Cybersecurity incidenten melden begint met weten wat er is gebeurd

Wanneer een cyberincident zich voordoet, heeft een organisatie wel andere dingen aan haar hoofd dan meldtermijnen. De eerste prioriteit ligt bij het begrijpen van wat er gebeurt, het beperken van de schade en het vervolgens herstellen van de bedrijfsvoering. Toch ontstaat al snel druk vanuit juristen, toezichthouders, klanten of externe adviseurs: moeten we melden, aan wie, en binnen welke termijn?

Die vraag is begrijpelijk, maar onder de nieuwe EU data- en cyberwetgeving is zij te smal. In de afgelopen jaren is het Europese regelgevingskader voor incident response fors uitgebreid. Naast de Algemene Verordening Gegevensbescherming ("AVG") kennen we nu de Network and Information Security 2-richtlijn (Richtlijn (EU) 2022/2555; "NIS2"), de Digital Operational Resilience Act (Verordening (EU) 2022/2554; "DORA"), de Artificial Intelligence Act (Verordening (EU) 2024/1689; "AI Act") en de Cyber Resilience Act (Verordening (EU) 2024/2847; "CRA"). Elk regime hanteert een eigen definitie van een meldplichtig incident, een eigen meldtermijn, een eigen toezichthouder en een eigen kring van geadresseerden. De simpele "72-uursvraag" gaat ervan uit dat duidelijk is welk regime van toepassing is. In de eerste uren van een incident is dat zelden zo.