Meldplicht Cyberbeveiligingswet: wat meldt u en wanneer?
Door Niels Maas (LinkedIn) · Gepubliceerd op 16 oktober 2026
De meldplicht van de Cyberbeveiligingswet is de verplichting om elk significant incident te melden bij uw CSIRT en uw toezichthouder. Ze staat in artikel 25 van de Cyberbeveiligingswet (Cbw) en geldt sinds 15 augustus 2026 voor essentiële en belangrijke entiteiten. U meldt in stappen: binnen 24 uur een vroegtijdige waarschuwing, binnen 72 uur een melding en binnen een maand een eindverslag. Melden gaat via het centrale meldpunt op mijn.ncsc.nl.
Wat is de meldplicht van de Cyberbeveiligingswet?
Artikel 25, eerste lid, Cbw verplicht een essentiële of belangrijke entiteit om ieder significant incident te melden, volgens de stappen in artikel 26 tot en met 29. De melding gaat naar twee partijen:
- het CSIRT voor uw sector: het team dat u helpt bij de afhandeling;
- de bevoegde autoriteit: de toezichthouder voor uw sector.
U doet één melding: volgens de NCSC-infosheet Meldplicht wordt een melding van een significant incident op mijn.ncsc.nl automatisch doorgestuurd naar uw sectorale CSIRT en de bevoegde toezichthouder. Na een verplichte melding hebt u recht op bijstand van het sectorale CSIRT.
Valt u nog niet zeker onder de wet? Lees eerst Valt mijn bedrijf onder de Cyberbeveiligingswet?
Wanneer is een incident significant?
Volgens artikel 25, tweede lid, Cbw is een incident significant als het:
- een ernstige operationele verstoring van de diensten of financiële verliezen voor uw organisatie veroorzaakt of kan veroorzaken; of
- andere entiteiten heeft getroffen of kan treffen door aanzienlijke materiële of immateriële schade.
Let op het woord "kan": ook een incident dat de schade nog niet heeft veroorzaakt maar wel kan veroorzaken, valt eronder. De minister kan nadere criteria vaststellen per sector of soort organisatie (artikel 25, derde lid, Cbw en artikel 23 Cyberbeveiligingsbesluit). Voor onder meer aanbieders van clouddiensten, datacentra en beheerde diensten bepaalt de Europese Uitvoeringsverordening (EU) 2024/2690 wanneer een incident significant is.
Leg in uw incidentprocedure vast wie beoordeelt of een incident significant is, en op basis van welke criteria. Twijfel kost tijd, en de klok loopt vanaf het moment dat u kennis hebt van het incident.
De termijnen: 24 uur, 72 uur, een maand
| Stap | Termijn | Inhoud | Grondslag |
|---|---|---|---|
| Vroegtijdige waarschuwing | Onverwijld, uiterlijk 24 uur na kennisname | Vermoedelijk kwaadwillig? Grensoverschrijdende gevolgen? Contactpersoon. Plus: vermoedelijk begintijdstip, en zo mogelijk aard, gevolgen, verwachte hersteltijd en maatregelen | Art. 26 Cbw, art. 24 Cbb |
| Melding | Onverwijld, uiterlijk 72 uur na kennisname | Update van de waarschuwing, eerste beoordeling van ernst en gevolgen, indicatoren van aantasting (indien beschikbaar), informatie over grensoverschrijdende gevolgen | Art. 27 Cbw |
| Tussentijds verslag | Op verzoek van CSIRT of toezichthouder | Relevante updates van de situatie | Art. 28 Cbw |
| Eindverslag | Uiterlijk een maand na de melding | Gedetailleerde beschrijving, ernst en gevolgen, soort dreiging of grondoorzaak, genomen en lopende maatregelen, grensoverschrijdende gevolgen | Art. 29, eerste lid, Cbw |
| Voortgangsverslag | Als het incident na een maand nog loopt | Zelfde onderwerpen; eindverslag binnen een maand na afhandeling | Art. 29, tweede lid, Cbw |
Voor verleners van vertrouwensdiensten geldt een kortere termijn: de melding binnen 24 uur als het incident gevolgen heeft voor de vertrouwensdienst (artikel 27, tweede lid, Cbw).
Moet u ook klanten informeren?
Ja, in twee gevallen (artikel 30 Cbw):
- Bij een significant incident dat de dienstverlening aan uw afnemers kan schaden, informeert u die afnemers onverwijld.
- Bij een significante cyberdreiging die uw afnemers kan treffen, vertelt u hun onverwijld welke maatregelen zij zelf kunnen nemen, en zo nodig wat de dreiging is.
Leg vooraf vast wie dat doet en via welk kanaal, bijvoorbeeld in een communicatieplan.
