Je klant heeft 24 uur om een incident te melden. Hoeveel daarvan zijn voor jou?

Stel, een beheerdersaccount van je bedrijf wordt gekaapt. Maandagochtend ziet een collega een inlog vanaf een adres dat niemand herkent. Met dat account kom je in de systemen van een klant. Die klant valt onder de Cyberbeveiligingswet, jij niet. Toch is zijn klok nu jouw zorg, want die loopt pas vanaf het moment dat hij het weet, en hij weet het pas als jij belt.

De drie meldmomenten van je klant

Bij een significant incident heeft je klant drie termijnen. Binnen 24 uur een vroegtijdige waarschuwing, binnen 72 uur een melding met een eerste beoordeling, en binnen een maand een eindverslag. Hoe dat loopt staat in registreren voor de Cyberbeveiligingswet. Voor dit stuk telt één ding: waar die 24 uur beginnen.

“De termijnen tellen vanaf het moment dat je kennis krijgt van het incident. Meld altijd zo snel mogelijk.”

NCSC, Meld incidenten onder de Cyberbeveiligingswet

Kennisname dus. Niet het moment waarop het misging, en niet het moment waarop het onderzoek klaar is. Gaat het bij jou mis, dan weet je klant niets tot jij belt. Dat klinkt als rust voor jou, maar je klant leest het andersom. Hij moet de beveiliging van zijn keten beheersen en kunnen laten zien welke afspraken hij daarover met jou heeft. Een leverancier die een incident een dag laat liggen, is precies wat hij niet kan uitleggen. Daarom zet hij de klok in het contract op het moment waarop jij iets merkt.

Waarom hij er zo'n haast mee heeft

Er is nog een tweede reden, en die staat in artikel 30.

“De entiteit stelt in voorkomend geval onverwijld de ontvangers van haar diensten in kennis van significante incidenten die een nadelige invloed kunnen hebben op de verlening van die diensten.”

Artikel 30, eerste lid Cbw

Zijn melding gaat dus twee kanten op: naar de toezichthouder en naar zijn eigen klanten. Waarom je opdrachtgever om bewijs vraagt legt uit hoe dat zijn vragenlijst bepaalt. Hier telt alleen het gevolg: elk uur dat jij wacht, werken zijn klanten door op een systeem waar iemand anders in zit.

Wat er in je eerste bericht hoort

Je klant hoeft binnen 24 uur geen volledig beeld te hebben. De vroegtijdige waarschuwing vraagt drie dingen: of het incident vermoedelijk kwaadwillig is, of er gevolgen over de grens kunnen zijn, en wie zijn contactpersoon is. Jouw eerste bericht hoeft dus ook niet meer te bevatten dan wat hij nodig heeft om die stap te zetten.

• Wat je hebt gezien, en wanneer. In het voorbeeld: een inlog op een beheerdersaccount, maandag 08:40, vanaf een onbekend adres.
• Welke systemen of gegevens van de klant erbij kunnen zitten. Kunnen is genoeg, zekerheid komt later.
• Of het op kwaadwilligheid lijkt. Bij een gekaapt account is dat vrijwel altijd zo.
• Wat je al hebt gedaan. Account geblokkeerd, wachtwoorden vernieuwd, sessies beëindigd.
• Wie bij jou het aanspreekpunt is, met een telefoonnummer en een kanaal dat werkt als e-mail plat ligt.
• Wanneer hij het volgende bericht krijgt.

Zes regels, in een mail en met een telefoontje erachteraan. Je onderzoek loopt door terwijl hij zijn melding doet.

Wat je beter niet doet

• Wachten tot het onderzoek klaar is. Een bericht zonder alle antwoorden is normaal; de melding van 72 uur en het eindverslag zijn er voor de aanvulling.
• Zelf melden bij het NCSC namens je klant. De meldplicht is van hem, en hij meldt via MijnNCSC. Jij meldt aan hem.
• Een termijn toezeggen die je niet haalt. Twee uur klinkt goed in een contract, tot het zondagnacht is en de enige beheerder op vakantie.

Over de termijn zelf

Veel opdrachtgevers vragen een doormeldtermijn van 12 tot 24 uur, vastgelegd in het contract of in je incidentprocedure. Dat is een afspraak, geen wet. De Cyberbeveiligingswet legt jou niets op; je klant stelt de eis omdat hij zijn eigen keten moet kunnen verantwoorden. Je mag dus vragen waarom vier uur nodig is als er bij jou 's nachts niemand meekijkt, en je mag een termijn voorstellen die je wel haalt. Wat mag je opdrachtgever van je eisen? zet die grens uiteen. Een termijn die je haalt is voor hem meer waard dan een scherpe die je mist.

Wat je vastlegt

Het antwoord op de vraag in de kop: van die 24 uur is voor jou het deel dat je afspreekt, en dat deel ligt vast voordat er iets gebeurt. Wie bij jou beoordeelt, wie beslist, wie belt, binnen hoeveel uur, en langs welk kanaal. Dat is de Incident- en meldprocedure, een van de negen documenten in het Ketendossier. Het hele pakket, met de leveranciersverklaring, kost eenmalig €595 excl. btw. De gratis scopecheck laat in een paar minuten zien of je klant onder de wet valt en wat hij daardoor van je vraagt.