Meldplicht Cyberbeveiligingswet

Wat houdt de meldplicht in?

Organisaties die onder de Cbw vallen, moeten significante incidenten melden. Dit zijn digitale beveiligingsincidenten die grote gevolgen hebben of kunnen hebben voor de dienstverlening van een organisatie.

Een incident kan ervoor zorgen dat systemen niet goed werken, dat informatie verandert of uitlekt, of dat u niet zeker weet of uw gegevens echt betrouwbaar zijn. Zelfs een bijna-incident, iets dat nét geen schade heeft aangericht, kan belangrijk zijn om te melden. Niet ieder incident hoeft gemeld te worden. Alleen incidenten met (mogelijk) aanzienlijke gevolgen vallen onder de meldplicht.

Een melding doen is niet alleen een verplichting, maar kan ook voordelen opleveren. U kunt namelijk rekenen op bijstand en ondersteuning. Dit kan bijvoorbeeld bestaan uit hulp bij incidenten om schade te beperken, monitoring en dreigingsinformatie om beter voorbereid te zijn op nieuwe aanvallen. Hiermee is de meldplicht ook een manier om toegang te krijgen tot expertise en hulp bij het versterken van de cyberbeveiliging van uw organisatie.

Wilt u weten welke route organisaties kunnen volgen wanneer er aan de Meldplicht voldaan moet worden bij een significant incident? Bekijk dan ons schema: Wat te doen bij een digitaal incident? (Meldplicht van de Cyberbeveiligingswet).

Wanneer moet u melden?

Significante incidenten moet u melden. Een incident is significant als het:

• een ernstige operationele verstoring van de diensten of financiële verliezen voor de betrokken organisatie veroorzaakt of kan veroorzaken;
• andere organisaties heeft getroffen of kan treffen door aanzienlijke materiële of immateriële schade te veroorzaken.

Deze algemene criteria zijn in de ministeriele regelingen concreter ingevuld in zogenaamde drempelwaarden. Met andere woorden: niet elk klein probleem hoeft gemeld te worden, alleen incidenten die grote gevolgen (kunnen) hebben, bijvoorbeeld omdat ze veel gebruikers treffen, lang duren of grote schade veroorzaken. Pas dan is melden verplicht. Als één of meerdere van deze factoren zó groot zijn dat het incident aanzienlijke gevolgen heeft voor de dienstverlening, dan is dat de drempelwaarde voor melden.

Waar en hoe meldt u?

U kunt incidenten melden bij de sectorale Computer Security Incident Response Team (CSIRT). Door deze incidenten tijdig te melden, ontstaat er beter inzicht in dreigingen en kan de cyberbeveiliging in Nederland als geheel worden versterkt. 

Vanaf 15 augustus 2026 is de meldplicht formeel verplicht. Binnen 24 uur na ontdekking van een significant incident moet u een melding doen. Hier kunt u in één keer melding maken bij het betreffende sectorale CSIRT en de bevoegde toezichthouder.

Wat betekent dit voor uw organisatie?

Als uw organisatie onder de Cbw valt, dan moet u voldoen aan de verplichtingen per 15 augustus 2026. Daarom moet u nú aan de slag.  Denk aan:

• Het opstellen of bijwerken van een incidentresponsplan waarin het melden van incidenten is opgenomen;
• Het registeren bij het NCSC;
• Het naleven van de zorgplicht om de beveiliging van uw organisatie op orde te krijgen;
• Het in kaart brengen van risico's in de toeleveringsketen;
• Het trainen van medewerkers op meldprocedures;
• Het inrichten van interne processen voor snelle en correcte melding.

Wat gebeurt er nadat u een incident heeft gemeld?

Na een hack of ander cyberincident ligt de eerste verantwoordelijkheid bij de organisatie zelf: schade beperken, systemen herstellen, gegevens beoordelen en maatregelen nemen om herhaling te voorkomen. Het NCSC kan daarbij ondersteunen met advies, analyse en praktische hulp.

Daarna kan toezicht volgen: we onderzoeken wat er is gebeurd, of u de regels heeft nageleefd en of extra maatregelen nodig zijn. Zie voor meer informatie onze pagina over het melden van een cyberincident en wat er daarna gebeurt.