Eén melding voor al uw meldplichten

Een organisatie die geraakt wordt door een incident, heeft op dat moment één ding te doen: het oplossen. In plaats daarvan begint er een tweede klus, want hetzelfde incident kan onder meerdere regelingen meldplichtig zijn, bij verschillende instanties, met verschillende termijnen en verschillende formulieren.

Persoonsgegevens gelekt? Dat is de AVG. Verstoring van uw dienstverlening in een aangewezen sector? Dat is de Cyberbeveiligingswet. Financiële instelling? Dan komt DORA erbij. Werkt u met elektronische identificatie of valt u onder de weerbaarheidsregels, dan zijn er nog twee sporen.

In de praktijk betekende dat vier keer hetzelfde verhaal opschrijven in vier formaten, terwijl de mensen die het verhaal kennen bezig zijn met herstellen. Dat is precies het moment waarop fouten in meldingen ontstaan.

Er komt één centraal Europees meldpunt waar meldingen voor de AVG, de netwerk- en informatiebeveiligingsregels, DORA, de regels rond elektronische identificatie en de weerbaarheidsrichtlijn samenkomen. Eén keer melden, en het bericht wordt gedeeld met de instanties die het aangaat.

Dat is administratieve vereenvoudiging en geen versoepeling. De plichten zelf blijven bestaan: dezelfde termijnen, dezelfde inhoudelijke eisen, dezelfde toezichthouders. Wat verdwijnt is het viervoudig invullen.

Het onderdeel zit in het bredere pakket dat de Europese digitale regels vereenvoudigt. Een deel daarvan is inmiddels van kracht; het onderdeel dat de AVG en de ePrivacy-regels zelf raakt, is nog in onderhandeling.

Het is verleidelijk om vereenvoudiging te lezen als versoepeling. Dat is het niet. De inhoudelijke plichten blijven staan: dezelfde termijnen, dezelfde criteria voor wat meldplichtig is, dezelfde toezichthouders die erover gaan.

Wat er verdwijnt is het meervoudig invullen van hetzelfde. Dat is winst op het moment dat u het het minst kunt missen, en het haalt een bron van fouten weg — bij vier formulieren staan er onvermijdelijk vier net iets verschillende verhalen in.

Ook de vraag wie er beoordeelt of iets meldplichtig is, blijft bij u. Een gezamenlijk loket beantwoordt die vraag niet; het neemt alleen aan wat u erin zet.

• Leg vast wie beoordeelt of een incident meldplichtig is, en onder welke regeling. Die afweging wilt u niet tijdens de crisis voor het eerst maken.
• Leg vast wie de melding doet en wie er meekijkt voordat hij de deur uit gaat.
• Zorg dat u de gegevens die een melding vraagt snel bij elkaar heeft: wat is er gebeurd, wanneer, welke systemen, hoeveel betrokkenen, welke maatregelen.
• Spreek met uw leveranciers af binnen hoeveel tijd zij ú informeren. Uw eigen klok begint pas te lopen als u het weet, en dat maakt hun termijn onderdeel van de uwe.
• Oefen het één keer. Een melding schrijven onder tijdsdruk is iets anders dan een procedure lezen.

Onder de AVG geldt een melding aan de toezichthouder binnen tweeënzeventig uur na constatering, tenzij het onwaarschijnlijk is dat het lek een risico oplevert. Betrokkenen informeren komt daar bij als het risico hoog is.

Onder de Cyberbeveiligingswet is de klok korter: een eerste melding binnen vierentwintig uur na constatering van een significant incident, gevolgd door een uitgebreidere melding. Die eerste melding is bewust kort — het is een seintje, geen rapport.

Wat die termijnen gemeen hebben is het woord constatering. De klok begint niet bij het incident maar op het moment dat u het weet. Dat maakt de vraag wanneer u iets zou merken minstens zo belangrijk als de vraag hoe snel u meldt.

Beide belangrijke termijnen beginnen niet bij het incident maar bij het moment dat u het weet. Dat maakt de vraag hoe snel u iets zou merken minstens zo belangrijk als de vraag hoe snel u meldt.

Een organisatie die haar systemen niet in de gaten houdt, ontdekt een inbraak gemiddeld weken later. Formeel bent u dan op tijd als u binnen vierentwintig uur na die ontdekking meldt. Praktisch heeft u dan wekenlang een probleem gehad dat u niet zag.

Toezichthouders kijken daar ook naar. Niet alleen of u op tijd meldde, maar of u redelijkerwijs eerder had kunnen weten dat er iets speelde. Dat is de reden dat detectie en meldplicht bij elkaar horen en niet als losse onderwerpen.

Het vaakst voorkomende probleem is dat niemand zich verantwoordelijk voelt om de klok te starten. Er is een vermoeden, er wordt onderzocht, en drie dagen later blijkt dat het moment van constateren achteraf ergens aan het begin lag.

Het tweede probleem is dat de melding wordt uitgesteld tot het beeld compleet is. Dat is begrijpelijk en niet de bedoeling: de eerste melding mag onvolledig zijn, en aanvullen mag. Wachten tot u alles weet, is de manier waarop termijnen worden overschreden.

Het derde is dat leveranciers te laat informeren. Als uw dienstverlening afhangt van een partij die u pas na vijf dagen belt, heeft u een probleem dat u niet met een eigen procedure kunt oplossen. Dat is een contractvraag, en het is de reden dat meldtermijnen in verwerkersovereenkomsten horen.

Een meldprocedure lezen is iets anders dan een melding schrijven terwijl de telefoon gaat. Het loont om dat één keer na te spelen: een verzonnen incident, een uur de tijd, en de opdracht om de eerste melding klaar te hebben.

Wat daar altijd uitkomt, zijn dezelfde drie dingen. Niemand weet precies wie beslist of het meldplichtig is, de gegevens die het formulier vraagt zitten in drie verschillende systemen, en er is geen afspraak over wie de klant informeert.

Die oefening kost een ochtend en bespaart u op het echte moment de uren waarin u niets nuttigs doet. Herhaal hem als er iets wezenlijks verandert in uw systemen of in uw team; verder is één keer per jaar ruim voldoende.

• Binnen hoeveel uur na constatering informeert de leverancier u, en via welk kanaal.
• Welke informatie levert hij daarbij minimaal aan, zodat u uw eigen melding kunt doen.
• Wie is bij hem het aanspreekpunt, ook buiten kantooruren.
• Werkt hij mee aan uw onderzoek, en binnen welke termijn levert hij logbestanden aan.
• Wat gebeurt er als hij een termijn niet haalt.

Een melding is niet alleen een verplichting maar ook een moment waarop uw organisatie laat zien hoe zij werkt. Een tijdige, eerlijke melding met open punten erin, wordt door toezichthouders anders behandeld dan een late melding waarin achteraf blijkt dat er meer speelde.

Datzelfde geldt richting uw klanten. Wie zelf meldt voordat het via een andere weg naar buiten komt, houdt de regie over het verhaal. Wie wacht, verliest die.

Het samenvoegen van de loketten haalt een obstakel weg dat daarbij in de weg zat. Wat het niet wegneemt, is de noodzaak om vóór het incident te hebben bedacht wie wat doet — en dat is het deel dat u zelf moet regelen.

• Meldplicht bij een incident
• Valt u onder de Cyberbeveiligingswet?
• Uw toeleverancier is gehackt

Wilt u eerst weten of het idee werkt voordat u groot investeert? Bij OneDayBuild laat u in één dag een werkend prototype bouwen.