Binnen hoeveel uur moet ik een incident melden aan mijn opdrachtgever?

Dat staat in je contract, niet in de wet. In de praktijk is 24 uur de gangbare afspraak, omdat je opdrachtgever zelf 24 uur heeft voor zijn eerste melding aan de toezichthouder. Spreek een termijn af die je ook 's nachts en in het weekend waar kunt maken.

Wat telt als een beveiligingsincident?

Alles waarbij gegevens of systemen buiten je controle raken of onbruikbaar worden. Een gijzeling, een gehackte mailbox, een gestolen laptop, een leverancier die gehackt is en bij jouw gegevens kon. Een phishingmail die iemand herkende en weggooide, telt niet.

Moet ik een incident zelf melden bij het NCSC of de RDI?

Als leverancier meestal niet: die meldplicht ligt bij de organisatie die zelf onder de Cyberbeveiligingswet valt. Jouw taak is je opdrachtgever op tijd inlichten, zodat hij zijn eigen termijn haalt. Ga bij twijfel na wat er in het contract staat.

Hoe lang mag een meldprocedure zijn?

Een A4. Wie beoordeelt, wie beslist, wie belt, binnen hoeveel uur, en wat je niet meldt. Een procedure van veertien pagina's wordt niet gelezen op het moment dat je hem nodig hebt.

Wat als het aanspreekpunt op vakantie is?

Daarom staat er altijd een vervanger bij. Noem twee namen met telefoonnummers, en zorg dat allebei weten dat ze er staan. Een naam op een A4 is een procedure met een enkel storingspunt.

Maatregel 2 van 10

Een meldprocedure die om half elf 's avonds werkt

Dit is het punt waar je opdrachtgever direct last van heeft. Hij heeft zelf 24 uur voor zijn eerste melding aan de toezichthouder. Die klok begint te lopen als het bij jou misgaat, niet als hij het toevallig hoort.

De meeste kleine bedrijven hebben hier niets van op papier. Dat is niet erg zolang er niets gebeurt. Het probleem is dat het moment waarop je het nodig hebt, precies het moment is waarop niemand helder nadenkt.

Wat je maakt is een A4. Geen procedure van veertien pagina's, want die leest niemand om half elf 's avonds.

artikel 21, derde lid, onderdeel b CbwRicht incidentrespons in

De meldwerkwijze vastleggen

Zet op een vel: wie beoordeelt of er iets aan de hand is, wie beslist wat er gebeurt, wie de opdrachtgever belt, en binnen hoeveel uur dat gebeurt. Dat zijn vier regels.

Kies een termijn die je waar kunt maken. 24 uur is gebruikelijk omdat het aansluit op wat je opdrachtgever zelf moet halen. Beloof geen vier uur als je 's nachts niemand bereikt.

Zet er ook in wat je NIET meldt. Een phishingmail die iemand herkende en weggooide, is geen incident. Zonder die grens meldt niemand iets, of meldt iedereen alles.

Hang het op waar het te vinden is als de mail eruit ligt. Op papier in de kantine, of als foto op de telefoon van de vaste mensen. Een procedure die alleen in SharePoint staat, is weg op het moment dat SharePoint weg is.

01Schrijf vier regels: beoordelen, beslissen, bellen, binnen hoeveel uur.
02Noteer de grens: wat is wel een incident en wat niet.
03Zet het telefoonnummer van je opdrachtgever en van je IT-partner erbij.
04Print het en hang het op. Geef de vaste mensen een foto op hun telefoon.
05Zet de datum en je naam eronder.

Wat je opdrachtgever hierover kan vragen: Een inkoper vraagt: binnen hoeveel uur hoor ik het van jullie, en van wie. Als je daar een zin op kunt antwoorden, ben je klaar.

Het aanspreekpunt bij incidenten benoemen

Een werkwijze zonder naam erbij is niet uit te voeren. "De directie beslist" helpt niemand als de directie op vakantie is.

Noem een persoon en een vervanger, met naam, functie en telefoonnummer. In een bedrijf van twaalf man is dat vaak de directeur zelf en de bedrijfsleider. Dat is prima; het gaat erom dat het opgeschreven staat.

Zet ook de externe partij erbij die je belt: je IT-leverancier, en het nummer waar je die buiten kantooruren bereikt. Bestaat dat nummer niet, dan weet je dat nu en niet straks.

01Kies een persoon en een vervanger.
02Noteer naam, functie en mobiel nummer van allebei.
03Zoek op welk nummer je je IT-partner buiten kantooruren bereikt, en test het een keer.
04Vertel het de mensen. Een aanspreekpunt dat niemand kent, is er niet.

