Meldtermijnen voor datalekken en incidenten per land: wie u informeert en wanneer

Hoe meldtermijnen werken

Drie vragen bepalen elke meldplicht: wat laat de termijn lopen, wie moet u informeren, en hoeveel moet u weten voordat u meldt?

Wat de termijn laat lopen. Onder de AVG lopen de 72 uur vanaf het moment dat u kennisneemt van een datalek. Europese toezichthouders lezen "kennisname" als redelijke zekerheid dat een beveiligingsincident persoonsgegevens heeft getroffen, en dat moment kan al enkele uren na het eerste alarm liggen. HIPAA telt vanaf ontdekking, of vanaf de datum waarop u het met redelijke zorgvuldigheid had kunnen weten. De SEC-regel telt vanaf de datum waarop een beursgenoteerd bedrijf besluit dat een incident materieel is, en dat besluit moet zelf zonder onredelijke vertraging vallen. DORA telt vanaf het moment dat een financiële entiteit een incident als ernstig classificeert. Noteer de tijd en het bewijsmateriaal op elk van deze punten in het beslissingslogboek.

Wie u moet informeren. De toezichthouder en de getroffen personen hanteren doorgaans verschillende drempels. De AVG vraagt om een melding bij de toezichthouder, tenzij het lek waarschijnlijk geen risico voor betrokkenen oplevert, maar betrokkenen hoeft u alleen te informeren als het risico hoog is. Sommige regimes voegen nog ontvangers toe: de attorneys general van Amerikaanse staten, de media onder HIPAA, of beleggers onder de SEC-regel.

Hoeveel u moet weten. In het begin heel weinig. Met de AVG kunt u informatie gefaseerd aanleveren. NIS2 (in Nederland de Cyberbeveiligingswet) en DORA worden in fasen opgebouwd: een korte eerste melding, een uitgebreidere melding en vervolgens een eindrapport. Wachten op het volledige beeld voordat u meldt, is de snelste manier om de termijn te missen.

Termijnen in één oogopslag

Drempels en reikwijdte verschillen binnen elk regime. Gebruik deze tabel als kaart en controleer daarna de toelichting hieronder en de officiële bron van elk regime.

Nederland

Een verwerkingsverantwoordelijke meldt een datalek zonder onredelijke vertraging en zo mogelijk binnen 72 uur na kennisname bij de Autoriteit Persoonsgegevens (artikel 33 AVG), tenzij het lek waarschijnlijk geen risico oplevert voor de rechten en vrijheden van personen. Melden kan alleen via het online formulier van de AP, niet per telefoon of e-mail. Is uw onderzoek nog niet klaar, doe dan binnen 72 uur een voorlopige melding en vul die later aan; een melding na 72 uur moet u motiveren. De pagina van de AP over de meldplicht datalekken legt uit wat de AP verwacht.

Is het risico voor betrokkenen hoog, dan informeert u hen ook zelf, zonder onredelijke vertraging (artikel 34). Leg elk datalek vast in uw interne register, ook de lekken die u niet meldt, met de feiten, de gevolgen en de maatregelen die u hebt genomen (artikel 33 lid 5).

De Cyberbeveiligingswet geldt sinds 15 augustus 2026 en zet NIS2 om in Nederlands recht. Essentiële en belangrijke entiteiten melden een significant incident bij het CSIRT en bij hun toezichthouder, via het meldportaal van het NCSC op mijn.ncsc.nl. Dat portaal stuurt de melding door naar het sectorale CSIRT en de bevoegde toezichthouder. Binnen 24 uur na kennisname volgt een vroegtijdige waarschuwing, binnen 72 uur een incidentmelding en uiterlijk een maand daarna een eindrapport. Valt u onder de wet, dan moet u zich ook registreren in het entiteitenregister van het NCSC.

Een Cbw-melding vervangt de AVG-melding niet. Een ransomware-aanval op een ziekenhuis of energiebedrijf kan dus binnen een etmaal een waarschuwing via het NCSC-portaal vragen en binnen 72 uur een melding bij de AP. Leg in uw plan vast wie welke melding doet.

Banken, verzekeraars, beleggingsondernemingen en andere financiële entiteiten melden ernstige ICT-gerelateerde incidenten onder DORA bij DNB of de AFM, afhankelijk van wie hun toezichthouder is. Voor hen vervangt DORA de meldplicht uit NIS2. De DORA-termijnen staan hieronder bij de Europese Unie.

