NIS2 meldplicht in het kort: organisaties onder de Cyberbeveiligingswet (Cbw) sturen bij een significant incident binnen 24 uur een vroegtijdige waarschuwing, doen binnen 72 uur een incidentmelding en leveren binnen een maand een eindverslag. Voor MSP’s en MSSP’s bepaalt de Europese Uitvoeringsverordening (EU) 2024/2690 wanneer een incident significant is. De lat ligt laag: een beheerde dienst die langer dan 30 minuten volledig onbeschikbaar is, of één vermoedelijk kwaadwillige aantasting van gegevens, is al genoeg.
Veel MSP’s werken nog met de algemene definitie uit de wet: ernstige verstoring of financiële schade. Daar hoort de reflex bij om te wachten tot een incident groot genoeg voelt. Voor aanbieders van beheerde diensten ligt significant vooraf vast, in minuten en procenten. Dit artikel zet de drempels, de termijnen en de klantkant op een rij.
Wat is de NIS2 meldplicht?
De meldplicht staat in artikel 23 van de NIS2 richtlijn en geldt in Nederland via de Cbw, sinds 15 augustus 2026. Een incident is significant als het:
- ernstige operationele verstoring van de diensten of financiële verliezen voor de organisatie veroorzaakt of kan veroorzaken, of
- andere personen of organisaties aanzienlijke materiële of immateriële schade toebrengt of kan toebrengen.
Die definitie laat veel ruimte. Voor de meeste sectoren vullen het Cyberbeveiligingsbesluit en ministeriële regelingen haar verder in. Voor een aantal digitale diensten doet Europa dat rechtstreeks, met de Uitvoeringsverordening (EU) 2024/2690. Daaronder vallen aanbieders van beheerde diensten (MSP’s) en van beheerde beveiligingsdiensten (MSSP’s), maar onder meer ook cloudaanbieders, datacenters, DNS aanbieders en aanbieders van vertrouwensdiensten.
Een verordening hoeft niet te worden omgezet in Nederlandse wetgeving. Ze geldt rechtstreeks voor elke MSP die onder de Cbw valt.
Valt jouw MSP onder de meldplicht?
Aanbieders van beheerde diensten vallen in een sector van hoge kritikaliteit (bijlage I van NIS2). Of jouw MSP onder de wet valt, hangt af van de omvang:
| Omvang | Criterium | Status onder de Cbw |
|---|---|---|
| Klein | Minder dan 50 medewerkers, en jaaromzet of balanstotaal niet boven 10 miljoen euro | Valt niet zelf onder de wet |
| Middelgroot | 50 tot 250 medewerkers, of jaaromzet én balanstotaal elk boven 10 miljoen euro | Belangrijke entiteit |
| Groot | Vanaf 250 medewerkers, of jaaromzet boven 50 miljoen én balanstotaal boven 43 miljoen euro | Essentiële entiteit |
Belangrijke en essentiële entiteiten hebben dezelfde meldplicht. Het verschil zit in het toezicht, niet in de drempels. Hoort je MSP bij een groep, dan tellen verbonden ondernemingen mee volgens de Europese definitie van het mkb. Laat dat bij twijfel toetsen.
Kleine MSP’s vallen niet zelf onder de wet, maar krijgen de meldplicht vaak alsnog via het contract: klanten die er wel onder vallen, leggen meldtermijnen vast bij hun leveranciers. Twijfel je over je status, doe dan de NIS2 Scope Check.
De drempels voor MSP’s: artikel 10
Artikel 10 van de uitvoeringsverordening noemt vier situaties. Eén is genoeg.
| Situatie | Drempel | Didactisch voorbeeld |
|---|---|---|
| Volledige onbeschikbaarheid | Een beheerde dienst is langer dan 30 minuten volledig onbeschikbaar | De beheerde monitoring ligt voor alle klanten plat |
| Beperkte beschikbaarheid | Langer dan een uur beperkt beschikbaar voor meer dan 5 procent van de gebruikers in de EU, of voor meer dan 1 miljoen gebruikers (het kleinste getal telt) | De beheerde werkplek werkt bij een deel van de klanten niet |
| Aantasting door een vermoedelijk kwaadwillige handeling | Geen minimum. De integriteit, vertrouwelijkheid of authenticiteit van gegevens rond de dienst is aangetast | Een aanvaller misbruikt één beheeraccount bij één klant |
| Aantasting met brede impact | Gegevens aangetast bij meer dan 5 procent van de gebruikers, of bij meer dan 1 miljoen | Een foutief script beschadigt gegevens bij een groot deel van de klanten |
De derde regel is de belangrijkste. Bij een vermoedelijk kwaadwillige handeling telt de omvang niet. Eén klant en één beheeraccount zijn genoeg.
