Deze pagina hoort bij onze gids voor het opstellen van een incident response plan en werkt stap 3 uit: de meldmatrix. Voor een tabel met termijnen per land, zie meldtermijnen voor datalekken en incidenten per land.
Meldplichten bij toezichthouders en klanten
Welke meldplichten gelden, hangt af van waar u actief bent, waar de getroffen personen wonen en in welke sector u werkt. Een incident dat klanten in meerdere landen raakt, kan meerdere termijnen tegelijk laten lopen, elk met een eigen toezichthouder, drempel en deadline. Het inperken van het incident neemt geen van die plichten weg. Uw meldmatrix uit stap 3 van de gids noemt elk regime dat van toepassing kan zijn. Loop bij een incident per regime deze vragen langs:
- Welke wetten, toezichthouders en contracten gelden, gezien waar u actief bent, wiens gegevens het betreft en in welke sector u werkt?
- Wat voor incident is het: een datalek, een verstoring van een gereguleerde dienst, of allebei?
- Haalt het de drempel van het regime? De meeste regimes vragen pas om een melding boven een bepaald risico of een bepaalde impact.
- Wanneer raakte u ervan op de hoogte? De meeste termijnen lopen vanaf dat moment, dus leg het vast.
- Wie moet worden ingelicht (een toezichthouder, betrokkenen, klanten, uw verzekeraar), wie beslist, wie meldt en via welk kanaal?
- Wat is de termijn, en welke vervolgrapportages zijn er na de eerste melding?
De Nederlandse regels hieronder laten zien hoe dat in de praktijk werkt. Daarna volgt een overzicht voor andere belangrijke jurisdicties.
Een verwerkingsverantwoordelijke meldt een datalek zonder onredelijke vertraging en zo mogelijk binnen 72 uur na kennisname bij de Autoriteit Persoonsgegevens (artikel 33 AVG), tenzij het lek waarschijnlijk geen risico oplevert voor de rechten en vrijheden van personen. U bent op de hoogte zodra u redelijke zekerheid hebt dat een beveiligingsincident persoonsgegevens heeft getroffen (EDPB-richtlijnen 9/2022), niet pas als de volledige omvang bekend is. Meldt u later dan 72 uur, dan moet u de vertraging motiveren. Artikel 33 lid 4 staat toe dat u in fasen meldt en later aanvult.
Is het risico voor betrokkenen hoog, dan moet u hen ook zelf zonder onredelijke vertraging informeren (artikel 34). Dat is een aparte, hogere drempel. Leg elk datalek vast in uw register, ook de lekken die u niet meldt, met uw beoordeling en motivering (artikel 33 lid 5). Met dat register kan de AP controleren of u artikel 33 naleeft.
De Cyberbeveiligingswet geldt sinds 15 augustus 2026. Essentiële en belangrijke entiteiten melden een significant incident bij het CSIRT en bij hun toezichthouder, via het centrale meldpunt op mijn.ncsc.nl. Dat meldpunt stuurt de melding automatisch door naar het sectorale CSIRT en de bevoegde toezichthouder. De termijnen: een vroegtijdige waarschuwing binnen 24 uur, een incidentmelding binnen 72 uur en een eindrapport uiterlijk een maand na de incidentmelding. Een incident is significant als het de dienstverlening ernstig verstoort of tot financiële verliezen leidt, of als het anderen aanzienlijke materiële of immateriële schade toebrengt (artikel 23 lid 3 NIS2). De Cbw-melding vervangt de AVG-melding niet: gaat het ook om persoonsgegevens, dan meldt u ook bij de AP.
Financiële entiteiten melden ernstige ICT-gerelateerde incidenten onder DORA bij DNB of de AFM. Een eerste melding volgt binnen 4 uur na classificatie als ernstig en uiterlijk 24 uur na kennisname, een tussentijds rapport binnen 72 uur na de eerste melding en een eindrapport binnen een maand. Voor deze entiteiten vervangt DORA de NIS2-meldplicht. Neem de classificatiecriteria en sjablonen nu op in uw meldmatrix.
Buiten Nederland
De belangrijkste regimes elders, in het kort. Elk regime heeft een eigen drempel voor wat meldplichtig is, en een aantal geldt alleen voor bepaalde sectoren of bedrijfsgroottes. Ons artikel over meldtermijnen per land behandelt elk regime uitgebreider, met links naar de officiële bronnen.
| Regime | Wie meldt aan wie | Termijn |
|---|---|---|
| Andere EU-lidstaten | Dezelfde AVG-regels; NIS2 is per land in nationale wetgeving omgezet | AVG: 72 uur na kennisname, zo mogelijk; NIS2: 24 uur, 72 uur en een maand |
| VK (UK GDPR) | Verwerkingsverantwoordelijke aan de ICO; betrokkenen bij een hoog risico | 72 uur na kennisname, zo mogelijk |
| VK (NIS Regulations) | Aanbieders van essentiële diensten en digitale dienstverleners aan de bevoegde autoriteit | 72 uur na kennisname |
| VS (staten) | Organisaties aan getroffen inwoners, en vaak de attorney general van de staat | Verschilt per staat; Colorado, Florida en Washington hanteren 30 dagen |
| VS (HIPAA) | Zorgorganisaties aan betrokkenen, HHS en, boven 500 inwoners van een staat, de media | 60 dagen na ontdekking; lekken onder 500 personen jaarlijks aan HHS |
| VS (SEC) | Beursgenoteerde bedrijven aan beleggers via Form 8-K, bij materiële incidenten | Vier werkdagen na het besluit dat het incident materieel is; dat besluit moet zonder onredelijke vertraging vallen |
| Brazilië (LGPD) | Verwerkingsverantwoordelijke aan de ANPD en betrokkenen | Drie werkdagen (het dubbele voor kleine verwerkers) |
| Australië | Organisaties aan de OAIC en betrokkenen; bedrijven met een omzet vanaf A$3 miljoen aan het ASD bij losgeldbetalingen | Datalekken zo snel als haalbaar; losgeldbetalingen binnen 72 uur |
| India | De meeste organisaties aan CERT-In, bij genoemde cyberincidenten | Zes uur na kennisname |
| Canada | Private organisaties aan de Privacy Commissioner en betrokkenen | Zo snel als haalbaar, bij een reëel risico op aanzienlijke schade |
Hebt u vestigingen in meerdere EU-lidstaten, bepaal dan vooraf welke toezichthouder voor u leidend is en zet dat in het plan. Bent u actief in de VS, overweeg dan ook aanvallen te melden bij CISA en het IC3 van de FBI, en controleer of uw sector eigen meldregels heeft.
Organisaties stellen de melding vaak uit terwijl ze de volledige omvang van een lek proberen vast te stellen. Onder de AVG loopt de termijn van 72 uur vanaf het moment dat u redelijke zekerheid hebt dat er een lek is, niet vanaf het moment dat u de volledige omvang kunt bevestigen. Meld binnen de termijn met wat u weet en vul aan naarmate het onderzoek vordert. De AP heeft te late meldingen eerder beboet: Booking.com kreeg in 2021 een boete van €475.000 omdat het een datalek 22 dagen te laat meldde. Kortere termijnen, zoals de 24 uur voor de vroegtijdige waarschuwing onder de Cbw of de drie werkdagen in Brazilië, laten nog minder ruimte om te wachten.