Europese Unie

De AVG geldt in elke lidstaat met dezelfde 72-uursregel (artikel 33) en dezelfde risicotest voor het informeren van betrokkenen (artikel 34). Voor een Nederlandse organisatie met klanten of kantoren elders in de EU is de lastigste vraag welke toezichthouder u moet informeren. Als u een hoofdvestiging in de EU heeft (normaal gesproken uw centrale administratie daar, of de plek waar de besluiten over de verwerking vallen), dan is de toezichthouder in die lidstaat bij grensoverschrijdende zaken meestal leidend, via de one-stop-shop. Een EU-kantoor dat zulke besluiten niet neemt, telt mogelijk niet mee. Zonder vestiging in de EU geldt de one-stop-shop niet: de richtlijnen over het melden van datalekken van de EDPB zeggen dat u elke toezichthouder in een lidstaat waar getroffen mensen wonen op de hoogte moet stellen, en het benoemen van een EU-vertegenwoordiger op grond van artikel 27 verandert daar niets aan. Het antwoord hangt af van hoe en waar u de gegevens verwerkt, dus leg dit vooraf vast met uw juridisch adviseur en schrijf het in het plan.

NIS2 is van toepassing op essentiële en belangrijke entiteiten in 18 sectoren. Artikel 23 vereist een vroegtijdige waarschuwing binnen 24 uur na kennisname van een significant incident, met daarin of het incident kwaadwillig lijkt en of het grensoverschrijdende gevolgen kan hebben. Binnen 72 uur volgt een uitgebreidere incidentmelding en binnen een maand na die melding een eindrapport, of een voortgangsrapport als het incident nog loopt. Elke lidstaat heeft NIS2 in zijn eigen wetgeving opgenomen en zijn eigen CSIRT of bevoegde autoriteit benoemd. Controleer dus de nationale wet in elk land waar u diensten levert die onder NIS2 vallen. Onze gids over NIS2-gereedheid legt uit wie eronder valt.

DORA is sinds 17 januari 2025 van toepassing op financiële entiteiten in de EU. Zodra een financiële entiteit een ICT-gerelateerd incident als ernstig heeft geclassificeerd, heeft zij vier uur de tijd om de eerste melding te verzenden, en uiterlijk 24 uur nadat zij voor het eerst kennis heeft genomen van het incident. Binnen 72 uur na de initiële melding volgt een tussentijds rapport en binnen een maand na het laatste tussentijdse rapport een eindrapport. De classificatiecriteria (getroffen klanten, duur, gegevensverlies, getroffen kritieke diensten) zijn vastgelegd in de technische reguleringsnormen (RTS). Nederlandse financiële entiteiten melden bij DNB of de AFM. In ons artikel over DORA voor financiële diensten worden de bredere vereisten uitgelegd.

Verenigd Koninkrijk

Onder UK GDPR moet een verwerkingsverantwoordelijke een datalek zonder onredelijke vertraging en zo mogelijk binnen 72 uur na kennisname melden bij de ICO. Levert het lek waarschijnlijk een hoog risico voor de rechten en vrijheden van mensen op, dan moet u hen ook zonder onredelijke vertraging informeren. Ook moet u elk datalek registreren, ook de lekken die u besluit niet te melden, met de feiten, de gevolgen en wat u hebt gedaan. De meldpagina van de ICO bevat het online formulier en een zelfbeoordelingstool.

Aanbieders van essentiële diensten onder de NIS Regulations 2018 moeten de bevoegde autoriteit van hun sector binnen 72 uur nadat zij er kennis van hebben gekregen, op de hoogte stellen van een incident met aanzienlijke gevolgen voor de dienst. Relevante digitale dienstverleners, zoals online marktplaatsen en clouddiensten, rapporteren aan de ICO.

De voorgestelde Cyber Security and Resilience Bill zou dit vervangen door een tweefasenregime: een eerste melding binnen 24 uur na kennisname van een significant incident en een volledige melding binnen 72 uur, aan zowel de toezichthouder als het Britse NCSC. Het zou ook managed service providers en datacenters onder de wet brengen.

