Hoe Maakt U Een Incident Response Plan Voor NIS2?

Een medewerker meldt op vrijdagavond dat een server niet meer reageert en dat bestanden vreemde extensies hebben. Wie beslist op dat moment of dit een incident is? Wie belt de directeur, wie legt vast wat er gebeurt, en wie houdt de klok in de gaten die op dat moment al is gaan lopen? Zonder vastgelegd antwoord op die vragen verliest u de eerste uren aan overleg.

Sinds 15 augustus 2026 geldt de Cyberbeveiligingswet, de Nederlandse omzetting van de Europese NIS2-richtlijn. Ruim 8.000 organisaties in Nederland vallen eronder. Een NIS2 incident response plan is het document waarmee u maatregel 2 uit de zorgplicht invult: incidentbehandeling. Het is bovendien het enige praktische middel om de meldtermijnen van 24 en 72 uur te halen.

Wat vraagt NIS2 van een incident response plan?

De zorgplicht uit artikel 21 noemt incidentbehandeling als tweede van de tien maatregelgebieden. De wet schrijft geen sjabloon voor. Wat de wet wel eist, is dat uw maatregelen passend zijn bij de risico’s die u loopt en dat u ze kunt aantonen.

Dat aantonen is het punt waarop veel organisaties struikelen. Een toezichthouder die na een incident langskomt, vraagt niet of u iets aan incidentbehandeling doet. Hij vraagt om het plan, om het incidentregister, om de tijdstempels van uw meldingen en om het verslag van de laatste oefening. Bestaat dat alleen in de hoofden van uw beheerders, dan heeft u formeel niets.

Het plan staat niet op zichzelf. Het bouwt voort op uw risicoanalyse, want daaruit volgt welke scenario’s realistisch zijn, en het sluit aan op uw informatiebeveiligingsbeleid. Weet u nog niet waar u staat, breng dan eerst in kaart welke systemen en processen bedrijfskritisch zijn voordat u aan het schrijven slaat.

Welke fases doorloopt een incident?

Een werkbaar plan volgt zes fases, van signaal tot geleerde les. Elke fase heeft een eigenaar, een beslismoment en een vastlegging.

• Detectie. Hoe komt een signaal binnen? Via monitoring, via een medewerker, via een leverancier of via een melding van buitenaf. Leg één meldpunt vast dat iedereen kent.
• Classificatie. Is dit een storing, een beveiligingsincident of een significant incident? Deze weging bepaalt of de meldklok gaat lopen.
• Escalatie. Wie wordt gewaarschuwd, in welke volgorde, en wie mag besluiten nemen die geld kosten of systemen platleggen?
• Indamming. Verspreiding stoppen zonder bewijsmateriaal te vernietigen. Denk aan isoleren van systemen, blokkeren van accounts en afsluiten van externe verbindingen.
• Herstel. Terugbrengen naar normale werking, in een vooraf bepaalde volgorde van bedrijfskritische processen.
• Evaluatie. Wat ging goed, wat niet, en welke maatregel voorkomt herhaling? Dit is tevens de basis voor het eindrapport aan de toezichthouder.

Hoe koppelt u het plan aan de meldtermijnen van 24 en 72 uur?

De meldplicht kent drie momenten en die momenten horen letterlijk in uw plan te staan, met naam en telefoonnummer erbij. De klok begint te lopen zodra u redelijkerwijs kunt vaststellen dat er sprake is van een significant incident, niet zodra het onderzoek klaar is.

De volledige uitwerking van deze termijnen leest u in het overzicht van de NIS2-meldtermijnen van 24 en 72 uur. Meldingen gaan naar het CSIRT en naar de bevoegde toezichthouder, waarbij het NCSC een centrale rol heeft. Voor de meeste organisaties is de Rijksinspectie Digitale Infrastructuur de toezichthouder, met sectorale uitzonderingen voor energie, telecom en zorg. Zet de juiste contactgegevens in het plan zelf, niet in een mailbox waar niemand bij kan.

Wanneer is een incident significant genoeg om te melden?

De weging draait om ernstige verstoring van uw dienstverlening, financiële schade of gevolgen voor anderen. Uw plan hoort een classificatietabel te bevatten die deze weging vertaalt naar herkenbare situaties in uw eigen organisatie, zodat een beheerder om drie uur ’s nachts niet hoeft te interpreteren wat de wetgever bedoelde.

Werk met een korte schaal, bijvoorbeeld laag, midden en hoog, en koppel aan elk niveau een vaste actie. Een uitgewerkte toelichting op de criteria leest u in het artikel over wat een significant incident is onder NIS2. Twijfel hoort in het voordeel van melden te worden beslecht: te laat melden weegt zwaarder dan een melding die achteraf overbodig bleek.

Welke rollen legt u vast?

Een plan zonder namen is een essay. Benoem per rol een vaste bezetting en minimaal één vervanger, en controleer die bezetting elk kwartaal tegen de personeelsadministratie.

