Meldplicht · Cyberbeveiligingswet
Een significant incident melden
Twee termijnen, twee ontvangers, en een ankerpunt dat vaak verkeerd wordt gezet. Hieronder wat de wet en het besluit letterlijk zeggen, inclusief het deel dat nog niet is ingevuld.
Het ankerpunt
De klok loopt vanaf kennisname, niet vanaf detectie. De wet zegt: binnen 24 uur «nadat zij kennis heeft gekregen» van het significante incident, en gebruikt dezelfde formulering bij de 72 uur. Bouwt u uw proces op detectietijd, dan meet u de verkeerde termijn.
Binnen 24 uur
Vroegtijdige waarschuwing
Het eerste signaal. Aanbieders van een vertrouwensdienst melden onverwijld of, als dat niet mogelijk is, binnen 24 uur — een eigen regime naast deze opbouw.
Binnen 72 uur
De melding
Opnieuw gerekend vanaf kennisname, niet vanaf de vroegtijdige waarschuwing.
Twee ontvangers, niet één
De wet spreekt van een melding «bij haar CSIRT en haar bevoegde autoriteit». Het indienen gebeurt via het meldpunt dat de minister daarvoor inricht. Banken, handelsplatformen, centrale effectenbewaarinstellingen en centrale tegenpartijen doen hun DORA-melding bovendien bij het CSIRT voor het bankwezen en de financiële marktinfrastructuur.
De vier gegevens die Nederland extra vraagt
Bovenop wat de wet al noemt, verlangt art. 24 van het besluit in de vroegtijdige waarschuwing:
- het vermoedelijke tijdstip waarop het incident begon;
- zo mogelijk, de aard en de op dat moment merkbare gevolgen;
- zo mogelijk, een prognose van de hersteltijd;
- zo mogelijk, de genomen of voorgenomen maatregelen om de gevolgen te beperken of herhaling te voorkomen.
De herhaalde formule «zo mogelijk» erkent dat u binnen 24 uur nog niet alles weet. Het is geen vrijbrief om de velden leeg te laten.
De drempel bestaat nog niet
Art. 23 van het besluit stelt geen criteria vast voor wanneer een incident significant is. Het laat ze bepalen bij ministeriële regeling, met onderscheid naar sector, subsector en soort entiteit, en zelfs bij besluit voor een specifieke entiteit. Alleen waar Europese uitvoeringshandelingen dat al invullen — digitale infrastructuur — ligt de maatstaf vast.
Praktisch: de meldplicht begint op 15 augustus 2026, de drempel voor uw sector mogelijk later. Richt uw proces daarom in op het moment van kennisname en op de gegevens hierboven, want die staan al vast. De drempel bepaalt straks alleen wanneer u begint te tellen.