Financiële dienstverleners krijgen vanaf 18 maart 2027 één meldregime voor operationele incidenten en derde partijen onder FCA PS26/2 en bijpassende PRA-regels, met gefaseerde rapporten voor incidenten die aan gedefinieerde drempels voldoen.

Verenigde Staten

Elke Amerikaanse staat heeft zijn eigen meldplicht voor datalekken, en welke wet geldt, hangt af van waar elke getroffen persoon woont. Veel staten eisen een melding "zo spoedig mogelijk en zonder onredelijke vertraging"; andere stellen een vaste termijn. Colorado, Florida, Maine en Washington hanteren 30 dagen, en voor de meeste daarvan is ook een melding bij de attorney general van de staat vereist zodra een lek een bepaald aantal inwoners treft, vaak 500. De toelichting van de attorney general van Washington is daar een duidelijk voorbeeld van. De definitie van persoonsgegevens verschilt ook per staat, en veel staten zonderen versleutelde gegevens uit, tenzij ook de sleutel is buitgemaakt.

Onder HIPAA moeten covered entities de betrokken personen zonder onredelijke vertraging en binnen 60 kalenderdagen na ontdekking op de hoogte stellen. Lekken die 500 of meer mensen treffen, gaan binnen dezelfde termijn naar HHS, en lekken die meer dan 500 inwoners van één staat of rechtsgebied treffen, vereisen ook een melding bij grote media in dat gebied. Kleinere lekken worden binnen 60 dagen na het einde van het kalenderjaar geregistreerd en aan HHS gerapporteerd. Business associates moeten de covered entity binnen 60 dagen na ontdekking hiervan op de hoogte stellen.

Bedrijven die in de VS zijn genoteerd, moeten een materieel cyberbeveiligingsincident melden op Form 8-K, Item 1.05, binnen vier werkdagen nadat zij hebben besloten dat het materieel is. De regel van de SEC zegt dat dat besluit moet vallen zonder onredelijke vertraging na de ontdekking, en dat een lopend onderzoek alleen geen reden is om het uit te stellen. Uitstel kan alleen als de Amerikaanse Attorney General vaststelt dat openbaarmaking een substantieel risico zou vormen voor de nationale veiligheid of de openbare veiligheid.

Voor de meeste organisaties is het rapporteren aan CISA of de IC3 van de FBI vrijwillig, maar het overwegen waard. De Cyber Incident Reporting for Critical Infrastructure Act (CIRCIA) stelt 72 uur vast voor incidenten die onder de wet vallen en 24 uur voor losgeldbetalingen voor kritieke infrastructuurentiteiten, zodra de uitvoeringsregel van CISA van kracht wordt; controleer de status ervan voor uw sector, samen met eventuele sectorregels van uw eigen toezichthouder.

Brazilië

Op grond van Resolutie CD/ANPD 15/2024 moet een verwerkingsverantwoordelijke de ANPD en de getroffen personen binnen drie werkdagen op de hoogte stellen nadat hij heeft vernomen dat een beveiligingsincident met persoonsgegevens hen aanzienlijke risico's of schade kan opleveren. Kleine verwerkers krijgen twee keer zo lang. Nadere informatie kunt u binnen 20 werkdagen na de eerste melding sturen. De verwerkingsverantwoordelijke moet ook elk incident registreren, ook de incidenten die niet zijn gemeld. Meldingen lopen via het meldformulier voor incidenten van de ANPD, meestal ingediend door de encarregado (de functionaris voor gegevensbescherming).

Australië

Onder de Notifiable Data Breaches-regeling moet een organisatie die een meldplichtig datalek (eligible data breach) vermoedt (een datalek dat waarschijnlijk ernstige schade zal veroorzaken), dit binnen 30 dagen beoordelen. Zodra zij vaststelt dat zo'n lek heeft plaatsgevonden, moet zij de OAIC en de betrokken personen zo snel als haalbaar informeren. De 30 dagen zijn een maximum en geen doelstelling.

