moet ik een security incident van vorig jaar melden in de vragenlijst

Een oud incident hoort meestal wél in het antwoord

Ja, in de meeste gevallen meld je een incident van vorig jaar ook nu nog, als de vraag in de lijst niet expliciet beperkt is tot een bepaalde periode. Vragenlijsten vragen doorgaans naar de situatie in het algemeen: heeft zich een incident voorgedaan, en hoe is dat afgehandeld. Een klein incident van vorig jaar valt daaronder, ook als het inmiddels is opgelost en geen gevolgen meer heeft. Staat er wel een periode in de vraag — "in de afgelopen twaalf maanden" of "dit kalenderjaar" — dan is dat leidend, en dan neem je alleen op wat binnen die periode valt.

Belangrijker dan het incident zelf is vaak hoe je erop hebt gereageerd. Een klant die vraagt naar incidenten, wil eigenlijk weten of er een proces achter zit: is het gesignaleerd, is het opgelost, is ervan geleerd. Dat sluit aan bij een procedure voor het behandelen van beveiligingsincidenten. Heb je zo'n procedure en is die gevolgd, dan is een klein incident van vorig jaar geen probleem om te melden — het laat juist zien dat het proces werkt. Twijfel je of details te gevoelig zijn om te delen, gebruik dan de vertrouwelijkheidsknop bij het antwoord in plaats van het antwoord zelf aan te passen.

Waarom dit los staat van de meldplicht in de Cyberbeveiligingswet

Deze vraag in een vragenlijst is iets anders dan de wettelijke meldplicht bij een toezichthouder. Artikel 21 lid 2 van de NIS2-richtlijn noemt het omgaan met incidenten als een van de tien verplichte maatregelen voor entiteiten die onder de richtlijn vallen; de Cyberbeveiligingswet werkt dit uit als de Nederlandse omzetting, met een meldplicht aan de bevoegde autoriteit. Of die meldplicht op de onderneming van toepassing is, hangt af van of ze zelf onder de richtlijn valt — dat is te checken bij de vraag of de onderneming onder de NIS2-richtlijn valt. De vraag in een klantvragenlijst staat daar los van: die vraagt niet naar een wettelijke melding, maar naar transparantie richting de klant over hoe volwassen het incidentproces is.