NIS2

NIS2 · de incidentklok

De incidentklok: 24 uur, 72 uur, 1 maand

Het moment waarop u kennis nam, de lidstaat en of het incident significant is onder artikel 23, lid 3; de drie termijnen worden berekend uit artikel 23, lid 4, het CSIRT wordt uit het register genoemd, en de vroegtijdige waarschuwing, de melding en het eindverslag worden geschreven met de onderdelen die de richtlijn opsomt.

Is de entiteit een verlener van vertrouwensdiensten?

Artikel 23, lid 4, tweede alinea: een verlener van vertrouwensdiensten dient de incidentmelding in binnen 24 uur na kennisneming, dezelfde klok als de vroegtijdige waarschuwing.

Is het incident significant?

Een incident wordt als significant beschouwd als het: (a) een ernstige operationele verstoring van de diensten of financiële verliezen voor de betrokken entiteit veroorzaakt of kan veroorzaken; (b) andere natuurlijke of rechtspersonen heeft getroffen of kan treffen door aanzienlijke materiële of immateriële schade te veroorzaken.

Heeft het ernstige operationele verstoring van de diensten of financiële verliezen voor de entiteit veroorzaakt, of kan het dat?

Heeft het andere natuurlijke of rechtspersonen getroffen door aanzienlijke materiële of immateriële schade, of kan het dat?

Welk soort aanbieder is de entiteit?

Uitvoeringsverordening (EU) 2024/2690 van de Commissie stelt de drempels vast die een incident significant maken voor de digitale aanbieders die zij noemt, gelezen op 13 september 2026; een aanbieder van cloudcomputingdiensten valt onder haar artikel 7, een aanbieder van beheerde diensten of beheerde beveiligingsdiensten onder haar artikel 10, en elke relevante entiteit onder haar artikel 3, lid 1. Elke andere entiteit leest alleen artikel 23, lid 3, van de richtlijn.

Artikel 3, lid 1: de algemene criteria, één volstaat

Een incident wordt voor de toepassing van artikel 23, lid 3, van Richtlijn (EU) 2022/2555 met betrekking tot de relevante entiteiten als significant beschouwd indien aan een of meer van de volgende criteria is voldaan:

Artikel 7: voor een cloudcomputingdienst, één volstaat

Met betrekking tot aanbieders van cloudcomputingdiensten wordt een incident als significant in de zin van artikel 3, lid 1, punt g), beschouwd indien aan een of meer van de volgende criteria is voldaan:

Geplande dienstonderbrekingen en geplande gevolgen van geplande onderhoudswerkzaamheden die door of namens de relevante entiteiten worden uitgevoerd, worden niet als significante incidenten beschouwd.

1. De klok

Voer hierboven het moment van kennisneming in; de termijnen en de meldingen volgen.

2. De vroegtijdige waarschuwing, binnen 24 uur

onverwijld en in elk geval binnen 24 uur nadat zij kennis hebben gekregen van het significante incident, een vroegtijdige waarschuwing geven, waarin, indien van toepassing, wordt aangegeven of het significante incident vermoedelijk door een onrechtmatige of kwaadwillige handeling is veroorzaakt, dan wel grensoverschrijdende gevolgen zou kunnen hebben;

3. De incidentmelding, binnen 72 uur

onverwijld en in elk geval binnen 72 uur nadat zij kennis hebben gekregen van het significante incident, een incidentmelding indienen met, indien van toepassing, een update van de in punt a) bedoelde informatie, een initiële beoordeling van het significante incident, met inbegrip van de ernst en de gevolgen ervan en, indien beschikbaar, de indicatoren voor aantasting;

op verzoek van het CSIRT of, indien van toepassing, de bevoegde autoriteit, een tussentijds verslag indienen over relevante updates van de situatie;

4. Het eindverslag, binnen 1 maand na de melding

uiterlijk één maand na de indiening van het in punt b) bedoelde incidentmelding, een eindverslag indienen waarin het volgende is opgenomen:

indien het incident nog aan de gang is op het moment dat het in punt d) bedoelde eindverslag wordt ingediend, zorgen de lidstaten ervoor dat de betrokken entiteiten op dat moment een voortgangsverslag indienen en binnen één maand nadat zij het incident hebben afgehandeld, een eindverslag indienen.

