vragenlijst vraagt hoe wij een datalek zouden melden aan hen

Deze vraag gaat over meldprocedure, niet over meldplicht bij een toezichthouder

De klant vraagt hier hoe úw incidentproces werkt, niet of u al een keer een datalek bij de Autoriteit Persoonsgegevens heeft gemeld. Het antwoord dat gevraagd wordt, is een beschrijving van het proces: hoe u een beveiligingsincident herkent, wie er dan intern gewaarschuwd wordt, binnen welke tijd de klant zelf een melding krijgt, en via welk kanaal. Dat is precies wat onder de procedure voor beveiligingsincidenten hoort te vallen als u daar al beleid voor heeft vastgelegd.

Heeft u zo'n vastgelegd proces, dan is het antwoord meestal "ja": u heeft een procedure, een aanspreekpunt en een afgesproken meldtermijn richting klanten bij wie hun gegevens of systemen mogelijk zijn geraakt. Ontbreekt dat proces, of bestaat het alleen mondeling, dan is "nee" of "deels" het feitelijk juiste antwoord — een toezegging dat u het "voortaan zo doet" is geen antwoord voor vandaag. Let ook op de link met leveranciers: als het incident bij een derde partij ontstaat die voor u werkt, raakt dat de eisen die u aan uw eigen leveranciers stelt, en sommige vragenlijsten vragen daar apart naar.

Waarom dit onder artikel 21 lid 2 valt

Meldprocedures voor incidenten horen tot de tien maatregelen van artikel 21 lid 2 van de NIS2-richtlijn (Richtlijn (EU) 2022/2555); onderdeel b noemt incidentafhandeling met naam. In de Cyberbeveiligingswet, de Nederlandse omzetting die op 15 augustus 2026 in werking treedt, komt dezelfde verplichting terug voor entiteiten die onder die wet vallen. ISO/IEC 27001 vraagt in Annex A vergelijkbare vastlegging, onder de beheersmaatregelen voor incidentmanagement. Welke van de drie voor u geldt, hangt af van of uw onderneming zelf onder een van die regelingen valt — dat is een andere vraag dan deze.