Wat 'onverwijld' werkelijk betekent bij de NIS 2 24-uurstermijn
Art. 23(4)(a) NIS 2 loopt met twee klokken, niet één. Het verschil kennen is het verschil tussen een verdedigbare vroegtijdige waarschuwing en een vermijdbare §65 BSIG boete.
Waarom de formulering ertoe doet
Art. 23(4)(a) NIS 2 vereist de vroegtijdige waarschuwing 'onverwijld en in elk geval binnen 24 uur' na kennisneming van een significant incident. Twee klokken, niet één. Het cijfer 24 uur is de harde bovengrens; de operatieve plicht staat in de eerste zinsnede.
In de praktijk betekent dat: een melding die op uur 23 binnenkomt kan te laat zijn als de entiteit deze redelijkerwijs al op uur 4 had kunnen indienen. Wat 'redelijkerwijs' betekent, wordt achteraf getoetst.
Eerste lezers staren zich blind op de 24 uur en missen de structuur. Beide klokken begrijpen is de goedkoopste voorbereiding die u vóór een incident kunt treffen.
Art. 23(4)(a) NIS 2
Voor zover van toepassing, een vroegtijdige waarschuwing die, onverwijld en in elk geval binnen 24 uur na kennisneming van het significante incident, aangeeft of het significante incident vermoedelijk werd veroorzaakt door onwettige of kwaadwillige handelingen of grensoverschrijdende gevolgen kan hebben.
Twee klokken uitdrukkelijk in dezelfde zin. 'Onverwijld' is de operatieve plicht; '24 uur' is de buitengrens. Trigger is kennisneming, niet detectie.
§32(1) Nr. 1 BSIG
Essentiële en belangrijke entiteiten melden aan het Bundesamt significante veiligheidsincidenten onverwijld, uiterlijk binnen 24 uur na kennisneming als vroegtijdige eerste melding.
De Duitse omzetting gebruikt 'unverzüglich' voor 'onverwijld'. 'Unverzüglich' wordt in §121(1) BGB gedefinieerd als 'ohne schuldhaftes Zögern', zonder verwijtbare vertraging. Die wettelijke definitie haalt het hele lichaam van Duitse jurisprudentie de NIS 2 meldplicht binnen.
Overweging 102 NIS 2 (achtergrond)
Bij de vaststelling van de meldplichten, het tijdpad van de melding en het meldformat moet rekening worden gehouden met de beoordeling van de gevolgen van het incident.
Overweging 102 levert de uitleg. Het meldtijdstip staat niet los van de redelijke situatiebeoordeling door de entiteit. U hoeft niet te melden voordat u over informatie beschikt; u moet melden zodra u dat redelijkerwijs zou kunnen.
Klok 1: onverwijld (zonder verwijtbare vertraging)
De operatieve plicht. De entiteit moet melden zodra zij dat redelijkerwijs kan na kennisneming. 'Redelijkerwijs' staat tijd toe om de feiten te bevestigen en intern te escaleren; het staat geen bundeling om gemak toe, en geen wachten op het begin van de werkdag.
Klok 2: in elk geval binnen 24 uur
De harde bovengrens. Wat 'redelijkerwijs' in het geval ook betekende, de vroegtijdige waarschuwing mag niet later dan 24 uur na kennisneming zijn. Daarna is de entiteit in overtreding, zelfs met een perfecte motivering.
Trigger: kennisneming
Geen technische detectie. Kennisneming in juridische zin is het moment waarop de entiteit, bij redelijk handelen, op de hoogte was of had moeten zijn. Een ongelezen SIEM-alert in een queue kan al kennisneming zijn als een redelijk werkend SOC die alert zou hebben gelezen.
Toegestaan: tijd voor bevestiging
U hoeft niet te melden voor u over betekenisvolle informatie beschikt. Enkele uren voor triage, scope-bevestiging en uitsluiten van false positives zijn redelijk. De richtlijn straft verantwoordelijke verificatie niet.
Toegestaan: tijd voor interne escalatie
Interne escalatie via de incidentresponse-keten, met aftekening door de aangewezen meldverantwoordelijke, is onderdeel van een normaal proces. Een escalatie van twee uur tijdens werktijd is redelijk; een wachttijd van 20 uur tot de CEO terugkomt uit vakantie niet.
Niet toegestaan: bundeling om gemak
Wachten om meerdere verdachte incidenten te combineren, wachten op kantooruren terwijl het incident om 22:00 plaatsvond, wachten op een persstrategie. Geen van die redenen houdt in een audit stand. 'Onverwijld' staat verificatie toe, geen vertraging voor het eigen gemak van de entiteit.
14:00: SOC detecteert versleutelingsactiviteit op fileserver
Technische detectie. Nog geen juridische kennisneming zolang het SOC onderzoekt. De entiteit staat onder waarschuwing maar heeft zich nog niet uitgesproken dat een significant incident speelt.
15:30: incident bevestigd als ransomware, scope deels duidelijk
Uiterlijk nu ontstaat kennisneming. Beide klokken starten. De 24-uurs bovengrens eindigt de volgende dag om 15:30. De plicht 'onverwijld' grijpt onmiddellijk.
16:45: vroegtijdige waarschuwing verzonden
75 minuten na bevestiging. Verdedigbaar 'onverwijld' als de entiteit de tijd heeft benut voor verificatie en interne escalatie naar de aangewezen meldverantwoordelijke. De melding bevat de twee verplichte inhouden van art. 23(4)(a): vermoeden van kwaadwillige opzet en inschatting van grensoverschrijdende gevolgen.
Wanneer het BSI of een nationale bevoegde autoriteit een incident achteraf onderzoekt, is het belangrijkste document het eigen tijdlijnlogboek van de entiteit. Drie kolommen worden verwacht: tijdstip van gebeurtenis, wat op dat moment bekend was, welke actie werd genomen.
De audit stelt één vraag: was de volgende stap op elk moment redelijk gezien wat bekend was. Een schoon logboek met conservatieve acties verdedigt de meldtiming. Een armzalig logboek nodigt de auditor uit het ergste aan te nemen.
- Richtlijn (EU) 2022/2555 (NIS 2), art. 23(4)(a), overweging 102, www.eur-lex.europa.eu
- Wet betreffende het Bundesamt für Sicherheit in der Informationstechnik (BSIG), §32, www.gesetze-im-internet.de
- Duits Burgerlijk Wetboek (BGB), §121(1): wettelijke definitie 'unverzüglich'
- ENISA Technical Implementation Guidance v1.0 (juni 2025), §5 over tijdlijn-documentatie
Deze pagina biedt gestructureerde informatie op basis van openbaar toegankelijke bronnen (NIS 2 Richtlijn, BSIG, BGB, ENISA TIG). Het is geen juridisch advies in de zin van §2 RDG. Of een concrete vertraging 'verwijtbaar' is, beoordeelt een toegelaten advocaat in het individuele geval. Stand: 2026-06-04.