NIS2 incidentafhandeling: waarom Artikel 21(2)(b) meer audits laat mislukken dan Artikel 23
Een security-analist bij een Nederlandse managed service provider ziet om 02:14 op zaterdag ongewoon uitgaand verkeer vanaf de fileserver van een klant. Ze maakt een ticket aan, zet er "onderzoeken" op en gaat verder met de wachtrij. De accountmanager leest het maandag om 09:30, belt de klant, en dan stelt eindelijk iemand de vraag die telt: is dit meldplichtig?
Op dat moment is het venster van 24 uur voor de vroegtijdige waarschuwing al 31 uur gesloten.
Dat is geen falen in de incidentmelding. Dat is een falen in de NIS2-incidentafhandeling — Artikel 21(2)(b) — en dat is de maatregel die stilzwijgend bepaalt of elke andere termijn in de richtlijn haalbaar is.
Artikel 23 krijgt de aandacht. Artikel 21(2)(b) bepaalt of je het haalt
De meeste compliance-gesprekken beginnen bij de meldklok: 24 uur, 72 uur, één maand. Die termijnen komen uit Artikel 23. Ze zijn zichtbaar, telbaar en makkelijk op een slide te zetten.
Artikel 21(2)(b) is de maatregel eronder. Het vereist incidentafhandeling — een gedocumenteerd en beoefend proces voor detectie, analyse, indamming, respons en herstel na incidenten.
De relatie loopt één kant op. Je kunt geen incident melden dat je niet hebt geclassificeerd. Je kunt geen incident classificeren dat niemand heeft geëscaleerd. Je kunt geen incident escaleren dat een heel weekend in een ticketwachtrij staat met het label "onderzoeken".
Wanneer een toezichthouder een gemiste termijn van 24 uur constateert, stopt hij niet bij die termijn. Hij vraagt hoe de entiteit ervan op de hoogte raakte, wie besloot, en op basis van welke criteria. Die vraaglijn komt recht bij Artikel 21(2)(b) uit — en vindt daar meestal niets op papier.
Wat de bindende tekst werkelijk eist
Artikel 21(2)(b) van de richtlijn is één regel. Het detail zit in Uitvoeringsverordening (EU) 2024/2690 van de Commissie, die rechtstreeks geldt in alle 27 lidstaten, zonder nationale omzetting.
De CIR bindt een specifieke lijst entiteitstypen: DNS-dienstverleners, TLD-registers, aanbieders van cloudcomputingdiensten, aanbieders van ICT-dienstenbeheer en beheerde beveiligingsdiensten, onlinemarktplaatsen, onlinezoekmachines, socialenetwerkplatforms en verleners van vertrouwensdiensten. Run je een MSP of MSSP, dan sta je op die lijst — niet als leverancier, maar als gereguleerde entiteit op eigen titel. Die dubbele verplichting behandelden we in NIS2 voor MSPs en MSSPs.
Voor alle anderen — energie, zorg, transport, industrie, openbaar bestuur — is de CIR formeel niet bindend, maar het is wel de meest gezaghebbende beschrijving van wat "passend en evenredig" betekent. Ga ervan uit dat je toezichthouder hem zo leest, want iets beters heeft hij niet.
Punt 3 van de bijlage bij de CIR gaat over incidentafhandeling. Het vereist beleid en procedures voor detectie, analyse, indamming, respons en herstel; vastgelegde rollen en verantwoordelijkheden; logging; escalatie- en communicatielijnen; en een gestructureerde evaluatie achteraf die geleerde lessen terugvoert naar de andere maatregelen.
Die laatste zin slaan teams over. Incidentafhandeling is geen lus die eindigt zodra het systeem draait. Het is input voor je risicoanalyse, je opleidingsprogramma en je effectiviteitsbeoordeling onder Artikel 21(2)(f).
Artikel 21 — 10 NIS2 Cybersecuritymaatregelen
Artikel 21
10 Cybersecuritymaatregelen
Governance & Strategie
1Risicoanalyse & informatiebeveiligingsbeleid6Effectiviteitsbeoordeling van beveiligingsmaatregelenIncidenten & Continuïteit
2Incidentafhandeling & melding3Bedrijfscontinuïteit & disaster recoveryToeleveringsketen & Systemen
4Beveiliging van de toeleveringsketen5Beveiliging bij de ontwikkeling van netwerk- en informatiesystemenTechnische Beheersing
8Cryptografie & versleuteling10Multi-factor authenticatie & veilige communicatieMensen & Middelen
7Cyberhygiëne & training9HR-beveiliging & toegangscontrole
Je significantiedrempel is een control, geen ingeving
De CIR laat "significant" niet aan interpretatie over. Artikel 3 stelt criteria: een incident is significant als het directe financiële schade van meer dan EUR 500.000 of 5% van de jaaromzet veroorzaakt, leidt tot exfiltratie van bedrijfsgeheimen, of de dood dan wel aanzienlijke gezondheidsschade veroorzaakt.
