Hoe werkt de 24-uursmelding bij een cyberincident?

Organisaties onder de Cyberbeveiligingswet moeten een ernstig incident binnen 24 uur melden bij het CSIRT, met een vervolgmelding binnen 72 uur en een eindrapport binnen een maand. Die termijn leggen zij contractueel door aan hun leveranciers. Binnen 24 uur melden lukt alleen als vooraf vaststaat wie meldt, aan wie, en met welke informatie; de procedure schrijft u dus vóór het incident, niet tijdens.

Van alle zorgplichtmaatregelen is dit degene met een klok erin. Wie hem voor het eerst leest tijdens een incident, is al te laat.

Welke termijnen gelden er?

De wet kent voor meldingsplichtige organisaties drie stappen: een eerste vroegtijdige waarschuwing binnen 24 uur na het ontdekken van een significant incident, een vollediger melding binnen 72 uur, en een eindrapport binnen een maand. De eerste melding mag summier zijn; het gaat erom dát er gemeld wordt.

U valt als toeleverancier waarschijnlijk niet zelf onder die wettelijke meldplicht. Maar uw klant wel, en die kan zijn eigen 24 uur alleen halen als ú snel meldt. Daarom staat er in steeds meer contracten een meldtermijn voor leveranciers, vaak dezelfde 24 uur.

Wat moet er in een incidentprocedure staan?

Wie belt wie, wie mag besluiten systemen af te sluiten, wie informeert klanten, en in welke volgorde. Met namen en telefoonnummers, niet met functietitels alleen. Print de procedure ook uit: bij een ransomware-aanval is uw eigen netwerk, inclusief het document met de procedure, vaak het eerste dat onbereikbaar is.

Houd daarnaast een sjabloonmelding klaar: welke klantcontacten krijgen bericht, en welke drie zinnen stuurt u in het eerste uur. Dat voorkomt dat de formulering belangrijker wordt dan de snelheid.

Moeten medewerkers incidenten intern kunnen melden?

Ja, en dit is in de praktijk de zwakste schakel. Een medewerker die op een phishinglink heeft geklikt, moet binnen een minuut weten wie hij belt, en zich veilig genoeg voelen om dat te doen. Eén duidelijk meldpunt, regelmatig herhaald, en de afspraak dat melden nooit wordt afgestraft: dat is het hele recept.

Moet ik incidenten registreren?

Ja, ook de kleine. Een auditor vraagt om uw incidentregister; een leeg register is verdacht en geen register is een bevinding. Datum, wat er gebeurde, wat u deed en wat u daarna hebt aangepast is genoeg. Het register is bovendien uw eigen leercurve op papier.

Hoe de andere negen onderwerpen ervoor staan, ziet u met de gratis scan; het volledige overzicht staat in de tien zorgplichtmaatregelen.