Het document

# NIS2-incidentmeldingen

Geschreven op 14 september 2026 om 11:05 met de gratis pagina op getstandardos.com; de klok is artikel 23, lid 4, van Richtlijn (EU) 2022/2555 en de onderdelen zijn de punten a), b) en d) ervan zoals het Publicatieblad ze formuleert.

## 1. De klok

Voer hierboven het moment van kennisneming in; de termijnen en de meldingen volgen.

## 2. De vroegtijdige waarschuwing, binnen 24 uur

> onverwijld en in elk geval binnen 24 uur nadat zij kennis hebben gekregen van het significante incident, een vroegtijdige waarschuwing geven, waarin, indien van toepassing, wordt aangegeven of het significante incident vermoedelijk door een onrechtmatige of kwaadwillige handeling is veroorzaakt, dan wel grensoverschrijdende gevolgen zou kunnen hebben;

### Wordt het incident vermoedelijk veroorzaakt door onrechtmatige of kwaadwillige handelingen?

Niet vermeld.

### Kan het incident grensoverschrijdende gevolgen hebben?

Niet vermeld.

## 3. De incidentmelding, binnen 72 uur

> onverwijld en in elk geval binnen 72 uur nadat zij kennis hebben gekregen van het significante incident, een incidentmelding indienen met, indien van toepassing, een update van de in punt a) bedoelde informatie, een initiële beoordeling van het significante incident, met inbegrip van de ernst en de gevolgen ervan en, indien beschikbaar, de indicatoren voor aantasting;

### Update van de vroegtijdige waarschuwing

Niet vermeld.

### Eerste beoordeling van het incident, met inbegrip van ernst en gevolgen

Niet vermeld.

### Indicatoren van compromittering, waar beschikbaar

Niet vermeld.

## 4. Het eindverslag, binnen 1 maand na de melding

> uiterlijk één maand na de indiening van het in punt b) bedoelde incidentmelding, een eindverslag indienen waarin het volgende is opgenomen:

### (i) een gedetailleerde beschrijving van het incident, met inbegrip van de ernst en de gevolgen ervan

Niet vermeld.

### (ii) het soort bedreiging of de grondoorzaak die waarschijnlijk tot het incident heeft geleid

Niet vermeld.

### (iii) toegepaste en lopende risicobeperkende maatregelen

Niet vermeld.

### (iv) in voorkomend geval, de grensoverschrijdende gevolgen van het incident

Niet vermeld.

> indien het incident nog aan de gang is op het moment dat het in punt d) bedoelde eindverslag wordt ingediend, zorgen de lidstaten ervoor dat de betrokken entiteiten op dat moment een voortgangsverslag indienen en binnen één maand nadat zij het incident hebben afgehandeld, een eindverslag indienen.

De uren, de maand en de onderdelen zijn uit de richtlijn gelezen, nooit hier getypt; het moment van kennisneming en de significantie zijn de eigen bevindingen van het bedrijf. De omzettingswet van de lidstaat kan velden en een portaal toevoegen. Dit is een document, geen juridisch advies.

Een softwarebedrijf onder de CRA of de AVG laat vanaf hetzelfde moment van kennisneming een tweede klok lopen, met een andere ontvanger en drempel: welke incidentklok loopt voor een softwarebedrijf

Drie meldingen uit één incidentregistratie

StandardOS opent de klok van 24 uur op het moment dat een incident wordt vastgelegd, stelt de vroegtijdige waarschuwing, de melding en het eindverslag op uit dezelfde registratie, en laat de CRA- en AVG-klokken ernaast lopen waar zij gelden.

De uren, de maand, de significantievoorwaarden en de onderdelen van de meldingen zijn uit artikel 23 van de richtlijn gelezen, nooit op deze pagina getypt; het CSIRT is het register van het CSIRT-netwerk. Of een incident significant is, is de eigen lezing van het bedrijf. Dit is een document, geen juridisch advies.