hoe beantwoord ik de vraag over onze meldprocedure bij een datalek

De meldprocedure zelf, niet het datalek

De vraag gaat over jullie interne proces, niet over of er al eens een lek is geweest. De klant wil weten of er een vastgelegde procedure ligt voor het afhandelen van beveiligingsincidenten: wie een vermoeden meldt, aan wie, binnen welke tijd er wordt opgeschaald, en wie beslist of een toezichthouder of de betrokkenen worden geïnformeerd. Dat is dezelfde procedure als waarnaar gevraagd wordt bij de procedure voor beveiligingsincidenten — een datalek is in de praktijk een specifiek type incident binnen dat proces, geen los document.

Als jullie die procedure hebben, is "ja" te onderbouwen met het document zelf: een stappenplan, een verantwoordelijke functie (vaak security officer of DPO), en een registratie van eerdere meldingen als bewijs dat het proces ook werkt. Ontbreekt een vastgelegde procedure, maar bestaat er wel een informele lijn ("bel de eigenaar"), dan is dat meestal niet genoeg voor een "ja" — het dossier heeft dan geen bron om op te steunen, en het systeem stelt in dat geval geen antwoord voor. Sommige klanten vragen er in dezelfde lijst ook naar of jullie zelf onder een meldplicht vallen; dat is een andere vraag dan de procedure zelf, en te herleiden via de status als NIS2-entiteit.

Waarom dit onder artikel 21 lid 2 valt

Artikel 21 lid 2 van de NIS2-richtlijn noemt "incident handling" als een van de tien verplichte maatregelen, en een meldprocedure voor datalekken is daarvan de uitwerking richting persoonsgegevens. ISO/IEC 27001 Annex A werkt dit verder uit in de beheersmaatregelen rond incidentmanagement, wat verklaart waarom klanten met een ISO-vraag vaak dezelfde procedure als bewijsstuk accepteren. De Cyberbeveiligingswet, de Nederlandse omzetting, treedt op 15 augustus 2026 in werking en legt deze verplichting dan ook nationaal vast voor de entiteiten die erondervallen.