Significant incident under NIS 2
Twee kwalitatieve triggers, één verordening met cijfers voor bepaalde digitale aanbieders en een schriftelijk besluitenlogboek voor alle anderen.
Why the definition matters
Significance is what starts the whole reporting clock in Article 23 NIS 2: an early warning within 24 hours, an incident notification within 72 hours, a final report within one month. If the event is significant, the clock starts the moment you find out. If it is not, you owe the CSIRT and the competent authority nothing.
Article 23(3) NIS 2 only gives you two general phrases. Commission Implementing Regulation (EU) 2024/2690 (CIR) adds hard numbers, but only for a small group of digital providers (DNS, TLD, cloud, data centre, CDN, MSP, MSSP, marketplace, search, social network, trust services). For every other NIS 2 sector the test stays qualitative.
Most CISOs underestimate that gap. If you are in manufacturing, food, healthcare or waste management, there is no euro figure, no minute count, no user threshold. You have to decide, you have to decide fast, and you have to be able to explain why later.
NIS 2 Directive (EU) 2022/2555, Art. 23(3)
Een incident wordt als significant beschouwd als het: a) een ernstige operationele verstoring van de diensten of financiële verliezen voor de betrokken entiteit veroorzaakt of kan veroorzaken; b) andere natuurlijke of rechtspersonen heeft getroffen of kan treffen door aanzienlijke materiële of immateriële schade te veroorzaken.
This is the only general definition of a significant incident in EU law. Both points use 'capable of causing', so you have to weigh potential damage as well as actual damage. The text never quantifies severe, considerable, or material.
CIR (EU) 2024/2690, Art. 3
Een incident wordt voor de toepassing van artikel 23, lid 3, van Richtlijn (EU) 2022/2555 met betrekking tot de relevante entiteiten als significant beschouwd indien aan een of meer van de volgende criteria is voldaan: a) het incident heeft voor de relevante entiteit direct financieel verlies veroorzaakt of kan verlies veroorzaken dat hoger is dan 500 000 EUR of meer dan 5 % van de totale jaaromzet van de relevante entiteit in het voorgaande boekjaar, indien dat lager is; b) het incident heeft het uitlekken van bedrijfsgeheimen als bedoeld in artikel 2, punt 1, van Richtlijn (EU) 2016/943 van de relevante entiteit veroorzaakt of kan dit veroorzaken; c) het incident heeft de dood van een natuurlijke persoon veroorzaakt of kan dit veroorzaken; d) het incident heeft aanzienlijke schade aan de gezondheid van een natuurlijke persoon veroorzaakt of kan dit veroorzaken; e) er heeft een succesvolle, vermoedelijk kwaadwillige en ongeoorloofde toegang tot netwerk- en informatiesystemen plaatsgevonden, die ernstige operationele verstoringen kan veroorzaken; f) het incident voldoet aan de criteria van artikel 4; g) het incident voldoet aan een of meer van de criteria van de artikelen 5 tot en met 14.
Seven criteria (letters a through g): five substantive plus two cross-references. CIR Art. 1 says these numbers only apply to specific digital providers (DNS, TLD, cloud, data centre, CDN, MSP, MSSP, online marketplace, search engine, social platform, trust services). Articles 5 to 14 add per-sector availability floors for the same group. If your sector is not on that list, these numbers do not bind you and the qualitative test from Art. 23(3) is all you have.
§32 BSIG (Germany, example transposition)
Besonders wichtige Einrichtungen und wichtige Einrichtungen sind verpflichtet, folgende Informationen an eine vom Bundesamt und dem Bundesamt für Bevölkerungsschutz und Katastrophenhilfe eingerichtete gemeinsame Meldestelle zu melden: 1. unverzüglich, spätestens jedoch innerhalb von 24 Stunden nach Kenntniserlangung von einem erheblichen Sicherheitsvorfall, eine frühe Erstmeldung ...
Elke lidstaat moet art. 23 omzetten in nationaal recht. § 32 BSIG herhaalt de cascade en noemt als ontvanger een gemeenschappelijk meldpunt dat door het BSI en het Bundesamt für Bevölkerungsschutz und Katastrophenhilfe (BBK) is ingericht. Voor niet-digitale sectoren voegt het geen eigen cijfer toe. Het Oostenrijkse NISG 2026 geldt sinds 1 oktober 2026. Frankrijk en Nederland hadden hun omzetting in juli 2026 niet gemeld (de Commissie heeft hen daarom bij het Hof van Justitie van de EU gedaagd).
Seven criteria (letters a through g)
Five substantive triggers plus two cross-references. (a) EUR 500 000 or 5 percent of turnover (whichever is lower), (b) exfiltrated trade secrets, (c) a person killed, (d) serious harm to a person's health, (e) a successful malicious intrusion capable of severe disruption, (f) recurring incidents per Art. 4, (g) entity-specific thresholds per Arts. 5 to 14. Any one triggers significance for the digital providers in scope.
