klant vraagt hoe wij reageren op een cyberincident, hoe vul ik dat in

Incidentresponsplan: proces, niet alleen document

De vraag naar het incidentresponsplan gaat over hoe de organisatie reageert zodra een beveiligingsincident wordt vastgesteld: wie er wordt gewaarschuwd, wie beslist over escalatie, hoe herstel wordt opgestart en hoe wordt gemeld aan klanten of toezichthouders. Een format vraagt vaak naar het bewijsstuk zelf — het incidentresponsplan of de procedurebeschrijving — maar de meeste inkopende partijen toetsen impliciet ook of het plan ooit is gebruikt of getest. Een antwoord "ja, er is een plan" zonder dat er ooit een oefening of een echt incident is geweest, is feitelijk juist maar zwak; vermeld dat er een procedure ligt en wat je daarover kunt aantonen, zoals een testverslag of een evaluatie na een eerder incident.

Ontbreekt een formeel getest plan, dan is "nee" met een korte toelichting beter dan een ingevuld "ja" zonder onderliggend stuk. Sommige klanten vragen specifiek naar meldtermijnen richting hen als afnemer — dat is een contractuele afspraak, niet automatisch dezelfde termijn als een wettelijke meldplicht. Verwar die twee niet in het antwoord: wat je aan je klant toezegt in een SLA staat los van wat eventueel richting een toezichthouder moet. Deze vraag hangt vaak samen met de procedure voor het behandelen van beveiligingsincidenten, en met de vraag of herstel en uitwijk goed geregeld zijn via back-ups en een noodvoorziening — een format splitst dit soms over meerdere vragen die in het dossier bij elkaar horen.

Grondslag: artikel 21 lid 2 NIS2 en Annex A

Incidentafhandeling staat als aparte maatregel genoemd in artikel 21 lid 2 van de NIS2-richtlijn, naast risicoanalyse en bedrijfscontinuïteit — het is een van de tien maatregelen die de richtlijn onderscheidt. ISO/IEC 27001 werkt dit uit in de beheersmaatregelen van Annex A, waar incident management een eigen categorie vormt met eisen aan detectie, respons en evaluatie. De Cyberbeveiligingswet zet deze verplichting om in Nederlands recht en treedt naar verwachting op 15 augustus 2026 in werking; tot die datum is aansluiting bij de richtlijn zelf het uitgangspunt bij de onderbouwing van een antwoord.