vragenlijst vraagt of we incidenten hebben gemeld bij een toezichthouder

Meldplicht geldt alleen als je zelf onder NIS2 valt

Deze vraag is alleen relevant als je onderneming zelf een NIS2-entiteit is — essentieel of belangrijk. Val je daar niet onder, dan is het antwoord meestal "niet van toepassing" en kun je dat ook zo noteren, met een korte toelichting waarom. Twijfel je over die status, dan is dat eerst uit te zoeken via of de onderneming onder de NIS2-richtlijn valt — het antwoord op deze vraag hangt daar direct van af.

Val je wel onder NIS2, dan draait de vraag om of je incidenten die aan de meldcriteria voldoen ook daadwerkelijk bij het CSIRT of de bevoegde toezichthouder hebt gemeld, binnen de gestelde termijnen (eerste melding, tussenmelding, eindverslag). Heb je dat gedaan, dan is "ja" te onderbouwen met de meldbevestiging of het incidentenregister als bewijsstuk. Heb je in de gevraagde periode simpelweg geen meldingsplichtig incident gehad, dan is "nee" het feitelijk juiste antwoord — dat is geen tekortkoming, en dat mag je ook zo toelichten in het vrije-tekstveld. Problematisch wordt het pas als er wél een incident was dat aan de criteria voldeed en er geen melding is gedaan; dat is een feit dat je dossier dan gewoon moet weerspiegelen, niet iets om anders te formuleren. Deze vraag hangt overigens samen met de procedure voor het behandelen van beveiligingsincidenten: zonder een werkende procedure is er meestal ook geen sluitend meldproces.

Waar dit uit volgt: artikel 21 lid 2 sub b en de Cyberbeveiligingswet

De meldplicht zelf staat niet in artikel 21 lid 2 — dat artikel beschrijft de tien maatregelen, waaronder onder b incidentafhandeling als beheersmaatregel. De daadwerkelijke meldplicht met termijnen is apart geregeld in de richtlijn en wordt voor Nederland omgezet in de Cyberbeveiligingswet, die op 15 augustus 2026 in werking treedt. Tot die datum is er geen Nederlandse wettelijke meldplicht op basis van NIS2; wat een klant in een vragenlijst nu al vraagt, is vaak een voorschot op die verplichting of een ISO 27001-vraag over incidentregistratie in Annex A.