Recurring incidents
Small incidents stack. If the same root cause produces at least two incidents in six months, and together they cross the financial-loss line in Art. 3(1)(a), the CIR treats them as one significant incident. Counting each one separately is wrong.
DNS and TLD specifics
Voor DNS-dienstverleners (art. 5): naamresolutie langer dan 30 minuten volledig uitgevallen, gemiddelde responstijd boven 10 seconden gedurende meer dan een uur, of aangetaste gegevens (behalve bij een verkeerde configuratie die minder dan 1.000 domeinen en niet meer dan 1 procent ervan treft). TLD-naamregisters (art. 6): elke volledige uitval van gezaghebbende naamresolutie, responstijd boven 10 seconden gedurende een uur, of elke aantasting van TLD-gegevens. De artikelen 7 tot en met 14 stellen drempels voor cloud, datacenters, CDN's, aanbieders van beheerde diensten en beheerde beveiligingsdiensten, marktplaatsen, zoekmachines, sociale netwerken en vertrouwensdiensten.
Trigger A: severe operational disruption or financial loss for your entity
This is the inward-facing trigger. The directive gives you no euro figure, no duration, no percentage. Recital 101 names three things to look at: how much of the service is affected, how long the incident lasts, and how many users it hits. Use them to structure your thinking. Do not treat them as a checklist.
Trigger B: considerable material or non-material damage to third parties
This is the outward-facing trigger. Customers, citizens, downstream operators, your supply chain. Non-material damage includes harm to reputation and trust. A short outage that breaks a hospital workflow, leaks customer data, or pulls a city service offline can satisfy this trigger even if your own loss is small.
Ransomware shuts down production for two days
Operations stop. Trigger A of Art. 23(3) NIS 2 (severe operational disruption) is met. Early warning 24h, incident notification 72h, final report 1 month (Art. 23 NIS 2 / §32 BSIG).
Phishing email clicked, no password entered
Insluiting geslaagd, geen gevolgen voor diensten of derden. Vrijwillige melding op grond van art. 30 NIS 2 is mogelijk als u wilt delen en brengt geen extra verplichtingen met zich mee (art. 30, lid 2).
Cloud provider outage, your own service delayed
If your own service becomes significantly slower or stops, Trigger A is met. Also check Trigger B: do customers or downstream operators suffer? (Art. 23(3) NIS 2)
DDoS attack takes the customer portal offline for four hours
Significant interruption to customers. Both triggers in Art. 23(3) NIS 2 are potentially met. For DNS, cloud or trust-service providers, also check CIR Arts. 5 to 14.
Misconfiguration exposes customer data
GDPR Article 33: 72h to the supervisory authority. If a NIS 2 threshold is also crossed (Art. 23(3) NIS 2 or CIR Art. 3), additionally NIS 2 Article 23: 24h early warning to the CSIRT. Both clocks start at the moment of awareness.
Supplier breached, your own service affected
First check damage to your own entity or your customers. Not every supplier incident triggers your own notification duty. In parallel: document supplier oversight under Art. 21(2)(d) NIS 2.
Twijfelt u? De vroegtijdige waarschuwing kan worden bijgewerkt in de melding na 72 uur (art. 23, lid 4, onder b). Voor gebeurtenissen onder de drempel kunt u vrijwillig melden zonder extra verplichtingen op u te nemen (art. 30).
Article 30(1) NIS 2 permits voluntary notification of incidents, cyber threats and near-misses to the CSIRT. This applies to entities in scope of the directive and to entities outside it that wish to notify a significant event.
Artikel 30, lid 2 NIS 2 is de belangrijkste bescherming: vrijwillige melding leidt niet tot extra verplichtingen voor de meldende entiteit. Een grensgeval melden brengt geen risico op extra verplichtingen met zich mee. Dat neemt de voor de hand liggende uitvlucht weg om een onduidelijk incident niet te melden.
Article 23(2) NIS 2 adds a separate duty. Essential and important entities communicate, without undue delay, to their service recipients any measures or remedies they can take to mitigate the risks from a significant cyber threat. This is not the CSIRT notification; it is the external communication to customers.
In Duitsland geeft § 35, lid 2 BSIG hieraan uitvoering: entiteiten in de financiële sector, sociale zekerheid, digitale infrastructuur, beheer van ICT-diensten en digitale diensten moeten afnemers die door een significante cyberdreiging worden bedreigd laten weten wat zij kunnen doen, waar de belangen van die afnemers zwaarder wegen dan hun eigen belangen. Daarnaast kan het BSI een entiteit bevelen haar afnemers over een significant incident te informeren (§ 35, lid 1 BSIG), bijvoorbeeld door het op haar website te publiceren.
