA) of de Netcode cybersecurity voor elektriciteit vallen, geldt een verkorte termijn van vier uur voor de vroegtijdige waarschuwing. Voor aanbieders van vertrouwensdiensten geldt dat zij binnen 24 uur de incidentmelding moeten doen in plaats van 72 uur.

Om aan de meldplicht te kunnen voldoen, moet een organisatie allereerst vaststellen of zij als essentiële of belangrijke entiteit kwalificeert en welke sectorspecifieke ministeriële regeling op haar van toepassing is. Vervolgens is het van belang om tijdig, mede vanuit de rol van bedrijfsjurist, in kaart te brengen binnen welke bedrijfsprocessen zich incidenten kunnen voordoen die mogelijk als significant kwalificeren. Als deze analyse pas wordt uitgevoerd nadat zich een incident heeft voorgedaan, kan kostbare tijd verloren gaan en bestaat het risico dat de meldtermijnen niet worden gehaald. 

Zodra zich een incident voordoet, moet de organisatie de aard, duur en gevolgen daarvan direct in kaart brengen en blijven monitoren. Als duidelijk wordt dat sprake is van een significant incident, moet de meldprocedure volgens de Cbw worden gestart.

De melding kan worden gedaan via het centrale meldpunt op mijn.ncsc.nl of het formulier op de website van de NCSC. In de melding worden algemene gegevens, zoals de datum en het tijdstip van het incident, en incident specifieke gegevens, zoals het type incident, de oorzaak en de impact, uitgevraagd. Ook moeten de gegevens van een contactpersoon worden verstrekt.

Een verplichte melding van een significant incident wordt automatisch doorgeleid naar het toepasselijke sectorale CSIRT en de bevoegde toezichthouder. Na een verplichte melding heeft de organisatie recht op ondersteuning van het sectorale CSIRT bij de afhandeling van het incident. Vrijwillige meldingen voor niet-significante incidenten of bijna-incidenten worden uitsluitend naar het sectorale CSIRT gestuurd en niet gedeeld met de toezichthouder.

Stappenplan voor het melden van een significant cyberincident

1. Breng bij een incident direct de aard, duur en (mogelijke) gevolgen daarvan in kaart.
2. Beoordeel of sprake is van een significant incident.
3. Indien sprake is van een significant incident: dien binnen 24 uur na kennisneming een vroegtijdige waarschuwing in via het centrale meldpunt van het NCSC, of binnen 4 uur als uw organisaties tevens onder DORA of de Netcode cybersecurity voor elektriciteit valt.
4. Verricht nader onderzoek naar de aard, oorzaak en gevolgen van het incident.
5. Dien binnen 72 uur een incidentmelding in met een eerste beoordeling van de ernst en impact, of binnen 24 uur als u een aanbieder van vertrouwensdiensten bent.
6. Blijf het incident monitoren en volg de ontwikkeling en impact van het incident.
7. Dien binnen één maand een eindrapport in, of een voortgangsverslag als het incident nog niet is afgerond.

Een voorbeeld van een concrete drempel voor een meldplichtig incident op basis van een ministeriële regeling is de volgende: een cyberaanval die de operationele systemen van een spoorwegonderneming stillegt, waardoor gedurende meer dan vier uur treinen uitvallen en ten minste 100.000 reizigers worden getroffen. Als aan deze drempelwaardes wordt voldaan kan een dergelijke verstoring op grond van de toepasselijke sectorspecifieke criteria kwalificeren als een significant incident. De onderneming moet dan de gefaseerde meldprocedure onder de Cbw starten, ook als bij de eerste waarschuwing nog niet vaststaat welke dreigingsactor verantwoordelijk is of hoelang volledig herstel zal duren.

Om aan de meldplicht te kunnen voldoen, is het in de praktijk van belang het tijdstip van kennisneming vast te leggen en de omvang en duur van de uitval te monitoren. Ook moet alle beschikbare informatie over de oorzaak, impact en genomen beheersmaatregelen worden verzameld. Tegelijkertijd moet worden beoordeeld of persoonsgegevens zijn geraakt en of de verstoring aanvullende meld- of informatieverplichtingen met zich meebrengt.

De Wet weerbaarheid kritieke entiteiten (Wwke), die de Europese CER-richtlijn implementeert, is eveneens op 15 augustus 2026 in werking getreden. Een organisatie die als kritieke entiteit onder de Wwke is aangewezen, kwalificeert automatisch als essentiële entiteit in de zin van de Cbw. De Wwke kent daarnaast een eigen meldplicht voor incidenten die leiden tot een aanzienlijke verstoring. Voor kritieke entiteiten kan daardoor de verplichting bestaan om een incident te melden op grond van zowel de Cbw als de Wwke. 

De inhoudelijke vereisten van de Wwke-melding overlappen grotendeels met die van de Cbw, zij het dat de Wwke op onderdelen minder gedetailleerd is.

Met de komst van de Cbw zijn de eisen aan cyberveiligheid voor veel organisaties aanzienlijk aangescherpt. De meldplicht kent korte termijnen: een eerste waarschuwing binnen 24 uur, een uitgebreidere melding binnen 72 uur en een eindrapport binnen één maand. Organisaties moeten zich daarom hierop voorbereiden en beschikken over duidelijke incidentresponsprocessen en interne escalatieprocedures. Organisaties die ook onder de Wwke vallen, kunnen daarnaast te maken krijgen met een tweede meldplicht. Deze verplichtingen overlappen deels, maar zijn niet volledig hetzelfde. Wij adviseren organisaties daarom om hun incidentresponseplannen tijdig te toetsen aan de nieuwe regels en intern duidelijk vast te leggen wie waarvoor verantwoordelijk is. Zo kan bij een incident snel en adequaat worden gehandeld.

Wilt u meer weten of van gedachten wisselen over de Cbw of over de toepassing daarvan binnen uw organisatie? Neem dan contact met ons op, wij gaan graag met u in gesprek.