Incidenten melden onder DORA: classificatie en termijnen

DORA vraagt één samenhangend proces om ICT-incidenten te registreren en te classificeren, en verplicht u de zware gevallen te melden bij uw toezichthouder. Niet elk incident hoeft gemeld: alleen de incidenten die als majeur worden geclassificeerd. Registreren doet u ze wel allemaal.

Het onderdeel waar instellingen op stukgaan is zelden de techniek. Het is de organisatie eromheen: wie beslist, op welk moment, met welke informatie, en wie doet dat om drie uur ’s nachts in het weekend.

Eerst registreren, dan classificeren

De basis is een proces waarmee u alle ICT-incidenten vastlegt, inclusief de kleine. Dat lijkt administratief, maar het heeft twee harde redenen. U moet kunnen aantonen dat u zicht heeft op wat er gebeurt, en u moet terugkerende patronen kunnen herkennen.

Dat tweede is geen formaliteit: losse incidenten die op zichzelf niet majeur zijn, kunnen samen wel die drempel halen als ze dezelfde oorzaak hebben en zich binnen een periode herhalen. Wie alleen de grote registreert, mist dat.

Vervolgens bepaalt u per incident of het majeur is, aan de hand van vaste criteria. Zie incidentclassificatie voor hoe die beoordeling werkt.

De drie meldmomenten

Een majeure melding bestaat niet uit één bericht maar uit drie, met elk een eigen doel en een eigen termijn.

De precieze termijnen staan in de Gedelegeerde Verordening (EU) 2025/301.

De eerste melding

Binnen vier uur nadat u het incident als majeur heeft geclassificeerd, en in elk geval uiterlijk 24 uur nadat u het heeft opgemerkt. Deze melding mag kort zijn: het gaat erom dat de toezichthouder weet dat er iets speelt. Wat u weet meldt u, wat u niet weet laat u open.

De veelgemaakte fout is wachten tot het beeld compleet is. Dat is precies wat het tussenrapport moet doen; de eerste melding is een signaal, geen analyse.

Twee klokken, en de vroegste telt. U merkt maandag om 18:05 dat een betaalkoppeling uitvalt. Om 18:30 stelt u vast dat het een majeur incident is. Vanaf dat moment loopt de vier-uursklok, dus uiterlijk 22:30 ligt de eerste melding er. De 24-uursklok liep al vanaf 18:05 en zou pas dinsdag om 18:05 verlopen, maar die is hier niet bindend omdat vier uur na de classificatie eerder valt. Andersom kan ook: classificeert u pas dinsdag om 16:00, dan zou vier uur later 20:00 zijn, terwijl de 24-uursklok al om 18:05 is verlopen. Van de twee termijnen geldt altijd de vroegste.

Het tussenrapport

Zodra de situatie noemenswaardig is veranderd, en in elk geval binnen 72 uur na de eerste melding. Hierin staat wat er inmiddels bekend is over oorzaak, omvang en de maatregelen die u treft. Verandert er daarna opnieuw iets wezenlijks, dan volgt een aanvulling.

Het eindrapport

Uiterlijk één maand na het tussenrapport, of na het laatste bijgewerkte tussenrapport als u er meer dan één heeft ingediend. Hierin staan de hoofdoorzaak, de daadwerkelijke impact en wat u structureel wijzigt om herhaling te voorkomen. Dit is het rapport waar een toezichthouder het langst naar kijkt, want hier blijkt of u ervan leert.

De termijnen lopen door terwijl u aan het blussen bent

Dat is de kern van het probleem. Op het moment dat u moet melden, is uw team bezig met herstel, is de informatie onvolledig en wil niemand tijd besteden aan een formulier. Als dan ook nog onduidelijk is wie mag beslissen dat iets majeur is, verstrijkt de termijn vanzelf.

De oplossing is saai en werkt: leg het vooraf vast. Wie classificeert, wie meldt, via welk kanaal, met welke gegevens, en wie neemt dat over buiten kantooruren. Oefen het één keer met een fictief incident; dan weet u ook of het meldkanaal werkt en of de contactgegevens kloppen.

Incidenten bij uw leverancier

Als een storing bij uw ICT-dienstverlener uw dienstverlening raakt, is dat voor u een ICT-incident, ook al ligt de oorzaak buiten uw muren. U meldt, niet uw leverancier.

Dat betekent dat u afhankelijk bent van hun informatie, en dus dat meldafspraken in het contract moeten staan: binnen welke termijn informeren zij u, met welke gegevens, en wie is hun contactpersoon buiten kantooruren. Zonder die afspraken haalt u uw eigen termijn niet. Zie contractbepalingen.

Ernstige cyberdreigingen

Naast incidenten kent DORA de vrijwillige melding van ernstige cyberdreigingen. Merkt u iets op dat uzelf niet heeft geraakt maar de sector wel kan raken, dan kunt u dat melden. Geen verplichting, maar het sluit aan bij de gedachte achter informatiedeling: wie als eerste iets ziet, geeft de rest een voorsprong.

Klanten informeren

Raakt een majeur incident uw klanten, dan moet u hen informeren, inclusief de maatregelen die zij zelf kunnen nemen om schade te beperken. Dat staat los van de melding aan de toezichthouder.

Let op de samenloop met de AVG: zijn er persoonsgegevens bij betrokken, dan kan daarnaast een melding aan de Autoriteit Persoonsgegevens nodig zijn, met een eigen termijn en eigen criteria. Eén incident, mogelijk drie meldingen aan drie partijen. Richt daarom één proces in met drie uitgangen, niet drie losse processen.

Wat u vooraf regelt

• Vastgelegde classificatiedrempels, vertaald naar uw eigen omvang
• Een aangewezen beslisser met een plaatsvervanger, ook buiten kantooruren
• Een sjabloon per meldmoment, zodat niemand tijdens een incident hoeft na te denken over de vorm
• Contactgegevens van het meldkanaal, gecontroleerd en niet alleen opgeschreven
• Meldafspraken met uw kritieke leveranciers
• Een logboek waarin ook de kleine incidenten landen

Veelgestelde vragen

Wat als ik na 24 uur nog bijna niets weet?

Dan meldt u wat u wél weet. De eerste melding is uitdrukkelijk bedoeld als signaal. Wachten tot het beeld compleet is, is de verkeerde keuze en levert een gemiste termijn op die u later niet meer kunt repareren.

Moet ik ook melden bij de Autoriteit Persoonsgegevens?

Als er persoonsgegevens bij betrokken zijn, kan dat naast elkaar lopen. Het zijn twee verschillende verplichtingen met eigen criteria en termijnen; de ene vervangt de andere niet.

Tellen incidenten bij mijn leverancier ook mee?

Ja, als uw dienstverlening eronder lijdt. De meldplicht ligt bij u, dus zorg dat het contract u de informatie oplevert die u daarvoor nodig heeft.

Wat als we achteraf vinden dat het toch majeur was?

Dan meldt u alsnog en legt u vast waarom de beoordeling is gewijzigd. Dat is beter dan het laten lopen; een late melding met uitleg is verdedigbaar, een ontbrekende melding niet.

Moeten we kleine incidenten ook melden?

Nee, wel registreren. Het onderscheid tussen registreren en melden is precies wat u vooraf moet vastleggen, anders ontstaat die discussie op het slechtst denkbare moment.