Bij een datalek waarbij persoonsgegevens betrokken zijn, heb je als verwerkingsverantwoordelijke of verwerker 72 uur om te melden bij de Autoriteit Persoonsgegevens (AP) — tenzij het onwaarschijnlijk is dat er risico is voor betrokkenen. Als de systemen in kwestie ook vallen onder NIS2 of de Cyberbeveiligingswet, geldt daarbovenop een afzonderlijke meldplicht bij het CSIRT binnen 24 uur. Voor MSPs is de kans groot dat beide plichten tegelijk gelden voor hetzelfde incident.
Twee meldplichten, één incident — het probleem dat MSPs onderschatten
De meeste MSPs kennen de AVG-meldplicht. Maar met de komst van de Cyberbeveiligingswet (Cbw) — de Nederlandse implementatie van de NIS2-richtlijn, verwacht Q2 2026 — is er een tweede, snellere meldplicht bijgekomen. Het gevaarlijke is dat beide plichten tegelijkertijd kunnen worden geactiveerd door hetzelfde incident.
Voorbeeld: ransomware-aanval waarbij klantdata wordt gestolen. Dit is tegelijkertijd:
- Een AVG-datalek (persoonsgegevens zijn gecompromitteerd) → melden bij AP, 72 uur
- Een significant NIS2-incident (beschikbaarheid en vertrouwelijkheid zijn aangetast) → melden bij CSIRT, 24 uur
Beide meldingen hebben verschillende formats, gaan naar verschillende toezichthouders, en vragen deels andere informatie. Wie alleen de AVG-melding doet en de NIS2-early-warning vergeet, is non-compliant — ook als de AVG-melding perfect is.
Daarnaast speelt de rol van MSP als verwerker een complicerende factor. Bij een AVG-datalek is de verwerkingsverantwoordelijke (jouw klant) primair meldplichtig bij de AP. Maar als MSP ben jij vaak de eerste die het incident ontdekt. Je verwerkersovereenkomst verplicht je de klant onverwijld te informeren — in de praktijk betekent dat: binnen uren, niet binnen dagen.
De AVG meldplicht: wanneer, hoe en bij wie
De Algemene Verordening Gegevensbescherming (AVG) definieert een datalek als “een inbreuk op de beveiliging die per ongeluk of op onrechtmatige wijze leidt tot de vernietiging, het verlies, de wijziging of de ongeoorloofde verstrekking van of de ongeoorloofde toegang tot doorgezonden, opgeslagen of anderszins verwerkte gegevens.”
Wanneer moet je melden bij de AP?
Je meldt bij de AP als het datalek “een risico inhoudt voor de rechten en vrijheden van betrokkenen.” De kernvraag is: welk risico lopen de personen van wie de gegevens zijn gelekt?
Vrijwel altijd melden:
- Medische of gezondheidsgegevens
- Financiële gegevens (rekeningnummers, betaalkaartgegevens)
- BSN-nummers, paspoortgegevens
- Gegevens van kinderen
- Grote aantallen betrokkenen (meer dan ~250 personen is een richtlijn, geen grens)
- Bijzondere categorieën persoonsgegevens (ras, godsdienst, seksuele gerichtheid)
Waarschijnlijk niet melden (maar wel intern documenteren):
- Verloren USB-stick die versleuteld was en waarbij de versleutelingssleutel niet is gelekt
- E-mail aan verkeerde ontvanger met niet-gevoelige gegevens
- Interne systemen tijdelijk onbereikbaar zonder data-exfiltratie
Bij twijfel: meld. De AP geeft aan dat een te vroege melding van incidenten die uiteindelijk geen risico bleken, minder problematisch is dan een te late melding van incidenten die wel schade hebben veroorzaakt.
De 72-uurs termijn: hoe te tellen
De termijn begint lopen op het moment dat de organisatie redelijkerwijs op de hoogte kan zijn van het datalek. Niet pas als je alle details kent, maar zodra je voldoende zekerheid hebt dat er een inbreuk heeft plaatsgevonden.
Voor MSPs: als jij als eerste het incident ontdekt, begint de klok voor jouw klant (de verwerkingsverantwoordelijke) op het moment dat jij hen informeert. Elke minuut die je wacht met het informeren van de klant, is een minuut die aftikt van hun 72-uurs termijn.