• Incidentcoördinator. Houdt overzicht, bewaakt de termijnen en is de enige die het incident opschaalt of afsluit.
• Technisch onderzoeker. Analyseert, damt in en verzamelt bewijs zonder sporen te wissen.
• Bestuurlijk aanspreekpunt. Neemt besluiten met financiële of juridische gevolgen. Het bestuur is onder artikel 20 zelf verantwoordelijk voor goedkeuring van en toezicht op de maatregelen.
• Communicatieverantwoordelijke. Verzorgt berichten aan medewerkers, klanten en pers, en bewaakt dat er één verhaal naar buiten gaat.
• Melder. Dient de vroege waarschuwing en de vervolgmeldingen in en bewaart de bevestigingen.

Hoe regelt u bereikbaarheid buiten kantooruren?

Incidenten volgen geen rooster. Aanvallers kiezen juist vrijdagavond en vakantieperiodes, omdat de reactietijd dan het langst is. Een termijn van 24 uur die op zaterdagochtend begint, loopt gewoon door.

Leg daarom een piketregeling vast: wie is wanneer bereikbaar, op welk nummer, en wat is de afgesproken opkomsttijd. Zorg dat het plan zelf offline beschikbaar is, bijvoorbeeld op papier en op een telefoon, want bij een ransomware-aanval is uw netwerkschijf precies het onderdeel dat u niet meer kunt openen. Datzelfde geldt voor het telefoonnummer van uw ICT-leverancier en voor de overige documenten die u tijdens een incident nodig heeft.

Hoe test u of het plan werkt?

Een plan dat nooit is beproefd, is een aanname. Plan minimaal jaarlijks een oefening en houd die kort en concreet: een tafeloefening van twee uur met een realistisch scenario levert meer op dan een dag theorie.

Meet tijdens de oefening drie dingen. Hoe lang duurde het voordat de juiste persoon aan tafel zat, was binnen 24 uur een besluit over melden genomen, en hadden de deelnemers de informatie die zij nodig hadden? Leg de uitkomsten vast en pas het plan aan. Die verbetercyclus is meteen invulling van maatregel 6, het beoordelen van de effectiviteit van uw maatregelen.

Veelgestelde vragen over het NIS2 incident response plan

1. Is een incident response plan verplicht onder NIS2?

De Cyberbeveiligingswet verplicht u tot incidentbehandeling als onderdeel van de zorgplicht, en tot melden binnen 24 en 72 uur. In de praktijk kunt u daar niet aan voldoen zonder vastgelegd plan. De wet schrijft geen vorm voor, maar u moet wel kunnen aantonen dat uw aanpak bestaat, bekend is en werkt.

2. Wanneer begint de termijn van 24 uur te lopen?

De termijn start op het moment dat u redelijkerwijs kunt vaststellen dat er sprake is van een significant incident, dus bij de constatering en niet bij afronding van het onderzoek. Daarom hoort classificatie vroeg in uw proces te zitten. Wacht niet op volledige zekerheid, want een vroege waarschuwing mag onvolledig zijn.

3. Wat moet er in een vroege waarschuwing staan?

Een vroege waarschuwing is beknopt. U geeft aan dat er een significant incident speelt, wat u op dat moment weet over de aard ervan, en of er vermoedelijk sprake is van kwaadwillend handelen of grensoverschrijdende gevolgen. De uitgebreide beoordeling volgt in de incidentmelding binnen 72 uur.

4. Wie moet ik binnen mijn organisatie waarschuwen bij een incident?

Minimaal de incidentcoördinator, het bestuurlijk aanspreekpunt en de technische beheerder. Het bestuur hoort altijd op de hoogte te zijn, omdat het onder NIS2 verantwoordelijk is voor de maatregelen en zelf aansprakelijk kan worden gesteld. Leg de belroute en de vervangers vast, inclusief nummers voor buiten kantooruren.

5. Hoe vaak moet ik het incident response plan oefenen?

De wet noemt geen frequentie. Jaarlijks oefenen is een verdedigbaar minimum, met een extra sessie na een grote wijziging in uw systemen of organisatie. Leg datum, deelnemers, scenario en verbeterpunten vast, want dat verslag is uw bewijs richting de toezichthouder.

Conclusie

Een incident response plan is geen document dat u schrijft voor de toezichthouder. Het is het draaiboek waarmee uw organisatie de eerste vierentwintig uur van een aanval doorkomt zonder tijd te verliezen aan de vraag wie waarover gaat. De zes fases, de rollen en de piketregeling vormen samen het verschil tussen improviseren en handelen.

Begin klein en houd het levend. Eén A4 met meldpunt, belroute en classificatie is meer waard dan een ongelezen handboek. Wilt u niet vanaf nul beginnen, dan bevatten de NIS2 document templates een uitgewerkt incident response plan, een incidentregister en een meldformulier. Via het NIS2 compliance pakket vult u dat aan met de digitale Coach, die u stap voor stap door de zorgplicht en de meldplicht leidt.