Nu de NIS2 wet van kracht is, heb je namelijk (wanneer je als organisatie onder deze wet valt) in het geval van een cybercrime incident de plicht om dit te melden bij het centrale meldportaal MijnNCSC.
We begrijpen dat dit een aantal vragen oproept, vandaar dat we kort antwoord geven op de 5 belangrijkste vragen.
1. Wanneer is een incident meldingsplichtig?
Ieder type bedrijf heeft andere meldcriteria, deze verschillen namelijk per sector. Wat deze zijn voor jouw bedrijf kun je vinden op de website van het Nationaal Cyber Security Centrum (NCSC). Als belangrijkste handvat, die voor iedereen geldt, is dat wanneer het incident (zoals een hack) je dienstverlening ernstig stoort, het financiële schade veroorzaakt of wanneer andere partijen dan jijzelf er schade aan lijden, je het moet melden bij het NCSC.
2. Wie binnen het bedrijf moet handelen?
Als het goed is, is er binnen jouw organisatie iemand aangewezen als de verantwoordelijke voor cybersecurity. Deze persoon is verantwoordelijk voor de coördinatie, in samenwerking met IT en de directie.
3. Waar moet je het incident melden?
Hier is door het NCSC een speciaal centraal meldpunt voor ingericht, op MijnNCSC (zie de link onder dit bericht). Met één melding bereik je in één keer je sectorale CSIRT en de toezichthouder.
4. Hoe snel moet je reageren?
Bij een ‘significant incident’ geldt dat je binnen 24 uur een eerste waarschuwing moet hebben afgegeven, binnen 72 uur moet je een melding hebben gedaan, en binnen een maand lever je een eindverslag aan over de situatie.
5. Wat moet je vooraf geregeld hebben?
Iedere organisatie die onder de wet valt moet een incidentplan hebben opgesteld met duidelijke verantwoordelijkheden, contactpersonen en procedures daarin beschreven. Zo kun je snel handelen in geval van een cyberaanval, en beperk je hopelijk de schade.
Meer informatie vind je hier op de website van het NCSC.