Wat er in de AP-melding moet staan
Een volledige melding bevat volgens artikel 33 AVG:
- Aard van de inbreuk (wat is er gebeurd?)
- Categorieën en geschat aantal betrokken personen
- Categorieën en geschat aantal betrokken persoonsgegevens
- Naam en contactgegevens van de Functionaris Gegevensbescherming (FG)
- Waarschijnlijke gevolgen van de inbreuk
- Genomen en voorgenomen maatregelen
Als je niet alle informatie binnen 72 uur beschikbaar hebt, meld dan wat je weet en vul aan zodra meer bekend is. Een gefaseerde melding is toegestaan en beter dan wachten tot je alles weet.
Wanneer moeten betrokkenen zelf worden geïnformeerd?
Als het datalek een hoog risico oplevert voor betrokkenen, moet je hen direct informeren — zonder onnodige vertraging. Hoog risico betekent: grote kans op ernstige schade zoals identiteitsfraude, financiële schade, discriminatie, reputatieschade of lichamelijk letsel.
Informatie aan betrokkenen moet in begrijpelijke taal uitleggen wat er is gebeurd, wat de mogelijke gevolgen zijn, en welke maatregelen zijn genomen. Vage mededelingen (“er heeft een incident plaatsgevonden”) voldoen niet.
De NIS2/Cbw meldplicht: sneller, andere toezichthouder
Naast de AVG-meldplicht bestaat onder de Cyberbeveiligingswet een afzonderlijke meldplicht voor significante incidenten. Deze gaat naar het Computer Security Incident Response Team (CSIRT) — niet naar de AP.
Drietraps meldproces
Stap 1 — Early warning (24 uur): Een eerste melding dat er een significant incident is. Minimale informatie: wat is er aan de hand, is er sprake van een vermoeden van kwade opzet, welke entiteiten zijn getroffen. Deze melding hoeft nog niet volledig te zijn — het gaat om tijdige signalering.
Stap 2 — Incident notification (72 uur): Uitgebreidere melding met de initiële beoordeling van het incident: aard, ernst, indicatoren van compromittering (IoCs), en eerste schatting van de impact.
Stap 3 — Eindrapport (1 maand): Volledige analyse van oorzaak, tijdlijn, impact, genomen herstelmaatregelen en aanbevelingen ter voorkoming van herhaling.
Wanneer is een incident “significant”?
Een incident is significant als het de beschikbaarheid, authenticiteit, integriteit of vertrouwelijkheid van netwerk- en informatiesystemen aanzienlijk verstoort, of als het aanzienlijke schade heeft veroorzaakt of kan veroorzaken aan andere personen of organisaties.
Voor MSPs zijn de drempelwaarden lager dan je zou verwachten: als jouw dienstverlening aan klanten wordt verstoord, als klantdata is gecompromitteerd, of als er aanwijzingen zijn dat de aanval de systemen van klanten kan bereiken via jouw beheerplatform, is melding vrijwel zeker vereist.
Wie is de toezichthouder voor MSPs?
Voor MSPs als IT-dienstverleners is dat primair de Rijksinspectie Digitale Infrastructuur (RDI). Afhankelijk van de sectoren waarin je klanten actief zijn, kunnen ook sectorale toezichthouders betrokken zijn.