Verantwoordelijke entiteiten van kritieke infrastructuur onder de Security of Critical Infrastructure Act rapporteren aan het Australian Cyber Security Centre van ASD binnen 12 uur nadat zij kennis hebben genomen van een incident met een aanzienlijke impact, en binnen 72 uur voor een relevante impact. Een telefonische 12-uursmelding dient binnen 84 uur gevolgd te worden door een schriftelijke melding. Sinds 30 mei 2025 moeten bedrijven met een jaaromzet van A$3 miljoen of meer, en entiteiten die verantwoordelijk zijn voor de kritieke infrastructuur, een betaling voor ransomware of cyberafpersing melden binnen 72 uur nadat zij die hebben gedaan of ervan op de hoogte zijn geraakt. Beide gaan via cyber.gov.au.

India

De Directions van CERT-In van 28 april 2022 verplichten dienstverleners, tussenpersonen, datacentra, bedrijven en overheidsinstanties om opgesomde cyberincidenten te melden binnen zes uur nadat ze zijn opgemerkt of erover zijn geïnformeerd. De lijst is breed en omvat datalekken, ransomware, het compromitteren van kritieke systemen en aanvallen op clouddiensten. Dezelfde Directions eisen dat logbestanden van ICT-systemen doorlopend 180 dagen in India worden bewaard.

De Digital Personal Data Protection Rules, bekendgemaakt op 13 november 2025, voegen een aparte plicht toe: informeer de Data Protection Board en elke getroffen persoon onverwijld over een datalek en stuur de Board vervolgens binnen 72 uur een gedetailleerd rapport. De bepalingen over datalekken zullen naar verwachting van toepassing zijn vanaf ongeveer mei 2027, 18 maanden nadat de Rules zijn bekendgemaakt.

Canada

Onder PIPEDA moet een organisatie uit de particuliere sector met een lek dat een reëel risico op aanzienlijke schade oplevert, dit zo snel als haalbaar melden bij het Office of the Privacy Commissioner en de betrokken personen informeren. Elke inbreuk op de beveiligingswaarborgen moet zij 24 maanden registreren, ook als die niet meldplichtig is. Quebec heeft een eigen wet, die een snelle melding bij de Commission d'accès à l'information vereist als er een risico op ernstige schade is.

Contracten en verzekeringen

De wet is maar een deel van het verhaal. Gegevensverwerkingsovereenkomsten, klantencontracten en leverancierscontracten bepalen vaak hun eigen meldtermijnen, soms 24 of 48 uur, en een gemiste contractuele termijn kan u de klant kosten, zelfs als de toezichthouder tevreden is. Voor cyberverzekeringspolissen is doorgaans een snelle melding bij de verzekeraar vereist, en bij veel verzekeringen moet u gebruik maken van het panel van hulpverleners en advocaten van de verzekeraar. Bij incidenten met kaartbetalingen moet u onder de regels van de kaartmaatschappijen ook uw acquirer informeren. Haal deze termijnen nu uit de contracten en plaats ze in dezelfde lijst als de wettelijke.

Een meldmatrix opstellen

Een meldmatrix is een tabel in uw incident response plan met één rij voor elk regime dat op u van toepassing kan zijn. Bepaal de regimes aan de hand van waar u gevestigd bent, waar uw klanten en personeel wonen, in welke sectoren u actief bent, of u beursgenoteerd bent en wat er in uw contracten staat. Noteer voor elke rij:

• De trigger en de drempel: welk soort incident telt, en vanaf welk moment de termijn loopt
• Elke termijn, inclusief vervolgrapportages
• De ontvanger en het meldkanaal, met de URL of het portaal en een eventueel account dat u vooraf moet instellen
• Wie beslist of er melding wordt gemaakt, wie meldt en wie de tekst goedkeurt
• Of betrokkenen geïnformeerd moeten worden en welk sjabloon u daarvoor gebruikt

Hieronder staat het begin van een matrix met drie voorbeeldrijen. Kopieer de kopjes en voeg een rij toe voor elk regime op uw lijst.

De rijen zijn illustraties. Drempels, termijnen en meldkanalen verschillen per regime en veranderen in de loop van de tijd. Controleer dus elke rij aan de hand van de officiële bron wanneer u de matrix samenstelt en opnieuw bij elke beoordeling.

Voer minimaal één tabletop-oefening per jaar uit, waarbij het team de matrix tegen de klok moet doorwerken, en werk de matrix bij telkens wanneer u een nieuw land of een nieuwe sector betreedt. Onze gids voor het opstellen van een incident response plan laat zien waar de matrix past, en ons artikel over de eerste 72 uur na een datalek doorloopt de respons zelf.