NIS2-meldplicht: zo meld je een incident binnen 24 uur

Ransomware op drie servers, e-mail ligt plat, klantdata mogelijk geraakt. Je IT-partner werkt aan de technische respons. Maar als je organisatie onder de NIS2-wet valt, heb je er nog een taak bij: melden bij het CCB. Binnen 24 uur.

In het eerste jaar van de NIS2-wet werden 279 incidenten gemeld bij het CCB, waarvan 70 als significant. Het CCB heeft tot nu toe nul sanctieprocedures gestart. De aanpak is begeleidend, niet bestraffend. Maar de meldplicht zelf is dat wel: verplicht.

Wanneer moet je melden?

De NIS2-wet spreekt over significante incidenten. Een incident is significant als het twee dingen combineert: het raakt je dienstverlening in een NIS2-sector, en het veroorzaakt of kan veroorzaken ernstige operationele verstoring, financiële verliezen, of schade voor derden.

Drie scenario's om het concreet te maken:

• Wel melden: ransomware versleutelt je productieservers. Je levert niet meer aan klanten. Significant.
• Waarschijnlijk melden: een aanvaller heeft toegang gehad tot je netwerk. Geen directe schade zichtbaar, maar klantgegevens waren bereikbaar. Het woord "kan veroorzaken" maakt dit meldplichtig.
• Niet melden: een phishing-mail die niemand opent. Een poortscan op je firewall. Geen impact, geen meldplicht.

Het grijze gebied zit bij dat "kan veroorzaken". De fout die veel organisaties maken: ze wachten tot de schade bewezen is. Maar de wet vereist melden bij redelijk vermoeden van mogelijke impact.

De meldtijdlijn: vier fasen

Melden is geen eenmalige actie. Het loopt parallel aan je technische incidentrespons.

Fase 1: Vroegtijdige waarschuwing (binnen 24 uur)

De klok tikt vanaf het moment dat je organisatie kennis heeft van het incident. Deze eerste melding is bewust kort. Je hoeft nog niet alles te weten. Drie dingen:

• Dat er een significant incident is
• Of het vermoedelijk kwaadwillig is veroorzaakt
• Of het grensoverschrijdende impact kan hebben

Vijf minuten invullen op het platform. Dat is het. Het CCB wil liever een korte melding op tijd dan een uitgebreide melding te laat.

Fase 2: Incidentmelding (binnen 72 uur)

Nu geef je een uitgebreidere beoordeling: aard van het incident, ernst, impact, genomen maatregelen. Voeg indicatoren van compromittering toe als je die hebt (IP-adressen, malware-hashes, verdachte domeinen).

Verleners van vertrouwensdiensten (certificaatdienstverleners, e-ID) hebben een kortere termijn: 24 uur in plaats van 72.

Fase 3: Tussentijds verslag (op verzoek)

Het CCB of je sectorale toezichthouder kan om een update vragen. Gebeurt vooral bij incidenten met brede impact.

Fase 4: Eindverslag (binnen één maand)

Uiterlijk één maand na je incidentmelding: gedetailleerd eindverslag met de oorzaak (root cause), volledige impact en genomen herstelmaatregelen. Is het incident nog niet afgerond? Dan lever je een voortgangsverslag en volgt het eindverslag later.

Hoe meld je via het notificatieplatform?

Alle NIS2-meldingen verlopen via notif.safeonweb.be. Het platform is beschikbaar in het Nederlands, Frans en Engels. Het formulier leidt je door de vereiste velden per fase.

Je hebt een account nodig dat gekoppeld is aan je NIS2-registratie op atwork.safeonweb.be. Dit is de meestgemaakte fout: organisaties die pas tijdens een incident ontdekken dat ze geen werkend account hebben. Regel dit vandaag, niet tijdens een crisis.

Is het platform onbereikbaar? Bel het CCB op +32 (0)2 501 05 60. Dit nummer is uitsluitend voor NIS2-entiteiten bij urgente incidenten.

NIS2 en AVG: dubbele meldplicht

Zijn er persoonsgegevens betrokken? Dan geldt naast de NIS2-meldplicht ook de AVG-meldplicht. Twee wetten, twee toezichthouders, twee meldingen.

Aspect	NIS2	AVG
Toezichthouder	CCB	GBA (Gegevensbeschermingsautoriteit)
Termijn eerste melding	24 uur	72 uur
Wat melden	Significant incident (operationeel)	Datalek met risico voor betrokkenen
Meldplatform	notif.safeonweb.be	GBA meldformulier
Eindverslag	Binnen 1 maand	Niet verplicht

De NIS2-klok tikt sneller. In de praktijk meld je eerst bij het CCB (24 uur), daarna bij de GBA (72 uur). Bij een ransomware-aanval met klantgegevens doe je beide. Meer over de brede meldprocedure inclusief CERT.be en politie.

Bereid je nu voor

Voorbereiding maakt het verschil tussen een gecontroleerde melding en paniek om 3 uur 's nachts.

Vooraf regelen:

• Registreer op atwork.safeonweb.be als NIS2-entiteit. De deadline was 18 maart 2025. Van de geschatte 4.000 organisaties in scope hebben er 2.410 zich geregistreerd. Zit jij erbij?
• Maak een account aan op notif.safeonweb.be en test of je kunt inloggen. Nu, niet straks.
• Wijs rollen toe. Wie beslist dat er gemeld wordt? Wie vult het formulier in? Wie informeert de directie? Schrijf het op.
• Ken je sectorale toezichthouder. Naast het CCB kan je sector een eigen toezichthouder hebben: BIPT voor telecom, FSMA voor financiële dienstverlening.

Tijdens het incident:

• Documenteer alles vanaf het eerste moment: tijdstippen, screenshots, logbestanden
• Meld binnen 24 uur via notif.safeonweb.be. Kort en feitelijk
• Werk parallel aan inperking en herstel
• Check of er persoonsgegevens betrokken zijn (dan ook GBA melden binnen 72 uur)

Dit artikel is informatief en geen juridisch advies. De NIS2-meldprocedures en criteria voor significante incidenten kunnen evolueren via koninklijke besluiten en CCB-guidance. Raadpleeg de officiële CCB-procedure of een gespecialiseerde jurist voor je specifieke situatie.