Hoe tel je gebruikers?
Artikel 3 lid 3 van de verordening schrijft voor hoe je telt: klanten met een contract, plus de personen en organisaties bij zakelijke klanten die de dienst gebruiken. Voor een MSP zijn dat dus de eindgebruikers bij je klanten, niet alleen het aantal klanten. En je telt per dienst.
Rekenvoorbeeld (didactisch): een MSP heeft 40 klanten met samen 2.000 eindgebruikers op de beheerde werkplek. 5 procent is ongeveer 100 gebruikers. Valt de werkplek langer dan een uur uit bij één klant met 120 medewerkers, dan is de drempel gehaald. Wie in klanten telt, ziet 1 van de 40 en denkt ruim onder de grens te zitten. Wie in gebruikers telt, moet melden.
Drempels die daarnaast gelden: artikel 3 en 4
Naast artikel 10 gelden de algemene drempels uit de verordening:
- Financieel verlies: direct financieel verlies, ook als het nog kan ontstaan, boven 500.000 euro of 5 procent van de jaaromzet over het vorige boekjaar. Het laagste bedrag telt. Voor een MSP met 6 miljoen euro omzet ligt de grens dus op 300.000 euro.
- Bedrijfsgeheimen: diefstal van bedrijfsgeheimen, of het risico daarop.
- Personen: overlijden of aanzienlijke schade aan de gezondheid van een persoon, of het risico daarop.
- Ongeoorloofde toegang: een geslaagde, vermoedelijk kwaadwillige en ongeoorloofde toegang tot netwerken en informatiesystemen die ernstige operationele verstoring kan veroorzaken.
- Terugkerende incidenten (artikel 4): incidenten die los niet significant zijn, tellen samen als één significant incident als ze minstens twee keer binnen zes maanden voorkwamen, dezelfde vermoedelijke oorzaak hebben en samen boven de financiële drempel komen.
Gepland onderhoud en geplande onderbrekingen tellen niet mee (artikel 3 lid 2). Voorwaarde is dat het gepland was. Leg je onderhoudsvensters dus vast.
Meldtermijnen: 24 uur, 72 uur en een maand
| Stap | Termijn | Wat erin moet |
|---|---|---|
| Vroegtijdige waarschuwing | Onverwijld, uiterlijk 24 uur na kennisname | Of het incident vermoedelijk door een onrechtmatige of kwaadwillige handeling komt, en of er gevolgen over de grens kunnen zijn |
| Incidentmelding | Onverwijld, uiterlijk 72 uur na kennisname | Een update van de waarschuwing, een eerste beoordeling van ernst en impact, en indicatoren van compromittering als die er zijn |
| Tussentijds verslag | Op verzoek van het CSIRT of de toezichthouder | De stand van zaken |
| Eindverslag | Uiterlijk een maand na de incidentmelding | Beschrijving met ernst en impact, type dreiging of grondoorzaak, genomen en lopende maatregelen, gevolgen over de grens |
| Voortgangsverslag | Als het incident na die maand nog loopt | De stand van zaken. Het eindverslag volgt dan binnen een maand na afhandeling |
Waar meld je?
Via het centrale meldportaal van het NCSC (mijn.ncsc.nl). De melding gaat door naar het CSIRT en naar de toezichthouder. Voor MSP’s is dat de Rijksinspectie Digitale Infrastructuur (RDI). De registratie in het entiteitenregister loopt via hetzelfde portaal. Zorg dat accounts en bevoegdheden geregeld zijn voordat je ze nodig hebt.
Wanneer begint de klok?
De termijnen lopen vanaf kennisname van een significant incident. De Belgische toezichthouder CCB legt dat in zijn richtsnoeren uit als het moment waarop je na een eerste beoordeling redelijke zekerheid hebt dat het incident significant is. Dat is een bruikbare werkdefinitie: niet het eerste alert, maar ook niet het einde van het forensisch onderzoek.
Leg het moment van classificatie vast, met datum en tijd. Dat tijdstempel is later je bewijs dat je op tijd was.
