hoe vul ik in dat medewerkers een beveiligingsincident kunnen melden

Interne meldroute is het bewijsstuk, niet een intentie

Deze vraag gaat over het meldkanaal zélf: kunnen medewerkers een incident intern melden, en gebeurt dat ook echt. Dat is iets anders dan de vraag of de organisatie incidenten registreert of afhandelt — dat hoort bij de procedure voor het behandelen van beveiligingsincidenten. Hier wil de klant specifiek weten of er een laagdrempelige, bekende weg is waarlangs een medewerker iets kan aankaarten: een mailadres, een ticketsysteem, een naam op het intranet. Het bewijsstuk is dus niet de procedure als geheel, maar het concrete kanaal plus iets dat laat zien dat medewerkers dat kanaal kennen — een screenshot van het intranet, een passage uit het onboardingdocument, of een trainingsslide.

Heb je dat niet apart vastgelegd, dan is "nee" of "gedeeltelijk" het eerlijke antwoord, ook als er wél een incidentprocedure bestaat die alleen door het IT-team wordt gebruikt. Vul geen "ja" in op basis van de procedure alleen; de vraag toetst bewustwording en bereikbaarheid, niet enkel proces. Als er wel bewustwordingstraining is die het meldkanaal behandelt, is dat vaak het sterkste bewijsstuk — check dat tegen de training in basispraktijken voor cyberhygiëne, want die twee antwoorden moeten onderling consistent zijn. Klopt het niet met elkaar, dan valt dat in een auditsteekproef sneller op dan een enkel ontbrekend bewijsstuk.

Waar dit vandaan komt: artikel 21 lid 2 en Annex A

Deze eis komt uit artikel 21 lid 2 van de NIS2-richtlijn, waar incidentafhandeling een van de tien verplichte maatregelen is; de Cyberbeveiligingswet zet dit om naar Nederlands recht per 15 augustus 2026. ISO/IEC 27001 werkt dit in Annex A uit tot op het niveau van meldkanalen en bewustwording, en klanten die met een ISO-vragenlijst werken vragen vaak letterlijk naar dat Annex A-controlepunt. Is de organisatie zelf gecertificeerd, dan ligt dit bewijs meestal al klaar — zie het ISO 27001-certificaat voor hoe dat aantoonbaar te maken is.