Artikel 4 voegt een regel toe die de meeste incidentprocessen volledig negeren: terugkerende incidenten die afzonderlijk onder de drempel blijven, mogen worden opgeteld en als één significant incident worden behandeld als ze samen binnen zes maanden de criteria halen. Vijf kleine credential-stuffing-events over een klantenbestand zijn geen vijf niet-gebeurtenissen. Het kan één meldplichtig incident zijn, en niemand ziet het tenzij iemand het totaal bijhoudt.
Artikel 5 scherpt dit verder aan voor DNS-aanbieders en TLD-registers — beschikbaarheid die voor welke periode dan ook onder 99,9% zakt, is op zichzelf al genoeg.
Het praktische gevolg voor consultants: de classificatiecriteria van je klant moeten vóór een incident vastliggen, gekoppeld aan deze drempels, en belegd bij een benoemde rol. Een analist om 02:14 op zaterdag hoort geen significantietoets te bedenken. Ze hoort er een toe te passen.
De klok loopt vanaf kennisname, niet vanaf overeenstemming
Artikel 23(3) start het venster van 24 uur zodra de entiteit kennis krijgt van een significant incident. Niet zodra het management het eens is dat het significant is. Niet zodra het incident response-retainer wordt geactiveerd. Niet op maandag.
Dat onderscheid is de bron van de meeste gemiste termijnen. De organisatie had de informatie op zaterdag en het besluit op maandag, en beschouwt het gat als intern proces. De toezichthouder beschouwt het als 31 uur vertraging.
Bouw het proces in plaats daarvan terug vanaf de deadline. Als de vroegtijdige waarschuwing binnen 24 uur moet, dan moet escalatie naar een beslisser binnen uren gebeuren, dus moet detectie een geclassificeerd alarm afgeven, dus moet er buiten kantooruren iemand bereikbaar zijn met beslisbevoegdheid. Elk daarvan is een ontwerpkeuze die je nu maakt of tijdens een incident ontdekt.
De volledige reeks — vroegtijdige waarschuwing na 24 uur, incidentmelding na 72 uur, eindrapport na één maand — staat in onze gids over meldtermijnen, en de officiële meldsjablonen laten precies zien welke velden je onder tijdsdruk moet invullen.
NIS2 Incidentmeldingstijdlijn
24hVroege Waarschuwing
Meld het significante incident binnen 24 uur na ontdekking bij de bevoegde autoriteit (CSIRT/NCA).
Stap 172hIncidentmelding
Dien binnen 72 uur een gedetailleerde melding in met een eerste beoordeling van ernst, impact en indicatoren van compromittering.
Stap 21moEindrapport
Lever binnen één maand een uitgebreid eindrapport op met oorzaakanalyse, genomen maatregelen en grensoverschrijdende impact.
Stap 324hVroege Waarschuwing
Meld het significante incident binnen 24 uur na ontdekking bij de bevoegde autoriteit (CSIRT/NCA).
72hIncidentmelding
Dien binnen 72 uur een gedetailleerde melding in met een eerste beoordeling van ernst, impact en indicatoren van compromittering.
1moEindrapport
Lever binnen één maand een uitgebreid eindrapport op met oorzaakanalyse, genomen maatregelen en grensoverschrijdende impact.
Vijf plekken waar incidentafhandeling breekt in een echte klantomgeving
Detectie levert alerts op, geen incidenten. Een SIEM die 400 alerts per dag afvuurt, is geen incidentdetectie. Detectie onder punt 3 van de bijlage betekent dat alerts worden getrieerd in een vastgelegd severity-model, met eigenaar en responstijd.
Escalatie hangt aan één persoon. Het proces werkt omdat Marco weet wat hij moet doen. Marco is op vakantie. Documenteer de rol, niet de persoon, en benoem een plaatsvervanger.
Dekking buiten kantooruren wordt aangenomen, niet vastgelegd. Stel de directe vraag: wie heeft tussen vrijdag 18:00 en maandag 08:00 de bevoegdheid om een significant incident vast te stellen? Als daar een overleg voor nodig is, is het antwoord: niemand.