Vergelijkingstabel: AVG versus NIS2/Cbw meldplicht
| Kenmerk | AVG meldplicht | NIS2/Cbw meldplicht |
|---|---|---|
| Trigger | Datalek met persoonsgegevens | Significant cyberbeveiligingsincident |
| Termijn eerste melding | 72 uur | 24 uur (early warning) |
| Toezichthouder | Autoriteit Persoonsgegevens (AP) | CSIRT / RDI |
| Meldplichtige | Verwerkingsverantwoordelijke | De entiteit zelf (ook verwerker) |
| Vervolgmelding | Aanvullen indien onvolledig | 72 uur + 1 maand eindrapport |
| Informeren betrokkenen | Ja, bij hoog risico | Niet altijd vereist |
| Sanctie niet-melden | Tot €20M of 4% omzet | Tot €10M of 2% omzet |
| Gelijktijdig van toepassing? | Ja — zelfde incident kan beide triggeren | Ja |
Praktische meldprocedure voor MSPs: voorbereiding is alles
Wachten tot een incident plaatsvindt om dan pas een procedure op te zetten, is te laat. Een goed voorbereide MSP heeft de volgende elementen klaarstaan:
1. Incident-classificatiematrix
Bepaal vooraf welke typen incidenten de meldplicht activeren. Voorbeelden:
- Ransomware met data-exfiltratie → altijd AVG + NIS2
- Ransomware zonder exfiltratie → NIS2 bijna zeker, AVG situationeel
- Dataleak door menselijke fout (verkeerde ontvanger) → AVG beoordelen, NIS2 zelden
- Ongeautoriseerde toegang tot klantdata → AVG + NIS2 beoordelen
2. Meldingstemplates
Maak vooraf invultemplates voor:
- Klant-notificatie (“wij informeren u dat…”)
- AP early warning (bij AP beschikbaar via meldloket.autoriteitpersoonsgegevens.nl)
- CSIRT early warning (beschikbaar via het Nationaal Cyber Security Centrum)
Templates voorkomen dat je in een crissituatie met een leeg scherm zit terwijl de klok tikt.
3. Escalatiematrix met contactgegevens
- Interne crisisteam: wie beslist over meldingsstatus?
- Klantcontacten voor alle klanten: wie is de primaire contactpersoon bij een incident?
- Juridisch adviseur: wie adviseert over meldingsplicht?
- AP meldloket: 088 – 1805 250
- NCSC/CSIRT: [email protected]
4. Documentatieprotocol
Elk incident — ook als je besluit niet te melden — moet worden gedocumenteerd. Log: datum/tijd van ontdekking, aard van het incident, betrokken data, risicoafweging, besluit (melden/niet melden) met motivatie, en genomen maatregelen. Dit is je bewijslast bij een latere AP-audit.
Veelgestelde vragen over de meldplicht datalekken
Moet ik als MSP zelf melden bij de AP?
Als MSP ben je doorgaans de verwerker — de verwerkingsverantwoordelijke (jouw klant) is primair meldplichtig bij de AP. Jouw contractuele verplichting is het onverwijld informeren van de klant zodat zij hun melding kunnen doen binnen de 72-uurs termijn. Voor de NIS2/Cbw meldplicht bij het CSIRT kan MSP zelf meldplichtig zijn als de eigen systemen zijn getroffen.
Wat als ik niet zeker weet of het een datalek is?
Meld bij twijfel en geef aan dat het incident nog wordt onderzocht. Dat is beter dan wachten op zekerheid en de termijn te overschrijden. Je kunt een melding aanvullen zodra meer bekend is.
Wat zijn de boetes voor niet-melden?
Onder de AVG tot €20 miljoen of 4% van de wereldwijde jaaromzet. Onder de Cbw voor essentiële entiteiten tot €10 miljoen of 2% van de omzet. Bovendien is reputatieschade bij klanten en media vaak de grotere schadepost.
Hoe lang moet ik incidentdocumentatie bewaren?
De AVG schrijft geen specifieke bewaartermijn voor incidentdocumentatie voor, maar de aanbeveling is minimaal 3 jaar. De Cbw volgt een vergelijkbare lijn. Bewaar het dossier inclusief de beslissing om al dan niet te melden, zodat je bij een latere audit kunt reconstrueren wat er is besloten en waarom.
Is een verdacht inlogpoging al een datalek?
Nee — een datalek vereist een inbreuk op de beveiliging, niet alleen een poging. Een succesvolle inlog via gestolen credentials waarbij data is ingezien, wél. Documenteer verdachte pogingen altijd, maar activeer de meldprocedure pas als er daadwerkelijk ongeautoriseerde toegang is geweest.
Wat als een klant zelf niet wil melden?
Als verwerker heb jij een informatieplicht richting de verwerkingsverantwoordelijke (de klant), maar de meldplicht bij de AP ligt bij de klant. Je kunt hen niet dwingen te melden, maar je kunt hen wel wijzen op de wettelijke verplichting en de risico’s van niet-melden. Leg het gesprek vast. Als de klant besluit niet te melden terwijl jij dit juridisch noodzakelijk acht, is juridisch advies verstandig.
Wil je weten of jouw MSP klaar is voor de dubbele meldplicht? Doe de gratis NIS2-quickscan of lees meer over NIS2 compliance voor MSPs.