Afspreken binnen hoeveel uur je je opdrachtgever belt

Je opdrachtgever heeft zelf 24 uur voor zijn eerste waarschuwing aan de toezichthouder. Die klok begint bij jou, niet bij hem. Meld je na 24 uur, dan is zijn termijn al op als hij het hoort.

Kies daarom een termijn die daar ruimte in laat. 12 uur is een gangbare afspraak: genoeg om eerst te kijken wat er aan de hand is, en vroeg genoeg dat je opdrachtgever nog kan handelen.

Beloof geen vier uur als je 's nachts niemand bereikt. Een termijn die je niet haalt, is bij het eerste incident meteen een gebroken afspraak, en dat weegt zwaarder dan een ruimere termijn die klopt.

Zet de termijn op je meldwerkwijze en noem hem in je leveranciersverklaring. Dan hoeft je opdrachtgever er niet naar te vragen.

01Kijk wat er in je contracten staat over melden. Vaak staat er niets.
02Kies een termijn die je ook in het weekend haalt: 4, 12 of 24 uur.
03Zet hem op je meldwerkwijze, met de datum erbij.
04Laat het je opdrachtgevers weten in een mail van drie regels.

Wat je opdrachtgever hierover kan vragen: Een inkoper vraagt: binnen hoeveel uur hoor ik het van jullie. Een getal is het antwoord, geen "zo snel mogelijk".

Bereikbaar zijn buiten kantooruren

Incidenten kiezen geen kantooruren. Een gijzeling begint vaak op vrijdagavond, juist omdat er dan niemand kijkt.

Je hoeft geen ploegendienst op te tuigen. Wat nodig is: een mobiel nummer waar iemand opneemt, bij twee mensen bekend, en dat je opdrachtgever heeft.

Spreek met je IT-partner af hoe je hem buiten kantooruren bereikt, en bel dat nummer een keer om te zien of het werkt. Een nummer dat in het contract staat en nergens uitkomt, ontdek je liever nu.

Kun je het niet regelen, zet het dan op je plan van aanpak en zeg het eerlijk. Een opdrachtgever die weet dat hij tot maandag wacht, kan daarop plannen. Een opdrachtgever die het denkt te weten en het mis heeft, niet.

01Kies wie er buiten kantooruren opneemt, en wie zijn vervanger is.
02Geef die twee nummers aan je opdrachtgevers.
03Bel het avondnummer van je IT-partner een keer om te testen.
04Zet in je meldwerkwijze wat er gebeurt als niemand opneemt.

EN DAN

Dit regelen is één ding. Het aantonen is een ander.

Je opdrachtgever vraagt niet of je het hebt geregeld. Hij vraagt of je het kunt laten zien, want hij moet het zelf vastleggen. De gratis check laat zien waar het bij jou openstaat. Twee minuten, geen betaalgegevens.

Doe de gratis check Alle tien de maatregelen

Vragen en antwoorden

Binnen hoeveel uur moet ik een incident melden aan mijn opdrachtgever?: Dat staat in je contract, niet in de wet. In de praktijk is 24 uur de gangbare afspraak, omdat je opdrachtgever zelf 24 uur heeft voor zijn eerste melding aan de toezichthouder. Spreek een termijn af die je ook 's nachts en in het weekend waar kunt maken.
Wat telt als een beveiligingsincident?: Alles waarbij gegevens of systemen buiten je controle raken of onbruikbaar worden. Een gijzeling, een gehackte mailbox, een gestolen laptop, een leverancier die gehackt is en bij jouw gegevens kon. Een phishingmail die iemand herkende en weggooide, telt niet.
Moet ik een incident zelf melden bij het NCSC of de RDI?: Als leverancier meestal niet: die meldplicht ligt bij de organisatie die zelf onder de Cyberbeveiligingswet valt. Jouw taak is je opdrachtgever op tijd inlichten, zodat hij zijn eigen termijn haalt. Ga bij twijfel na wat er in het contract staat.
Hoe lang mag een meldprocedure zijn?: Een A4. Wie beoordeelt, wie beslist, wie belt, binnen hoeveel uur, en wat je niet meldt. Een procedure van veertien pagina's wordt niet gelezen op het moment dat je hem nodig hebt.
Wat als het aanspreekpunt op vakantie is?: Daarom staat er altijd een vervanger bij. Noem twee namen met telefoonnummers, en zorg dat allebei weten dat ze er staan. Een naam op een A4 is een procedure met een enkel storingspunt.