Art. 23 NIS 2 · § 32 BSIG

NIS2-meldplicht: wanneer en hoe u incidenten meldt bij het BSI

Een significant beveiligingsincident meldt u in drie fasen bij het BSI: een vroegtijdige waarschuwing binnen 24 uur, een incidentmelding binnen 72 uur en een eindrapport een maand later (§ 32 BSIG). De klok loopt vanaf het moment dat u ervan hoort. U meldt in het portaal van het BSI.

Nu beginnen

Gesprek boeken

Beslist iemand anders? Eén pagina voor uw directie

Simon Orzel·Doorlopend gecontroleerd

Programma's en lidmaatschappen

Wat een significant beveiligingsincident is

Een beveiligingsincident is een gebeurtenis die de beschikbaarheid, integriteit of vertrouwelijkheid van uw gegevens of diensten aantast (§ 2 nr. 40 BSIG). U hoeft alleen significante incidenten te melden.

Een incident is significant als het een van twee dingen heeft veroorzaakt, of kan veroorzaken (§ 2 nr. 11 BSIG, art. 23(3) NIS 2): een ernstige verstoring van de bedrijfsvoering of financieel verlies voor uw bedrijf, of aanzienlijke schade bij anderen. Voor bepaalde digitale aanbieders legt Uitvoeringsverordening (EU) 2024/2690 precieze drempels vast. Voor alle anderen zegt het BSI: een incident is significant als het voldoet aan een van de criteria in art. 3(1) van die verordening, en altijd als een kritieke dienst uitvalt of wordt aangetast.

Ernstige verstoring van de bedrijfsvoering

Het incident verstoort het leveren van uw diensten ernstig, of kan dat doen.

Financieel verlies

Het incident veroorzaakt financieel verlies voor uw bedrijf, of kan dat doen. Voor de digitale aanbieders onder de uitvoeringsverordening ligt de drempel bij een direct verlies van meer dan 500.000 EUR of 5% van de omzet van het vorige jaar, als dat lager is (art. 3(1)(a)).

Schade bij anderen

Het incident veroorzaakt andere mensen of bedrijven aanzienlijke materiële of immateriële schade, of kan dat doen.

Datalek

Een datalek is alleen significant als het aan een van de twee criteria voldoet, bijvoorbeeld omdat het anderen aanzienlijke schade toebrengt. De melding volgens § 32 BSIG staat naast de melding volgens art. 33 en 34 AVG. Beide kunnen voor hetzelfde incident gelden.

Duur

De duur is geen apart criterium. Voor de digitale aanbieders onder de uitvoeringsverordening gelden tijdsgrenzen per dienst, bijvoorbeeld een clouddienst die langer dan 30 minuten volledig onbereikbaar is (art. 7(a)).

Meld bij twijfel vroeg. Het BSI wil uitdrukkelijk vroege meldingen, ook als er nog veel onduidelijk is. Correcties gaan mee in de latere meldingen.

Meer hierover

De termijnen

Drie meldingen met vaste termijnen, plus twee die alleen in bepaalde gevallen nodig zijn. De termijnen zijn maxima: u meldt zonder onnodige vertraging.

De klok start zodra u ervan weet. Volgens het BSI is dat het moment waarop een medewerker van uw bedrijf tijdens werktijd van het significante incident hoort.

1

Vroegtijdige waarschuwing

24 uur

Een eerste waarschuwing aan het BSI, uiterlijk 24 uur nadat u van het incident hoorde.

Of het incident vermoedelijk komt door een onrechtmatige of kwaadwillige handeling
Of het andere landen kan raken
Een eerste inschatting van het incident
Wie meldt, en hoe het BSI die persoon bereikt

2

Incidentmelding

72 uur

Uiterlijk 72 uur nadat u van het incident hoorde. Zij bevestigt of actualiseert de vroegtijdige waarschuwing.

Een eerste beoordeling van ernst en gevolgen
Sporen van de aanvallers (indicators of compromise), als die er zijn
Wat u over de oorzaak weet
Wat u hebt gedaan en nog van plan bent

3

Tussentijds verslag

Op verzoek

Alleen als het BSI erom vraagt: de actuele stand.

Stand van indammen en herstel
Nieuwe inzichten over oorzaak, omvang of gevolgen

4

Eindrapport

1 maand na de incidentmelding

Uiterlijk een maand na de incidentmelding van de termijn van 72 uur.

Een uitgebreide beschrijving van het incident, met ernst en gevolgen
Het soort dreiging of de waarschijnlijke oorzaak
Wat u hebt gedaan en nog doet
Of andere landen geraakt zijn

5

Voortgangsverslag

Als het incident nog loopt

Loopt het incident na een maand nog, dan dient u in plaats van het eindrapport een voortgangsverslag in. Het eindrapport volgt als het incident is afgehandeld (§ 32(2) BSIG).

De actuele stand
Wat u tot nu toe hebt ingedamd

Een voorbeeld

Een verzonnen bedrijf. Maandag, 9 uur: de boekhouding meldt aan de IT dat bestanden op de server versleuteld zijn. De orderverwerking ligt stil.

Maandag, 9.30 uur: de IT bevestigt een aanval. Volgens het incidentplan beslist de directeur. Hij beoordeelt het incident als significant, omdat de bedrijfsvoering ernstig verstoord is.

