Wat houdt deze control in?
Organisaties moeten contacten onderhouden met relevante autoriteiten zoals NCSC, politie, Autoriteit Persoonsgegevens (AP), Autoriteit Financiële Markten (AFM) en overige toezichthouders voor snelle schakeling bij incidenten.
Waarom is dit verplicht?
De meldplicht onder de Cyberbeveiligingswet vereist dat organisaties weten bij wie ze moeten melden en hoe.
Praktische implementatie
- Registreer bij het NCSC of relevante sector-CERT
- Leg contactgegevens vast in het incidentresponsplan
- Ken de meldtermijnen onder de Cyberbeveiligingswet
- Onderhoud contact met de lokale politie cybercrimeteam
Aandachtspunten voor de overheid
Gemeenten vallen onder IBD; zorg dat het IBD-lidmaatschap actueel is en meldingsprocessen bekend zijn.
Relatie met andere controls
Gerelateerd aan 5.24 t/m 5.28 (incidentbeheer).
← Terug naar alle BIO 2.0 controls
Wat deze control praktisch betekent
Je legt vast welke functionarissen de formele contacten onderhouden met (overheids)instanties en toezichthouders over informatiebeveiliging, en houdt dat overzicht minimaal jaarlijks actueel. Relevante partijen zijn onder meer NCSC, IBD, politie en toezichthouders zoals de AP en AFM. De meldplicht onder de Cyberbeveiligingswet vereist dat je vooraf weet bij wie, hoe en binnen welke termijn je moet melden — contact leg je niet tijdens een crisis, dat regel je vooraf.
Passende maatregelen
4 basismaatregelen + 1 verdieping.
- ›Werk uit welke functionarissen de formele contacten met (overheids)instanties en toezichthouders onderhouden, en actualiseer dit overzicht minimaal jaarlijks.
- ›Registreer bij het NCSC of de relevante sector-CERT en zorg dat het lidmaatschap actueel blijft.
- ›Leg de contactgegevens van relevante autoriteiten vast in het incidentresponsplan, zodat ze tijdens een crisis direct beschikbaar zijn.
- ›Zorg als gemeente dat het IBD-lidmaatschap actueel is en dat de meldtermijnen en meldprocessen bekend zijn.
- ›Onderhoud proactief contact (bijv. met het cybercrimeteam van de politie) en toets de meldketen periodiek via een oefening.verdieping
Bewijs dat je kunt verzamelen
- ›Overzicht van functionarissen die formele contacten onderhouden, met datum van laatste actualisatie
- ›Bewijs van registratie/lidmaatschap bij NCSC, sector-CERT of IBD
- ›Incidentresponsplan met actuele contactgegevens van autoriteiten
- ›Verslag van een oefening waarin de meldketen is getest
Wat je bij een audit moet kunnen aantonen
- ›Dat is uitgewerkt welke functionarissen de formele contacten onderhouden en dat dit jaarlijks wordt geactualiseerd
- ›Dat de organisatie is aangesloten bij de relevante autoriteit(en) en dit actueel is
- ›Dat contactgegevens en meldprocedures vastliggen en vindbaar zijn
- ›Dat de meldketen aantoonbaar is getoetst (niet alleen op papier bestaat)
Voorbeeldactiviteiten: opzet, bestaan, werking
- ›Is uitgewerkt welke functionarissen de formele contacten met autoriteiten onderhouden?
- ›Zijn contactgegevens en meldprocedures opgenomen in het incidentresponsplan?
- ›Is een jaarlijkse actualisatie van het overzicht belegd?
- ›Is de organisatie daadwerkelijk aangesloten (NCSC/IBD/sector-CERT)?
- ›Zijn de contactgegevens actueel en bij de juiste mensen bekend?
- ›Is het overzicht in het afgelopen jaar geactualiseerd?
- ›Is de meldketen in de afgelopen periode beoefend of gebruikt?
- ›Worden contactgegevens en lidmaatschappen periodiek geactualiseerd?
- ›Zou een echte melding aantoonbaar binnen de termijn kunnen plaatsvinden?
Gekoppelde overheidsmaatregel(en)
Dit overzicht wordt ten minste jaarlijks geactualiseerd.
Deze uitwerking is indicatief en generiek. Ze vervangt geen eigen risicoafweging of professioneel advies afgestemd op jouw organisatie.