klant vraagt hoe snel wij een datalek aan hen zouden melden

Drie meldmomenten binnen 72 uur, niet één

De klant vraagt naar een meldtermijn, maar artikel 21 lid 2 van NIS2 kent geen losse termijn — het is een reeks van drie momenten. Binnen 24 uur na het ontdekken van een significant incident gaat een vroege waarschuwing uit naar de bevoegde autoriteit of het CSIRT. Binnen 72 uur volgt een uitgebreidere melding met een eerste inschatting van ernst en impact. En binnen een maand na afhandeling volgt een eindverslag met oorzaak, genomen maatregelen en grensoverschrijdende effecten. Als de vragenlijst simpelweg "binnen hoeveel uur meldt u een datalek" vraagt, is het antwoord dus eigenlijk drieledig, en dat mag je ook zo invullen: niet één getal, maar de drie stappen met hun eigen termijn.

Belangrijk detail: deze termijnen gelden voor entiteiten die zelf onder de richtlijn vallen, en de meldplicht is aan de eigen toezichthouder — niet automatisch aan de klant die de vragenlijst stuurt. Of de onderneming zelf zo'n meldplichtige entiteit is, hangt af van sector en omvang; dat staat beschreven bij valt de onderneming zelf onder de NIS2-richtlijn of de nationale omzetting daarvan. Wat de klant meestal wíl weten, is of er een interne procedure bestaat die dit soort termijnen haalt — dat is een ander punt dan de wettelijke meldplicht aan de overheid, en wordt apart behandeld bij is er een procedure voor het behandelen van beveiligingsincidenten.

Waar dat in de richtlijn staat: artikel 21 lid 2, punt b

De drie meldmomenten — 24 uur, 72 uur, één maand — volgen rechtstreeks uit artikel 21 lid 2 onder b van Richtlijn (EU) 2022/2555. De Nederlandse Cyberbeveiligingswet zet deze verplichting om in nationaal recht en treedt op 15 augustus 2026 in werking; tot die datum is de richtlijn zelf de vindplaats, daarna de wettekst zoals gepubliceerd op wetten.overheid.nl.