Maandag, 14 uur: de vroegtijdige waarschuwing in het portaal van het BSI. Daarin staat wat bekend is en dat een aanval wordt vermoed. De termijn zou tot dinsdag 9 uur hebben gelopen.

Uiterlijk donderdag 9 uur: de incidentmelding, met een eerste beoordeling van ernst en gevolgen.

Een maand na die incidentmelding: het eindrapport met oorzaak en oplossing. Loopt het incident dan nog, dan komt eerst een voortgangsverslag.

Tegelijk gaat het bedrijf na of persoonsgegevens geraakt zijn. Is dat zo, dan geldt ook de meldplicht volgens art. 33 AVG.

Wat in de vroegtijdige waarschuwing hoort

Het BSI noemt deze gegevens voor de vroegtijdige waarschuwing. Het formulier in het portaal vraagt ernaar.

Inschatting van het incident, reden van de melding en situatie
Een voorlopige beschrijving: verstoring, gevolgen, verwachte duur en vermoedelijke oorzaak
Wanneer het incident plaatsvond en wanneer u het merkte
Getroffen sectoren en soorten entiteiten
Of een aanval wordt vermoed en of andere landen geraakt kunnen worden
Wat u tot nu toe hebt gedaan en of het incident onder controle is
Hoe het BSI de melder bereikt

De regel van het BSI: snelheid gaat voor volledigheid. Een ingediende melding kunt u niet intrekken. U corrigeert haar met een vervolgmelding.

Zo gaat het in de doorloop

Twee stappen in de doorloop op nisd2.eu bereiden u voor op het melden.

“Plan what happens in an incident”: uit uw antwoorden ontstaat uw incidentresponsplan. Daarin staat wie beslist en hoe u meldt.

“Know how to report an incident”: de stap toont de drie termijnen en een voorbeeld van een vroegtijdige waarschuwing.

U legt vast of u kunt inloggen op het portaal van het BSI en kunt melden.

Aan het eind keurt de directie het incidentresponsplan goed in de app.

Schrijf uw incidentplan in de doorloop

Waar u meldt, en wie meldt

U meldt bij het BSI, normaal via het portaal van het BSI.

Meldingen volgens § 32 BSIG gaan naar het BSI, normaal via het portaal van het BSI. Heeft uw bedrijf een significant incident voordat het geregistreerd is, dan meldt u via een formulier in het meld- en informatieportaal van het BSI (MIP). Exploitanten van kritieke installaties en federale overheidsinstanties gebruiken voorlopig hun bestaande meldkanalen.

Elke medewerker met toegang tot het portaal kan melden. Elke persoon heeft daarvoor een eigen organisatiecertificaat van ELSTER nodig en moet in het portaal aan uw entiteit gekoppeld zijn. U kunt ook een dienstverlener voor u laten melden. De verantwoordelijkheid voor de melding blijft bij u.

Exploitanten van kritieke installaties melden ook het soort installatie, de kritieke dienst en de gevolgen daarvoor (§ 32(3) BSIG). Als persoonsgegevens geraakt zijn, kan ook een melding bij de toezichthouder voor gegevensbescherming nodig zijn.

Na de melding

Het BSI bevestigt de ontvangst zonder onnodige vertraging, zo mogelijk binnen 24 uur. Op verzoek geeft het richtsnoeren of advies (§ 36(1) BSIG).
Het BSI kan u opdragen de afnemers van uw diensten over het incident te informeren (§ 35(1) BSIG).
Reken op vervolgvragen. Het BSI raadt aan dat zijn waarschuwingen ook buiten kantooruren iemand bereiken.

Wat u vooraf regelt

Wie beslist of een incident significant is, en wie meldt.
Toegang tot het portaal van het BSI voor die mensen: elk een eigen organisatiecertificaat en een koppeling aan uw entiteit.
De telefoonnummers van IT, dienstverleners en directie, ook op papier.
Een incidentplan dat mensen kunnen vinden, ook als de servers uitgevallen zijn.

Bronnen

BSI-wet (BSIG), § 2 nrs. 11 en 40, §§ 32, 35 en 36 (gesetze-im-internet.de/bsig_2025)
Richtlijn (EU) 2022/2555 (NIS 2), art. 23 (eur-lex.europa.eu)
Uitvoeringsverordening (EU) 2024/2690, art. 3 en 7
BSI, meldplicht onder NIS 2: termijnen, inhoud en meldkanaal (bsi.bund.de/dok/nis-2-meldepflicht)
BSI, Mein Unternehmenskonto: toegang tot het BSI-portaal (bsi.bund.de/dok/muk)
Verordening (EU) 2016/679 (AVG), art. 33 en 34

In de praktijk

Waar dit in de begeleide doorloop terugkomt

De begeleide doorloop maakt hier stappen van die u invult, met de wet bij elke stap uitgelegd. Open een stap om het scherm te zien, ingevuld voor een verzonnen bedrijf.

De doorloop zelf is in het Duits en het Engels.

Incident Handling
Plan what happens in an incident
Who decides, whom you call, how you reach each other.
Incident Handling
Know how to report an incident
Three reports to your authority, with fixed deadlines.