Klanten informeren: een aparte plicht
Artikel 23 van NIS2 vraagt meer dan een melding aan de overheid. Waar dat passend is, informeer je de afnemers van je diensten onverwijld over een significant incident dat jouw dienstverlening aan hen waarschijnlijk raakt. Bij een significante cyberdreiging laat je afnemers die geraakt kunnen worden weten welke maatregelen zij zelf kunnen nemen.
Voor MSP’s weegt dit zwaar. Jouw incident is vaak het startsignaal voor de meldplicht van je klant, met eigen drempels en een eigen klok. Leg daarom in elk contract vast:
- binnen hoeveel uur je de klant informeert
- wie aan beide kanten het aanspreekpunt is, ook buiten kantoortijd
- welke informatie je levert, zodat de klant zelf kan beoordelen of melden nodig is
Fictief scenario: de eerste 24 uur bij een MSP
Stel je het volgende fictieve marktscenario voor. Een MSP met 60 medewerkers, een belangrijke entiteit onder de Cbw, beheert de werkplekken van 45 klanten met samen ongeveer 1.900 eindgebruikers. Het scenario is didactisch en niet gebaseerd op een bestaande organisatie of gebeurtenis.
Zaterdag 02:40. De EDR bij een klant meldt een PowerShell script dat via de RMM agent op 30 werkplekken start.
03:15. De engineer van dienst ziet hetzelfde script klaarstaan voor twee andere klanten. Hij zet de geplande RMM taken stil en blokkeert het beheeraccount waarmee de taak is aangemaakt.
04:00. De dienstdoende manager stelt vast: het script is uitgerold buiten een onderhoudsvenster, zonder wijzigingsticket, via een beheeraccount van de MSP. Vermoedelijk kwaadwillig, met aantasting van de integriteit van systemen en gegevens bij drie klanten. Dat valt onder artikel 10, onder c: significant. Kennisname is 04:00, dus de vroegtijdige waarschuwing moet uiterlijk zondag 04:00 binnen zijn.
09:30. De vroegtijdige waarschuwing gaat via het meldportaal, met het vermoeden van een kwaadwillige handeling.
10:00. De drie klanten krijgen een bericht met tijdlijn, getroffen systemen en een vast aanspreekpunt. Twee van hen vallen zelf onder de Cbw en beoordelen hun eigen meldplicht.
Uiterlijk dinsdag 04:00. De incidentmelding, met een eerste beoordeling en de indicatoren van compromittering.
Uiterlijk een maand na de incidentmelding. Het eindverslag, met grondoorzaak en maatregelen.
Wat dit scenario laat zien: het besluit om te melden viel 80 minuten na het eerste alert, op basis van de aard van het incident en zonder dat de volledige omvang bekend was. Bij een vermoedelijk kwaadwillige handeling hoeft dat ook niet.
Vijf fouten die MSP’s vaak maken
- Wachten op forensische zekerheid. De klok loopt vanaf redelijke zekerheid, niet vanaf het rapport.
- Tellen in klanten in plaats van gebruikers. Zie het rekenvoorbeeld hierboven.
- De 30 minuten vergeten bij uitval zonder aanvaller. Is een beheerde dienst, zoals de backup of de monitoring, voor alle klanten langer dan 30 minuten volledig onbeschikbaar, dan is dat significant. Ook als niemand kwaadwillig handelde.
- Niemand is ’s nachts bevoegd. De technicus weet het, maar mag niet melden. Wijs een meldbevoegde aan, met een plaatsvervanger.
- De klant vergeten. Wel melden bij het NCSC, maar de klant pas dagen later informeren, terwijl die daar een eigen termijn aan heeft hangen.
Checklist: is dit incident significant?
Loop de vragen op volgorde door. Eén keer ja betekent: melden.
- Zijn gegevens rond een beheerde dienst aangetast door een vermoedelijk kwaadwillige handeling?
- Was een beheerde dienst langer dan 30 minuten volledig onbeschikbaar?
- Was een beheerde dienst langer dan een uur beperkt beschikbaar voor meer dan 5 procent van de gebruikers?
- Zijn gegevens aangetast bij meer dan 5 procent van de gebruikers van een dienst?
- Was er een geslaagde, vermoedelijk kwaadwillige en ongeoorloofde toegang die ernstige verstoring kan veroorzaken?
- Is er direct financieel verlies, of kan dat ontstaan, boven 500.000 euro of 5 procent van de jaaromzet, het laagste bedrag?
- Zijn bedrijfsgeheimen gestolen, of is er gevaar voor leven of gezondheid?
