moet ik een datalek doorgeven aan de klant wiens data het betreft

Contractueel meestal wel, wettelijk niet automatisch aan de klant

Meestal wel, maar niet omdat NIS2 dat zo voorschrijft. Artikel 21 lid 2 van de richtlijn verplicht een significante dreiging of incident te melden aan het nationale CSIRT of de bevoegde autoriteit — niet rechtstreeks aan elke klant. De meldplicht aan de klant zelf staat meestal in het contract of de verwerkersovereenkomst, en die is vaak strenger en sneller dan wat NIS2 vraagt. Wie alleen naar de richtlijn kijkt en de eigen contracten niet naslaat, mist dus de plicht die er in de praktijk het eerst toe doet.

Voor de klant die de vraag in een vragenlijst stelt, gaat het meestal niet om de wettelijke meldplicht maar om het proces: hebben jullie een vaste route om een incident te herkennen, te beoordelen en door te melden, en staat daarin wanneer een klant wordt geïnformeerd? Dat is precies waar de procedure voor beveiligingsincidenten over gaat, en de meeste lijsten vragen naar het bestaan van die procedure, niet naar losse casuïstiek. Heeft de onderneming die procedure niet op papier, dan is "nee" hier het eerlijke antwoord — een toezegging dat een klant altijd wordt gebeld, kan niemand hier voor je invullen.

Waar dit op is gebaseerd: artikel 21 lid 2 NIS2 en het eigen contract

Artikel 21 lid 2 van Richtlijn (EU) 2022/2555 noemt de tien maatregelen die een entiteit moet treffen, waaronder onder i) een incidentafhandelingsproces; de meldplicht aan een autoriteit staat in artikel 23, niet in lid 2 zelf, en richt zich op het CSIRT of de bevoegde autoriteit. Annex A van ISO/IEC 27001 kent een vergelijkbare beheersmaatregel voor incidentmanagement, inclusief communicatie naar belanghebbenden, maar ook daar is de klant niet automatisch de standaardontvanger — dat wordt per organisatie ingevuld. De Cyberbeveiligingswet, de Nederlandse omzetting die op 15 augustus 2026 in werking treedt, volgt dezelfde structuur. Wie wil weten of de eigen onderneming zelf onder deze regels valt, checkt dat bij de vraag of de onderneming een NIS2-entiteit is; de melding aan de klant zelf blijft in alle gevallen een kwestie van het geldende contract.