vragenlijst vraagt hoe we reageren op een ransomware-aanval

Ransomware valt onder incidentafhandeling, niet onder continuïteit alleen

De vraag over ransomware toetst meestal je respons-procedure, niet je techniek. Klanten willen zien dat er een vastgelegd proces is: detecteren, inperken, herstellen, en melden aan de juiste partijen. Dat is precies de procedure voor beveiligingsincidenten uit artikel 21 lid 2 sub b van NIS2 — als je die procedure hebt beschreven, gebruik je die tekst hier, niet een losse ransomware-paragraaf. Een aparte ransomware-policy is dus geen vereiste; een incidentprocedure die ransomware als scenario benoemt, volstaat doorgaans.

Wat vaak los wordt gevraagd, is het herstelgedeelte: kun je de dienst weer opstarten zonder het losgeld te betalen. Dat hoort bij back-ups en de noodvoorziening om de dienstverlening te herstellen — punt c van dezelfde lijst, business continuity en crisisbeheer. Heb je geen recent geteste back-up-restore, dan is het antwoord op het ransomware-scenario feitelijk zwak, ook als je incidentproces op papier klopt. Beantwoord dit onderdeel dus pas als je weet of de laatste restore-test is gedaan en wanneer.

Waar dit precies staat: artikel 21 lid 2, sub b en c

Artikel 21 lid 2 van NIS2 noemt tien maatregelen die een entiteit moet nemen; sub b is incident handling, sub c is business continuity inclusief backup management en disaster recovery. Een ransomware-aanval raakt beide: de detectie en respons vallen onder b, het herstel zonder de aanvaller te betalen valt onder c. In de Cyberbeveiligingswet — de Nederlandse omzetting van NIS2, die op 15 augustus 2026 in werking treedt — komen deze verplichtingen terug voor entiteiten die onder de wet vallen; check bij twijfel of de onderneming zelf onder de NIS2-richtlijn of de nationale omzetting daarvan valt, want dat bepaalt of dit een verplichting is of alleen een klantverwachting. Werk je met ISO 27001, dan zit het equivalent in Annex A: A.5.24 tot A.5.26 voor incident management, A.5.29 en A.5.30 voor continuïteit en disaster recovery. Heb je geen van beide formeel vastgelegd, dan is het eerlijkste antwoord dat je een informele aanpak hebt en geen gedocumenteerde procedure — dat is een ander antwoord dan "ja", en het scheelt om dat onderscheid vast te houden.