- Is dit de tweede keer binnen zes maanden met dezelfde oorzaak, en komen de incidenten samen boven de financiële drempel?
Ging het om gepland onderhoud, dan telt het niet. Twijfel je, meld dan. Een melding die achteraf niet significant blijkt, kost minder dan een gemiste termijn.
Zo richt je het in: vijf maatregelen
- Zet de drempels in je incidentprocedure. Per dienst, met de telling van gebruikers erbij. Een gap analyse laat zien waar je procedure nu tekortschiet.
- Wijs een meldbevoegde aan. Dag en nacht bereikbaar, met een plaatsvervanger en een eigen account in het meldportaal.
- Pas je klantcontracten aan. Termijn, aanspreekpunten en de informatie die je levert.
- Registreer tijdstempels. Detectie, classificatie, melding en klantbericht.
- Oefen twee keer per jaar. Een crisisoefening aan tafel, met een scenario zoals hierboven. Hoe volwassen je detectie en respons zijn, meet je met het SOC-CMM volwassenheidsmodel.
Veelgestelde vragen over de NIS2 meldplicht
Wat is een significant incident onder NIS2? Een incident dat ernstige operationele verstoring of financiële verliezen veroorzaakt of kan veroorzaken, of anderen aanzienlijke schade toebrengt. Voor MSP’s, MSSP’s en een aantal andere digitale diensten legt Uitvoeringsverordening (EU) 2024/2690 concrete drempels vast.
Welke drempels gelden voor MSP’s? Een beheerde dienst die langer dan 30 minuten volledig onbeschikbaar is, die langer dan een uur beperkt beschikbaar is voor meer dan 5 procent van de gebruikers, gegevens die zijn aangetast door een vermoedelijk kwaadwillige handeling (ongeacht de omvang), of aantasting bij meer dan 5 procent van de gebruikers. Daarnaast gelden algemene drempels, zoals direct financieel verlies boven 500.000 euro of 5 procent van de jaaromzet.
Binnen hoeveel uur moet je een significant incident melden? De vroegtijdige waarschuwing uiterlijk 24 uur na kennisname, de incidentmelding uiterlijk 72 uur na kennisname en het eindverslag uiterlijk een maand na de incidentmelding.
Waar meld je een significant incident in Nederland? Via het centrale meldportaal van het NCSC. De melding komt bij het CSIRT en bij de toezichthouder. Voor MSP’s is dat de Rijksinspectie Digitale Infrastructuur.
Telt gepland onderhoud als significant incident? Nee. Geplande onderbrekingen en de geplande gevolgen van onderhoud tellen niet mee. Leg onderhoudsvensters vooraf vast, zodat je dat kunt aantonen.
Moet ik mijn klanten informeren over een incident? Ja, onverwijld en waar passend, als het incident jouw dienstverlening aan hen waarschijnlijk raakt. Voor klanten die zelf onder de Cbw vallen, is jouw bericht vaak het begin van hun eigen meldtermijn.
Geldt de uitvoeringsverordening ook voor kleine MSP’s? Alleen voor MSP’s die onder de Cbw vallen, in de regel vanaf middelgrote omvang. Kleine MSP’s krijgen vergelijkbare eisen meestal via de contracten van klanten die wel onder de wet vallen.
Is een melding onder de Cbw hetzelfde als een datalekmelding onder de AVG? Nee. Een significant incident meld je via het NCSC. Een datalek met persoonsgegevens meldt de verwerkingsverantwoordelijke binnen 72 uur bij de Autoriteit Persoonsgegevens, tenzij het waarschijnlijk geen risico oplevert. Als MSP ben je voor klantgegevens meestal verwerker: dan informeer je de klant zonder onredelijke vertraging, en meldt de klant. Eén gebeurtenis kan dus twee meldingen vragen, met een andere inhoud.
Wat gebeurt er als je te laat meldt? De toezichthouder kan handhaven met een last onder dwangsom of een boete. De maxima uit NIS2 zijn 10 miljoen euro of 2 procent van de wereldwijde jaaromzet voor essentiële entiteiten en 7 miljoen euro of 1,4 procent voor belangrijke entiteiten. Het hoogste bedrag telt.
Volgende stap
Weet je nog niet of je MSP onder de wet valt, doe dan de NIS2 Scope Check. Wat de Cbw verder van MSP’s vraagt, lees je in NIS2 voor MSP’s. Voor de detectiekant: een SOC inrichten. En over de rol van het bestuur: NIS2 training bestuurders.