Het is maandagochtend. Uw medewerkers kunnen niet meer inloggen en op elk scherm staat een losgeldbericht. Wat nu? Veel ondernemers denken eerst aan het technische herstel, terwijl de wet u ook een aantal verplichtingen oplegt.
Deze bijdrage zet op een rij wat u moet doen, aan wie u moet melden en binnen welke termijn. Zo weet u wat er van u verwacht wordt.
Bij een cyberaanval kunnen twee verschillende meldplichten spelen. Ze sluiten elkaar niet uit en kunnen allebei gelden voor dezelfde aanval. Een NIS2-melding vervangt de melding van een datalek ook niet.
Daarnaast bent u mogelijk verplicht uw klanten en de betrokken personen te verwittigen, en kunt u beter aangifte doen bij de politie.
Een datalek is elke inbreuk op de beveiliging waarbij persoonsgegevens per ongeluk of onrechtmatig worden vernietigd, verloren, gewijzigd, openbaar gemaakt of toegankelijk worden. Een beveiligingsincident is enkel een datalek wanneer persoonsgegevens betrokken zijn.
Een incident is “significant” onder NIS2 als het een ernstige operationele verstoring of financiële verliezen veroorzaakt of kan veroorzaken, of als het andere personen of bedrijven aanzienlijke materiële of immateriële schade kan berokkenen. Wacht dus niet tot de schade er effectief is, want ook het risico telt. Het CCB geeft concrete criteria om dat te beoordelen.
STAP 1: Start de klok. De termijnen lopen vanaf het moment dat u kennis hebt van het incident. Dat is het moment waarop u een redelijke mate van zekerheid hebt dat er een significant incident of een datalek is. Noteer meteen wanneer en door wie het incident werd ontdekt. Het moment waarop u uw functionaris voor gegevensbescherming (DPO) verwittigt, geldt niet als ontdekking.
STAP 2: Beperk de schade. Schakel uw IT-leverancier en, indien u er een heeft, uw cyberverzekeraar in. Veel polissen leggen een eigen meldingstermijn op. Bewaar het bewijs en wis niets.
STAP 3: Beoordeel of u onder NIS2 valt en of het incident significant is. Is dat zo, dan meldt u dat onverwijld, en in elk geval binnen 24 uur, aan het CSIRT met een vroegtijdige waarschuwing. Daarin geeft u aan of het incident vermoedelijk kwaadwillig is en of het grensoverschrijdende gevolgen kan hebben. Het gaat om een snelle eerste signalering en een volledig dossier is nog niet nodig. “Onverwijld” betekent dat u niet moet wachten tot het einde van de termijn. Valt u niet onder NIS2, dan kunt u een incident vrijwillig melden bij het CCB, zonder dat dit extra verplichtingen voor u meebrengt.
STAP 4: Beoordeel of persoonsgegevens zijn getroffen. Is dat zo, dan is het een datalek. Verwerkt u de gegevens enkel in opdracht van een klant, dus als verwerker, dan moet u uw klant zonder onredelijke vertraging informeren. Uw klant meldt dan aan de GBA.
STAP 5: Meld het datalek aan de GBA binnen 72 uur. U meldt het datalek zonder onredelijke vertraging en uiterlijk 72 uur nadat u er kennis van hebt genomen, tenzij het niet waarschijnlijk is dat de inbreuk een risico inhoudt voor de rechten en vrijheden van de betrokken personen. Meldt u later, dan moet u de vertraging motiveren. De melding omvat minstens de aard van de inbreuk, de waarschijnlijke gevolgen, de genomen of voorgestelde maatregelen en een contactpunt. Hebt u nog niet alle informatie, dan mag u die in stappen aanleveren. Beter een onvolledige melding op tijd dan een perfecte melding te laat. Bij de GBA bestaat de melding uit twee delen, namelijk een eerste deel binnen de 72 uur en een uitgebreider tweede deel binnen 21 kalenderdagen daarna. Pas dan voldoet u aan uw meldplicht.
STAP 6: Dien de NIS2-incidentmelding in binnen 72 uur. Valt u onder NIS2, dan volgt binnen 72 uur na kennisname een incidentmelding bij het CSIRT. Die bevat een update van de vroegtijdige waarschuwing en een eerste beoordeling van de ernst en de gevolgen van het incident. Op verzoek van het CSIRT bezorgt u ook een tussentijds verslag.
STAP 7: Verwittig uw klanten en de betrokken personen. Levert het datalek waarschijnlijk een hoog risico op voor de rechten en vrijheden van de betrokken personen, dan verwittigt u hen onverwijld, in duidelijke en eenvoudige taal. Daarop bestaan uitzonderingen, bijvoorbeeld wanneer de gegevens versleuteld waren. Onder NIS2 stelt u daarnaast de afnemers van uw diensten onverwijld in kennis van significante incidenten die de verlening van uw diensten nadelig kunnen beïnvloeden. Een NIS2-melding leidt niet tot blootstelling van uw onderneming aan een verhoogde aansprakelijkheid.
STAP 8: Doe aangifte bij de politie. Een cyberaanval is meestal een misdrijf. De politie raadt aan om aangifte te doen bij uw lokale politiezone, ook bij ransomware. Bij vermoeden van een criminele aard van een significant incident geeft het CSIRT daarenboven richtsnoeren voor de melding aan de rechtshandhavingsinstanties.
STAP 9: Documenteer alles, ook wat u niet meldt. Elke inbreuk op persoonsgegevens moet u vastleggen, met de feiten, de gevolgen en de genomen corrigerende maatregelen, ook als u besliste niet te melden. Die documentatie stelt de GBA in staat om uw naleving te controleren.
STAP 10: Dien het eindverslag in binnen één maand. Onder NIS2 volgt uiterlijk één maand na de incidentmelding een eindverslag met een gedetailleerde beschrijving van het incident, de waarschijnlijke grondoorzaak en de toegepaste risicobeperkende maatregelen. Duurt het incident dan nog, dan dient u een voortgangsverslag in en volgt het eindverslag binnen één maand nadat u het incident definitief hebt afgehandeld.
Deze bijdrage geeft u het kader. Hoe u elke stap concreet invult, hangt af van uw onderneming, namelijk van uw sector, uw systemen, uw leveranciers, uw verzekering en uw mensen. Wie pas in de crisis begint na te denken over wie wat doet, verliest kostbare uren.
Mijn tip is om vandaag, vóór het misgaat, een concreet plan van aanpak op maat van uw onderneming uit te werken. Leg vast wie beslist, wie meldt, wie met klanten en pers praat en wie welke contactgegevens bijhoudt. Controleer in die oefening ook uw contracten met IT-leveranciers en verwerkers en uw verzekeringspolis, en laat nagaan of NIS2 voor u geldt. Oefen het plan daarna minstens één keer per jaar. Ik help u daar graag bij, zodat de juridische kant van uw plan van aanpak klopt.
En misschien nog de meest nuttige tip: noteer de contactgegevens en nuttige informatie van uw IT-partner ergens op een blad papier. Het zou toch héél vervelend zijn dat deze informatie in uw geblokkeerde computer zou zitten …
Bij een cyberaanval telt elk uur. De wet laat u daarvoor geen ruimte, met 24 uur voor de vroegtijdige waarschuwing, 72 uur voor de melding aan de GBA en het CSIRT, en een eindverslag binnen één maand. Wie dat vooraf kent en zijn plan klaar heeft, meldt tijdig en behoudt de controle over de crisis.
Vragen inzake cyberaanvallen en meldplichten? Contacteer mij via b.backx@backx-law.be
Benny Backx