moeten we een beveiligingsincident van vorig jaar melden aan onze klant

Een oud incident hoort in de vragenlijst, niet in een apart meldingskanaal

Ja, een beveiligingsincident van vorig jaar vul je in als de vraag naar incidenten of naar de afhandeling daarvan gaat — ook als het incident zelf al gesloten is. De vraag in de meeste klantvragenlijsten gaat niet over een actuele dreiging, maar over of er een procedure bestaat en of die werkt. Een afgehandeld incident van vorig jaar is daarvoor eerder bewijs dan een risico: het toont dat de procedure voor het behandelen van beveiligingsincidenten in de praktijk is doorlopen, van signalering tot afsluiting.

Dit is dus iets anders dan een wettelijke meldplicht bij een toezichthouder — die kent eigen termijnen en eigen ontvangers, en die termijnen zijn allang verstreken als het incident van vorig jaar is. De vragenlijst van je klant is geen meldpunt; het is een verantwoordingsvraag. Beantwoord hem op basis van wat er nu vastligt: is er een procedure, is die toegepast, zijn er verbeteringen doorgevoerd naar aanleiding van het incident? Ontbreekt dat laatste, dan is "nee" of "deels" een net zo valide antwoord als "ja" — als het maar klopt met wat er in het ketendossier staat.

Waar dit vandaan komt: artikel 21 lid 2 en Annex A

Artikel 21 lid 2 van de NIS2-richtlijn noemt incidentafhandeling als een van de tien verplichte maatregelen, naast onder meer risicoanalyse en de beveiliging van informatiesystemen en continuïteitsbeleid. ISO/IEC 27001 werkt dit in Annex A uit tot beheersmaatregelen die vragen om registratie, respons en evaluatie van incidenten — een afgesloten dossier van vorig jaar past daar precies in als voorbeeldmateriaal. De Cyberbeveiligingswet, de Nederlandse omzetting van NIS2, treedt op 15 augustus 2026 in werking en regelt de wettelijke meldplicht aan de overheid; dat is een ander traject dan de verantwoording die een klant in zijn eigen vragenlijst vraagt.