NIS2 meldplicht én AVG-datalek: één incident, twee klokken

Zaterdag, 02:10. De fileserver van je klant, een Brabantse zorgaanbieder, begint bestanden te versleutelen. Om 08:00 weet je drie dingen: de aanvaller zit erin, er staan patiëntgegevens op die server, en de klok loopt sinds het moment dat jij het wist. De NIS2-vroegwaarschuwing moet binnen 24 uur de deur uit. De AVG-melding bij de Autoriteit Persoonsgegevens (AP) volgt waarschijnlijk binnen 72 uur. Twee instanties, twee formats, en de ene melding vervangt de andere niet.

Dat is het dubbele meldingsprobleem. Het komt eerst bij de MSP terecht, want de MSP beheert meestal de logs.

NIS2 meldplicht en AVG-datalek: twee regimes, één incident

NIS2 (Richtlijn (EU) 2022/2555) beschermt de continuïteit en veiligheid van diensten. De AVG (Verordening (EU) 2016/679) beschermt mensen van wie persoonsgegevens uitlekken. Eén incident kan beide regimes raken.

Artikel 23 NIS2 kent voor een significant incident drie stappen: een vroegwaarschuwing binnen 24 uur nadat je kennis hebt genomen, een incidentmelding binnen 72 uur en een eindrapport uiterlijk één maand na die melding. Artikel 33 AVG vraagt één melding bij de toezichthouder binnen 72 uur na kennisname van een datalek, tenzij het onwaarschijnlijk is dat het een risico voor betrokkenen oplevert. Artikel 34 AVG voegt daaraan toe dat je betrokkenen informeert bij een hoog risico.

De twee klokken starten vaak tegelijk. Ze eindigen niet tegelijk. De NIS2-vroegwaarschuwing is als eerste aan de beurt, dus die gaat als eerste weg.

Eén melding dekt nooit beide

Een melding bij het NCSC ontslaat je niet van de AVG-plicht. Een datalekmelding bij de AP start of stopt de NIS2-cascade niet. Ontvanger, trigger en inhoud verschillen. De NIS2-melding gaat over operationele impact en technische indicatoren. De AVG-melding gaat over categorieën gegevens, aantal betrokkenen en de gevolgen voor hen.

NIS2 erkent de overlap wel. De overwegingen vragen om samenwerking tussen de bevoegde autoriteiten en de gegevensbeschermingsautoriteiten, en artikel 35 gaat over inbreuken waarbij persoonsgegevens betrokken zijn. Die samenwerking speelt tussen toezichthouders. Het scheelt je klant geen werk.

De tijdlijn voor een incident met persoonsgegevens

Behandel de eerste 72 uur als één operatie met twee uitkomsten.

In de praktijk komt dat neer op drie gewoontes:

1. Dien de NIS2-vroegwaarschuwing eerst in, ook als die onvolledig is. Het is een signaal, geen afgeronde analyse. Schrijf wat je weet en markeer wat je niet weet.
2. Leg de feiten één keer vast. Tijdlijn, getroffen systemen, categorieën gegevens, geschat aantal betrokkenen, genomen maatregelen. Beide meldingen hergebruiken dat dossier.
3. Beoordeel twee keer. "Significant incident" onder NIS2 en "risico voor betrokkenen" onder de AVG zijn verschillende toetsen. Een incident kan de ene halen en de andere niet.

Voor de NIS2-kant in detail: zie NIS2-meldplicht: de deadlines van 24 uur, 72 uur en één maand.

Wat de Nederlandse wet toevoegt

De termijnen komen uit de Europese teksten. Het meldpunt en de toezichthouder komen uit nationaal recht. De Cyberbeveiligingswet (Cbw) is sinds 15 augustus 2026 van kracht. Het NCSC treedt op als CSIRT en is het centrale meldpunt voor de NIS2-melding. Voor sectorale toezichthouders geldt dat de bevoegde autoriteit per sector verschilt, dus controleer per klant wie er toezicht houdt. De AVG-melding blijft naar de Autoriteit Persoonsgegevens gaan, via hun datalekloket.

Heeft je klant ook vestigingen buiten Nederland, dan loopt de melding per land anders:

• Duitsland: meldt via het BSI-portaal (§ 32 BSIG), AVG-melding bij de bevoegde datatoezichthouder.
• Italië: ACN via CSIRT Italia (artikel 25 van D.Lgs. 138/2024), AVG-melding bij de Garante.
• Polen: het bevoegde CSIRT (NASK, GOV of MON), AVG-melding bij UODO.
• Frankrijk en Spanje: geen nationale NIS2-wet van kracht. De AVG-melding bij de CNIL of AEPD binnen 72 uur is wel gewoon verplicht.

Eén meldloket is voorgesteld, nog niet van kracht

De Europese Commissie stelt in het Digital Omnibus-pakket een centraal meldpunt voor incidenten voor, beheerd door ENISA, via een nieuw artikel 23a in NIS2. Volgens berichtgeving van juli 2026 zou de AVG-meldplicht daarbij naar een drempel van "hoog risico" gaan en de termijn van 72 naar 96 uur. De onderhandelingen tussen Parlement en Raad liepen toen nog. Het meldpunt zou 18 maanden na inwerkingtreding gelden, te verlengen tot 24.

Bouw geen klantproces op een voorstel. Bouw voor het recht dat nu geldt en houd het proces modulair, zodat een nieuw portaal één stap wijzigt en niet alle.

Wat je vóór het incident regelt

MSP's krijgen de schuld van trage meldingen, ook als de klant de plicht draagt. Het bestuur van de klant blijft verantwoordelijk. Jouw taak is de plicht uitvoerbaar maken.

• Een beslisblad van één pagina: wie bepaalt "significant", wie bepaalt "datalek", wie tekent binnen uren af.
• Vooraf ingevulde contactgegevens van NCSC en AP, en van de buitenlandse autoriteiten bij internationale klanten.
• Een gedeeld incidentdossier met velden die op beide meldingen aansluiten.
• Een regel dat de vroegwaarschuwing op het 24-uursmoment vertrekt, wat de stand van de analyse ook is.
• Een schriftelijke reden telkens als het team besluit niet te melden. Toezichthouders vragen daarom.

Dit is terrein van artikel 21, lid 2, onder b. Onze gids over NIS2 incidentafhandeling laat zien waarom het afhandelproces vaker faalt bij audits dan de melding zelf.

Check de gap vóór het telefoontje op zaterdag

Kun je nu niet zeggen wie per klant de vroegwaarschuwing indient en wie de AVG-melding, dan heb je de gap gevonden. Doe de NIS2 Quick Scan en zie hoe incidentafhandeling en meldgereedheid van een klant scoren ten opzichte van de maatregelen uit artikel 21.

Schrijf daarna de twee klokken op, benoem de twee eigenaren en test het proces één keer voordat het echt is. Het bredere MSP-beeld staat in NIS2 voor MSP's en MSSP's.