vragenlijst vraagt of wij een incident response plan hebben opgesteld

Incident response plan is een van de tien maatregelen uit artikel 21

Ja, dit is een herkenbaar onderdeel: artikel 21 lid 2 sub b van de NIS2-richtlijn noemt "incident handling" als een van de tien verplichte maatregelen. De klant vraagt hier niet naar een vage bereidheid om ooit iets te doen bij een hack, maar naar een vastgelegde procedure: wie meldt een incident, wie beoordeelt de impact, wie besluit over escalatie en communicatie, en binnen welke tijd. Als die procedure bestaat en op schrift staat, is dit een bevestigend antwoord met het document als bewijsstuk. Bestaat hij niet, of leeft hij alleen in hoofden van mensen, dan is "nee" het eerlijke antwoord — een halfslachtig "ja" zonder onderliggend stuk levert bij audit meer schade op dan een nee met een toelichting dat het in ontwikkeling is.

Let op het verschil met de vraag naar detectie en opsporing: een incident response plan gaat over wat er gebeurt nadat iets is vastgesteld, niet over hoe kwetsbaarheden worden gevonden — dat laatste hoort bij het proces voor het opsporen en verhelpen van kwetsbaarheden. Sommige vragenlijsten vragen dit als losse vraag, andere vouwen hem samen met continuïteit ("hoe herstelt u de dienstverlening"), wat een ander onderwerp is en beantwoord wordt via de vraag over back-ups en noodvoorzieningen. Het is dus zaak om in het ketendossier incident response en continuïteit als apart bewijsstuk te bewaren, ook als ze in de praktijk in één document staan.

Waar dat in de richtlijn en de norm staat

Artikel 21 lid 2 sub b van Richtlijn (EU) 2022/2555 noemt "incident handling" letterlijk als verplichte maatregel naast de andere negen uit dat lid. In ISO/IEC 27001 komt dit terug onder Annex A, bij de beheersmaatregelen over management van informatiebeveiligingsincidenten — wie al voor een ander doel gecertificeerd is volgens ISO 27001 heeft dit bewijsstuk vermoedelijk al liggen. De Cyberbeveiligingswet zet artikel 21 om in Nederlandse regels, maar treedt pas op 15 augustus 2026 in werking; tot die datum is de richtlijn zelf het aan te houden kader voor wie moet toetsen of dit al op orde is.