De meldplicht: 24 uur, 72 uur en een maand
Drie momenten, en geen ervan is de meldplicht binnen 24 uur waar meestal naar wordt verwezen.
Drie stappen, geen een
Bij een significant incident meldt u drie keer. Binnen 24 uur een vroege waarschuwing: er is iets ernstigs, mogelijk kwaadwillig, mogelijk met gevolgen over de grens. Meer hoeft er dan nog niet in te staan, want u weet op dat moment vaak zelf nog niet wat er aan de hand is.
Binnen 72 uur volgt de eigenlijke melding: de ernst, de gevolgen en de aanwijzingen die u hebt over hoe het is gebeurd. En binnen een maand het eindrapport: wat het was, wat de oorzaak was, wat u eraan gedaan hebt en wat de gevolgen over de grens waren.
Wanneer is een incident significant?
Als het ernstige verstoring van uw dienst veroorzaakt of financiele verliezen, of als het aanzienlijke schade bij anderen kan veroorzaken. Dat is bewust ruim geformuleerd. In de praktijk is de vuistregel: als u het intern een crisis noemt, is het significant.
De termijn loopt vanaf het moment dat u zich bewust wordt van het incident, niet vanaf het moment dat het begon. Dat verschil kan dagen schelen, en het is de reden dat vastleggen wanneer u iets merkte ertoe doet.
Bij wie u meldt
Bij het CSIRT of de bevoegde autoriteit van uw land. Elk land heeft zijn eigen portaal en zijn eigen inlogmiddel.
Dat inlogmiddel is precies de reden dat wij nooit namens u melden. Wij houden de tekst klaar, met de gegevens uit uw dossier ingevuld, en u dient hem zelf in. Dat is geen beperking maar een keuze: uw toegang tot uw toezichthouder hoort niet bij een leverancier te liggen.
Veelgestelde vragen
Wat als ik te laat meld?
Te laat melden is zelf een overtreding. Bij twijfel is een vroege waarschuwing die achteraf overbodig blijkt goedkoper dan een melding die te laat komt: de eerste stap kost tien minuten.
Moet ik ook mijn klanten informeren?
Als het incident hun dienstverlening raakt kan de toezichthouder u daartoe verplichten. Los daarvan geldt de AVG apart: gaat het om persoonsgegevens, dan loopt er ook een meldplicht naar de Autoriteit Persoonsgegevens.
Geldt dit ook als ik via de keten geraakt word?
Nee. De meldplicht geldt alleen voor organisaties die zelf onder de wet vallen. Uw contract met een plichtige klant kan wel een eigen meldafspraak bevatten.
Dit is uitleg, geen advies over uw eigen situatie. secria.eu beoordeelt uw organisatie niet en geeft geen assurance.