Meldplicht Cbw en meldplicht datalekken (AVG)
Een cyberincident kan onder twee meldplichten vallen. Die staan los van elkaar.
| Cyberbeveiligingswet | AVG (datalek) | |
|---|---|---|
| Wat | Significant incident | Inbreuk op de beveiliging van persoonsgegevens met risico voor betrokkenen |
| Bij wie | CSIRT en toezichthouder, via mijn.ncsc.nl | Autoriteit Persoonsgegevens |
| Termijn | 24 uur, 72 uur, een maand | Binnen 72 uur na ontdekking |
| Grondslag | Art. 25–29 Cbw | Art. 33 AVG |
Een ransomware-aanval die uw dienstverlening stillegt én klantgegevens raakt, meldt u dus twee keer: bij het NCSC en bij de Autoriteit Persoonsgegevens. Meer over de AVG op de pagina over de AVG.
Vrijwillig melden
Ook organisaties die niet onder de wet vallen, en incidenten die niet significant zijn, kunt u vrijwillig melden (artikel 33 Cbw). Volgens het NCSC gaat een vrijwillige melding alleen naar het sectorale CSIRT en niet naar de toezichthouder.
Wat gebeurt er als u niet meldt?
Niet of te laat melden is een overtreding van artikel 25 tot en met 29 Cbw. De maximale boete is gelijk aan die voor de zorgplicht:
| Maximale boete | |
|---|---|
| Essentiële entiteit | € 10.000.000 of 2% van de wereldwijde jaaromzet, het hoogste bedrag (art. 80 Cbw) |
| Belangrijke entiteit | € 7.000.000 of 1,4% van de wereldwijde jaaromzet, het hoogste bedrag (art. 87 Cbw) |
Zo bent u voorbereid
| Wat | Waarom | Grondslag |
|---|---|---|
| Procedure meldplicht met criteria voor "significant" | Snel beslissen binnen 24 uur | Art. 25 Cbw |
| Toegang tot mijn.ncsc.nl geregeld (eHerkenning) | Geen vertraging bij de eerste melding | NCSC |
| Contactpersoon voor de melding aangewezen | Verplicht onderdeel van de vroegtijdige waarschuwing | Art. 26, tweede lid, Cbw |
| Incidentdossier met tijdlijn | Basis voor melding en eindverslag | Art. 27 en 29 Cbw, art. 8 Cbb |
| Communicatieplan voor afnemers | Informeren zonder uitstel | Art. 30 Cbw |
| Afspraak over datalekken | Tweede melding bij de AP binnen 72 uur | Art. 33 AVG |
De meldplicht hoort bij de bredere zorgplicht: artikel 8 van het Cyberbeveiligingsbesluit eist een procedure voor het detecteren, beoordelen, afhandelen, rapporteren en leren van incidenten. Een overzicht van alle verplichtingen staat op de pagina over de Cyberbeveiligingswet (NIS2).
De Cyberbeveiligingswet Toolkit bevat een procedure meldplicht significante incidenten (CBW-P01) met de termijnen en inhoud uit artikel 25 tot en met 30 Cbw, en een meldingsdossier (T-CBW-001) waarin u per stap vastlegt wat u wanneer hebt gemeld.
Veelgestelde vragen
Wat is de meldplicht van de Cyberbeveiligingswet?
De meldplicht is de verplichting uit artikel 25 Cbw om elk significant incident te melden bij het CSIRT en de bevoegde autoriteit, in de stappen uit artikel 26 tot en met 29: vroegtijdige waarschuwing binnen 24 uur, melding binnen 72 uur en eindverslag binnen een maand.
Wanneer is een incident significant?
Volgens artikel 25, tweede lid, Cbw als het een ernstige operationele verstoring van de diensten of financiële verliezen voor de organisatie veroorzaakt of kan veroorzaken, of als het andere organisaties of personen aanzienlijke materiële of immateriële schade kan berokkenen. De minister kan nadere criteria vaststellen (artikel 23 Cbb).
Waar meld ik een significant incident?
Via het centrale meldpunt op mijn.ncsc.nl. Volgens het NCSC gaat een melding van een significant incident daar in één keer naar uw sectorale CSIRT en de bevoegde toezichthouder.
Vanaf wanneer lopen de 24 uur?
Vanaf het moment dat u kennis hebt gekregen van het significante incident (artikel 26, eerste lid, Cbw). De wet zegt "onverwijld", en uiterlijk binnen 24 uur.
Moet ik een incident ook bij de Autoriteit Persoonsgegevens melden?
Als er persoonsgegevens bij betrokken zijn en het een datalek is, ja. De meldplicht datalekken uit artikel 33 AVG staat los van de Cbw: u meldt dan binnen 72 uur bij de Autoriteit Persoonsgegevens, naast de melding bij het NCSC.