Wat houdt deze control in?
Medewerkers moeten weten hoe ze beveiligingsincidenten en verdacht gedrag kunnen melden zonder angst voor negatieve consequenties.
Waarom is dit verplicht?
Vroegtijdige melding beperkt de schade van incidenten; een meldingscultuur is essentieel.
Praktische implementatie
- Communiceer een laagdrempelig meldkanaal
- Garandeer dat melden geen negatieve gevolgen heeft
- Geef terugkoppeling aan melders over de opvolging
- Neem melding op in bewustwordingstrainingen
Aandachtspunten voor de overheid
Koppel het meldproces aan je CERT/SOC-functie en aan de wettelijke meldplicht uit de Cyberbeveiligingswet. Die kent drie momenten, gerekend vanaf het moment dat je organisatie kennis krijgt van een significant incident. Melden gaat via het centrale meldportaal op MijnNCSC; daarmee bereikt je melding in één keer zowel het CSIRT als de toezichthouder (voor de Overheid is dat de RDI.)
Let op: een melding onder de Cyberbeveiligingswet vervangt een datalekmelding bij de Autoriteit Persoonsgegevens niet. Bij bijvoorbeeld ransomware waarbij persoonsgegevens zijn buitgemaakt, gelden beide verplichtingen naast elkaar. Beleg ze bij verschillende personen.
Relatie met andere controls
Gerelateerd aan 5.24 t/m 5.26 (incidentbeheer), 6.3 (bewustwording, daar komt het bewijs vandaan dat medewerkers de meldingsprocedure kennen) en 7.9 (verlies of diefstal van apparatuur buiten kantoor direct melden).
← Terug naar alle BIO 2.0 controls
Wat deze control praktisch betekent
Medewerkers weten hoe ze beveiligingsincidenten en verdacht gedrag kunnen melden, zonder angst voor negatieve consequenties. De overheidsmaatregel vereist dat alle medewerkers — intern én extern — aantoonbaar kennis hebben genomen van de meldingsprocedure voor IB-incidenten. Vroegtijdige melding beperkt de schade van incidenten; een meldingscultuur waarin melden veilig is, is essentieel.
Passende maatregelen
4 basismaatregelen + 1 verdieping.
- ›Zorg dat alle medewerkers (intern en extern) aantoonbaar kennisnemen van de meldingsprocedure voor IB-incidenten.
- ›Communiceer een laagdrempelig meldkanaal dat eenvoudig te vinden en te gebruiken is.
- ›Garandeer dat melden geen negatieve gevolgen heeft voor de melder (meldingscultuur).
- ›Neem het melden van incidenten op in de bewustwordingstrainingen.
- ›Koppel het meldproces aan de CERT/SOC-functie en de wettelijke meldplicht, en geef melders terugkoppeling over de opvolging.verdieping
Bewijs dat je kunt verzamelen
- ›Registratie waaruit blijkt dat medewerkers (intern en extern) kennis namen van de meldingsprocedure
- ›De gepubliceerde meldingsprocedure en het meldkanaal
- ›Trainingsmateriaal waarin het melden is opgenomen
- ›Voorbeelden van terugkoppeling aan melders / koppeling met CERT/SOC
Wat je bij een audit moet kunnen aantonen
- ›Dat alle medewerkers aantoonbaar kennis hebben genomen van de meldingsprocedure
- ›Dat er een laagdrempelig, vindbaar meldkanaal is
- ›Dat melden zonder negatieve gevolgen is geborgd
- ›Dat het meldproces is gekoppeld aan incidentbeheer en de wettelijke meldplicht
Voorbeeldactiviteiten: opzet, bestaan, werking
- ›Is een meldingsprocedure met een laagdrempelig meldkanaal vastgesteld?
- ›Is geborgd dat melden geen negatieve gevolgen heeft?
- ›Is de koppeling met CERT/SOC en de meldplicht ingericht?
- ›Hebben medewerkers (intern en extern) aantoonbaar kennisgenomen van de procedure?
- ›Is het meldkanaal in gebruik en vindbaar?
- ›Is het melden opgenomen in trainingen?
- ›Worden meldingen daadwerkelijk gedaan en opgevolgd?
- ›Krijgen melders terugkoppeling?
- ›Wordt de procedure periodiek onder de aandacht gebracht?
Gekoppelde overheidsmaatregel(en)
Deze uitwerking is indicatief en generiek. Ze vervangt geen eigen risicoafweging of professioneel advies afgestemd op jouw organisatie.