BSI guidance under §32 BSIG
Het BSI herhaalt de definitie van § 2 Nr. 11 BSIG en leest 'kan veroorzaken' als: de gevolgen zouden zich realistisch gezien kunnen voordoen. Meldingen verlopen via het BSI-portaal. Het BSI publiceert geen cijfer voor niet-digitale sectoren. Het BSI wijst erop dat het federale ministerie van Binnenlandse Zaken 'significant' later nader kan bepalen bij verordening (§ 56 Abs. 4 BSIG).
ENISA Technical Implementation Guidance
De ENISA Technical Implementation Guidance (TIG, versie 1.0 van juni 2025; de mappingtabel is in augustus 2025 bijgewerkt naar versie 1.2) geeft praktisch advies over de beoordeling van de impact en wijst naar de CIR-drempels waar die gelden. De TIG is niet bindend en geeft sectoren buiten het toepassingsgebied van de CIR uitdrukkelijk terug aan de nationale autoriteiten.
Andere lidstaten
Het Oostenrijkse NISG 2026 geldt sinds 1 oktober 2026. Frankrijk en Nederland hadden hun omzetting in juli 2026 niet gemeld (de Commissie heeft hen daarom bij het Hof van Justitie van de EU gedaagd). Duitsland is hier het voorbeeld.
Myth 1: We will know it when we see it.
Realiteit: art. 23, lid 4, onder a) geeft u 24 uur vanaf het moment dat u kennis neemt van een significant incident om de vroegtijdige waarschuwing te sturen. In die tijd moet u beslissen, de redenering opschrijven en haar bij een audit kunnen verdedigen. Als u uw criteria niet vóór het incident hebt opgeschreven, neemt u het besluit onder druk en zonder vastlegging om op terug te vallen. Bouw het afwegingskader nu, niet op de dag zelf.
Myth 2: Only data breaches count as significant incidents.
Realiteit: art. 23, lid 3, onder a) betreft operationele verstoring en financieel verlies, zonder melding van persoonsgegevens. Een productielijn die door ransomware stilvalt zonder gegevensexfiltratie is een significant incident. Een logistiek platform dat drie uur offline is, kan dat zijn, als de storing de dienst ernstig verstoort of aanzienlijke schade toebrengt aan klanten. NIS 2 is geen AVG.
Myth 3: Small incidents below the threshold do not stack.
Realiteit: voor de digitale aanbieders van de CIR tellen incidenten met dezelfde kennelijke oorzaak die zich ten minste twee keer binnen zes maanden voordoen, samen als één significant incident als hun financiële verliezen samen de drempel van art. 3, lid 1, onder a) overschrijden (art. 4 CIR). NIS 2 zelf kent zo'n regel niet, maar een patroon van kleine incidenten is toch een reden om opnieuw te kijken.
Bijlagen I en II van NIS 2 omvatten 18 sectoren. Alleen de digitale groep in CIR art. 1 (11 soorten entiteiten) krijgt cijfers. Dat is een klein deel van de entiteiten binnen de reikwijdte. Voor energie, vervoer, bankwezen, infrastructuur van de financiële markten, gezondheidszorg, drinkwater, afvalwater, openbaar bestuur, ruimtevaart, post, afvalbeheer, chemie, voedsel, maakindustrie en onderzoek blijft de toets kwalitatief.
That is where you can be useful in the room. The honest answer to the board question ('what counts as significant for us?') is: the EU left it to your judgement, here are the three factors from Recital 101, here is the decision log we will produce on the day, here is who signs it, here is the BSI reporting form we will file. The defensible answer is not a number. It is a written decision.
- Directive (EU) 2022/2555 (NIS 2), Art. 23 and Recital 101: eur-lex.europa.eu/eli/dir/2022/2555/oj
- Commission Implementing Regulation (EU) 2024/2690, Articles 1, 3, 4, 5 to 14: eur-lex.europa.eu/eli/reg_impl/2024/2690/oj
- BSIG § 32 (Duitsland): gesetze-im-internet.de/bsig_2025
- ENISA, NIS2 Technical Implementation Guidance, versie 1.0, 26 juni 2025: enisa.europa.eu
- BSI, NIS-2 FAQ en het BSI-portaal: bsi.bund.de, portal.bsi.bund.de
In de praktijk
Waar dit in de begeleide doorloop terugkomt
De begeleide doorloop maakt hier stappen van die u invult, met de wet bij elke stap uitgelegd. Open een stap om het scherm te zien, ingevuld voor een verzonnen bedrijf.
De doorloop zelf is in het Duits en het Engels.
Incident Handling
Know how to report an incident
Three reports to your authority, with fixed deadlines.
Incident Handling
Plan what happens in an incident
Who decides, whom you call, how you reach each other.
Moet u zich met NIS2 bezighouden?
We begeleiden u stap voor stap. U vult in, wij leggen elk punt in eenvoudige woorden uit, en aan het eind tekent de directie.
