Van alle zorgplichtmaatregelen is dit degene met een klok erin. Wie hem voor het eerst leest tijdens een incident, is al te laat.
Welke termijnen gelden er?
De wet kent voor meldingsplichtige organisaties drie stappen: een eerste vroegtijdige waarschuwing binnen 24 uur na het ontdekken van een significant incident, een vollediger melding binnen 72 uur, en een eindrapport binnen een maand. De eerste melding mag summier zijn; het gaat erom dát er gemeld wordt.
U valt als toeleverancier waarschijnlijk niet zelf onder die wettelijke meldplicht. Maar uw klant wel, en die kan zijn eigen 24 uur alleen halen als ú snel meldt. Daarom staat er in steeds meer contracten een meldtermijn voor leveranciers, vaak dezelfde 24 uur.
Wat moet er in een incidentprocedure staan?
Wie belt wie, wie mag besluiten systemen af te sluiten, wie informeert klanten, en in welke volgorde. Met namen en telefoonnummers, niet met functietitels alleen. Print de procedure ook uit: bij een ransomware-aanval is uw eigen netwerk, inclusief het document met de procedure, vaak het eerste dat onbereikbaar is.
Houd daarnaast een sjabloonmelding klaar: welke klantcontacten krijgen bericht, en welke drie zinnen stuurt u in het eerste uur. Dat voorkomt dat de formulering belangrijker wordt dan de snelheid.
Moeten medewerkers incidenten intern kunnen melden?
Ja, en dit is in de praktijk de zwakste schakel. Een medewerker die op een phishinglink heeft geklikt, moet binnen een minuut weten wie hij belt, en zich veilig genoeg voelen om dat te doen. Eén duidelijk meldpunt, regelmatig herhaald, en de afspraak dat melden nooit wordt afgestraft: dat is het hele recept.
Moet ik incidenten registreren?
Ja, ook de kleine. Een auditor vraagt om uw incidentregister; een leeg register is verdacht en geen register is een bevinding. Datum, wat er gebeurde, wat u deed en wat u daarna hebt aangepast is genoeg. Het register is bovendien uw eigen leercurve op papier.
Wanneer is een incident groot genoeg om te melden?
De wet spreekt van een significant incident, en geeft daar twee kenmerken bij: het veroorzaakt ernstige verstoring van de dienstverlening of financiële verliezen, of het raakt anderen door aanzienlijke materiële of immateriële schade. Een besmette laptop die u binnen een uur schoonveegt, is dat niet. Een uitval van een dienst waar uw klant op draait, of een aanvaller die klantgegevens heeft kunnen inzien, wel.
Voor u als toeleverancier is de vraag praktischer: wat heeft mijn klant contractueel afgesproken? Meestal staat er een ruimere formulering in het contract dan in de wet, in de trant van elk incident dat de geleverde dienst of de gegevens van de klant raakt. Bij twijfel meldt u; een melding die achteraf overbodig blijkt kost u een telefoontje, een gemiste melding kost u het contract.
Wat spreek ik af met mijn ICT-leverancier?
Dat is de schakel waar de klok stukgaat. Bij de meeste toeleveranciers zit de kennis van de systemen bij een externe beheerpartij, en die is buiten kantooruren niet vanzelf bereikbaar. Leg daarom vast binnen hoeveel tijd zij reageren bij een beveiligingsincident, wie zij bellen, en dat zij ú informeren en niet alleen het probleem oplossen.
Zonder die afspraak ontdekt u bij het eerste incident dat uw meldtermijn van 24 uur begint te lopen op het moment dat uw leverancier nog in de wachtrij staat. Dezelfde redenering geldt breder voor uw eigen leveranciers.
Moet ik een datalek ook bij de privacytoezichthouder melden?
Dat staat er los van, en het is de fout die het vaakst gemaakt wordt. Zijn er persoonsgegevens geraakt, dan loopt daarnaast de meldplicht uit de AVG: binnen 72 uur bij de Autoriteit Persoonsgegevens, en de betrokkenen zelf informeren als het waarschijnlijk een hoog risico voor hen oplevert.
Eén incident kan dus twee meldingen opleveren, met verschillende termijnen, verschillende ontvangers en verschillende drempels. Zet ze daarom naast elkaar in dezelfde procedure, met per melding wie hem doet en waar het formulier staat. Wie dat pas tijdens het incident uitzoekt, verliest de uren die hij het hardst nodig heeft. Hoe dit samenhangt met uw bredere beleid, staat bij risicoanalyse en beveiligingsbeleid.
Het volledige overzicht van de andere negen onderwerpen staat in de tien zorgplichtmaatregelen.