Afhankelijkheden van derden vallen buiten het proces. Het incident van je klant kan bij zijn cloudprovider beginnen, of bij jou. Artikel 21-verplichtingen verhuizen niet mee met de workload. Contractuele meldverplichtingen richting leveranciers horen in het plan — zie leverancierscontracten en NIS2.
De evaluatie achteraf is een gesprek, geen vastlegging. Een gesprek is geen bewijs. De CIR verwacht een gestructureerde evaluatie met bevindingen, eigenaren en doorgevoerde wijzigingen. Geen document, geen maatregel.
Toezicht escaleert als afhandeling ontbreekt
Essentiële entiteiten vallen onder ex-ante toezicht — autoriteiten mogen proactief auditen, zonder op een incident te wachten. Belangrijke entiteiten vallen onder ex-post toezicht, geactiveerd door een incident of geloofwaardige informatie over niet-naleving.
Beide routes eindigen op dezelfde plek als incidentafhandeling ontbreekt. Autoriteiten kunnen bindende aanwijzingen geven, specifieke herstelmaatregelen opleggen, melding aan getroffen klanten eisen, de niet-naleving publiceren en bestuurlijke boetes opleggen. Voor essentiële entiteiten ligt dat plafond op EUR 10 miljoen of 2% van de wereldwijde jaaromzet, afhankelijk van wat hoger is. De niet-financiële gevolgen zijn vaak de zwaardere — die behandelden we in 7 NIS2-sancties erger dan geld.
In 2026 is dit opgehouden theoretisch te zijn. De omzetting in de lidstaten is grotendeels rond, de Nederlandse Cyberbeveiligingswet trad op 15 augustus 2026 in werking, en de Commissie verwees in juli Ierland, Spanje, Frankrijk en Nederland naar het Hof van Justitie wegens onvolledige omzetting. Toezichthouders voeren inspecties uit op basis van nationale wetgeving die er ligt.
NIS2-sanctie-escalatie — Voorbij de boete
!Aanleiding
Non-compliance gedetecteerd of incident treedt op
Een toezichthouder identificeert een compliance-hiaat of een organisatie voldoet niet aan de NIS2-vereisten
Toezichthouders kunnen opleggen▼Niet-financiële sancties1Nalevingsbevelen met bindende deadlines
2Verplichte security-audits op eigen kosten
3Publieke bekendmaking van overtredingen
4Bindende instructies over specifieke beveiligingsmaatregelen
Escaleert naar▼Operationele en persoonlijke gevolgen1Opschorting van certificeringen of vergunningen
2Tijdelijk verbod op bestuursfuncties voor personen
3Publieke benoeming van verantwoordelijke natuurlijke personen
AanleidingNiet-financieelOperationeel / persoonlijk
Het bewijs dat het proces bestaat
Een auditor beoordeelt je intenties niet. Hij beoordeelt wat je kunt overleggen. Voor Artikel 21(2)(b) hoort in het dossier:
- Een incidentafhandelingsbeleid, goedgekeurd door de directie, met een reviewdatum binnen de laatste 12 maanden
- Vastgelegde classificatiecriteria, gekoppeld aan de drempels uit Artikel 3 van de CIR
- Een benoemde escalatieketen met plaatsvervangers en bereikbaarheid buiten kantooruren
- Incidenttickets met detectietijd, classificatietijd en beslistijd als afzonderlijke tijdstempels
- Minstens één oefening of tabletop uit het afgelopen jaar, met de bevindingen die het opleverde
- Evaluaties achteraf met toegewezen eigenaren en bewijs dat de acties zijn afgerond
- Loggingconfiguratie en bewaartermijn die het achteraf reconstrueren van een tijdlijn mogelijk maken
Dat laatste punt weegt zwaarder dan het lijkt. Is je bewaartermijn 30 dagen en dien je na één maand een eindrapport in, dan schrijf je mogelijk over gebeurtenissen die je niet meer kunt onderbouwen.
Begin bij de tijdstempels. Haal de laatste vijf incidenten uit een willekeurige klantomgeving en controleer of detectie, classificatie en besluit apart zijn vastgelegd. Zo niet, dan is het venster van 24 uur ongetest — en kom je er pas achter hoe lang het echt duurt tijdens het incident dat telt.
Wil je een gestructureerd beeld van waar een klant staat op alle tien Artikel 21-maatregelen voordat je een herstelplan toezegt, doe dan een gratis NIS2 quick scan. Het kost een paar minuten en geeft je een verdedigbaar startpunt voor het gesprek.
Incidentafhandeling is de maatregel die elke andere control omzet in respons. Krijg het proces, de criteria en de klok goed, en Artikel 23 wordt een administratieve stap. Krijg het fout, en geen enkele tooling haalt die deadline.