de vragenlijst vraagt of we de afgelopen jaren een cyberincident hebben gehad

Een incidentvraag gaat over feiten, niet over imago

De vraag of je de afgelopen jaren een cyberincident had, wil een feitelijk antwoord: ja of nee, en bij ja meestal met een korte toelichting over aard, impact en afhandeling. Er is geen goed of fout antwoord — een "ja" met een nette afhandeling is voor veel klanten geloofwaardiger dan een ongemotiveerd "nee" bij een leverancier die verder niets over zijn beveiliging kan laten zien. Waar het op aankomt: kun je het antwoord staven?

Als er een incident was, is het bewijsstuk niet het incident zelf maar de afhandeling ervan: is er gemeld, onderzocht en opgevolgd volgens een vaste procedure? Dat is precies waar de procedure voor het behandelen van beveiligingsincidenten naar vraagt, en klanten combineren deze vraag vaak met die twee. Was er geen incident, dan is "nee" het antwoord, eventueel met een verwijzing naar de detectiemaatregelen die dat aantonen — zie het proces voor het opsporen en verhelpen van kwetsbaarheden. Zonder incidentregister of -logboek is "nee" nog steeds een geldig antwoord, maar dan wel een zonder onderliggend bewijsstuk; dat kun je in de toelichting vermelden in plaats van een bewijs te verzinnen dat er niet is.

Waarom dit onder de tien maatregelen valt

Incidentafhandeling ("incident handling") is een van de tien concrete maatregelen die artikel 21 lid 2 van de NIS2-richtlijn (Richtlijn (EU) 2022/2555) noemt als onderdeel van het beveiligingsbeleid van een entiteit. In de Nederlandse omzetting via de Cyberbeveiligingswet — die op 15 augustus 2026 in werking treedt — komt dezelfde eis terug voor entiteiten die onder die wet vallen. Daarmee is een vraag over eerdere incidenten in de praktijk vaak een indirecte toets op de vraag of de organisatie een incidentproces heeft, niet alleen op het incident zelf. Wie ISO/IEC 27001 toepast, herkent hetzelfde thema in Annex A, onder de beheersmaatregelen voor "information security incident management".