De Cyberbeveiligingswet verplicht organisaties een significant incident te melden in drie stappen: een vroegtijdige waarschuwing binnen 24 uur na bekend worden, de incidentmelding binnen 72 uur met een eerste beoordeling van ernst en gevolgen, en het eindverslag uiterlijk een maand na de incidentmelding. In de praktijk gaat het mis op het eerste moment: het incident wordt 's avonds ontdekt, niemand weet of het significant is, en de 24 uur zijn voorbij voordat het bestuur het hoort. Normy maakt van de meldplicht een register. Je neemt een incident met één klik over uit het incidentenregister, beoordeelt of het significant is en legt vast waarom. Is het significant, dan staan de drie momenten er direct, met datum en tijd, en waarschuwt het register zolang er een openstaat. Wat je hebt gemeld en wanneer, staat erbij, zodat je bij een vraag van de toezichthouder het hele verloop kunt laten zien.
Zo ziet het eruit
Dezelfde kolommen, statussen en waarschuwingen als in de app. Wat het register uitrekent, is gemarkeerd.
NormyMeldplicht significante incidenten- Incident
- Ransomware op de bestandsserver
- Significant?
- Ja, significant (meldplicht)
- Onderbouwing van de beoordeling
- Dienstverlening aan alle afnemers langer dan vier uur verstoord; boven de drempel van onze sector.
- Bekend geworden op
- 01-10-2026
- Tijdstip
- 07:40
- Vroegtijdige waarschuwing uiterlijkuitgerekend door Normy
- 02-10-2026 07:40
- Incidentmelding uiterlijkuitgerekend door Normy
- 04-10-2026 07:40
- Eindverslag uiterlijkuitgerekend door Normy
- 04-11-2026
- Eerstvolgende termijnuitgerekend door Normy
- 02-10-2026
- Ernst en gevolgen
- Bestanden versleuteld, herstel uit back-up loopt.
- Genomen of lopende maatregelen
- Server geïsoleerd, wachtwoorden gewijzigd.
- Verantwoordelijke
- Mark Jansen
Voorbeeldgegevens. Klik op een melding om de velden te zien.
Wat het register voor je doet
- Rekent zelfVroegtijdige waarschuwing uiterlijk, incidentmelding uiterlijk, eindverslag uiterlijk en eerstvolgende termijn: dat vul je niet in, dat rekent het register uit volgens een vaste regel. Ook bij een voorstel van de AI rekent het register, niet de AI.
- Waarschuwt wat aandacht vraagtDe waarschuwing staat in rood onder de regel en wordt elke dag opnieuw uitgerekend. Met het filter Aandacht zie je alleen de meldingen waar je iets mee moet.
- Herinnert je op tijdOp het veld eerstvolgende termijn krijg je vooraf en op de dag zelf een herinnering. In de lijst kleurt de datum amber binnen dertig dagen en rood als hij voorbij is.
- Voorstellen uit BeveiligingsincidentenWat al in Beveiligingsincidenten staat, hoef je niet over te typen. Normy stelt de meldingen voor en slaat over wat er al is.
- Van melding naar actieMaak vanuit een melding direct een actie. Titel en omschrijving neemt Normy over, jij kiest eigenaar en datum.
- Iedereen ziet zijn eigen werkZet een collega als verantwoordelijke op een melding, en die ziet hem terug in Mijn werk, naast zijn acties en doelstellingen.
- Snel terugvindenZoek op elk woord in een melding en filter op status, zodat je ook in een lang register meteen ziet wat openstaat.
- Jij bepaalt wie wat magMet profielen stel je per register in wie mag lezen en wie mag bewerken. Wie alleen mag lezen, ziet het register zonder knoppen om iets te wijzigen.
Drie termijnen, zelf uitgerekend
Vanaf het moment van bekend worden: 24 uur, 72 uur, en een maand na de incidentmelding. Met datum en tijd, in Nederlandse kloktijd.
Waarschuwt zolang er iets openstaat
Het register zegt welke stap de volgende is en hoeveel tijd er nog is. Een verstreken termijn staat in rood, met de opdracht alsnog te melden en de reden vast te leggen.
De beoordeling vastgelegd
Ook een incident dat níet significant is hoort erin, met de onderbouwing. Dat is wat een toezichthouder vraagt als er later twijfel is.
Uit het incidentenregister
Neem een incident met één klik over. De melding blijft gekoppeld aan het incident, met oorzaak en maatregelen.
Wat leg je vast in het register meldplicht significante incidenten?
- Incident
- Significant?
- Onderbouwing van de beoordeling
- Bekend geworden op
- Tijdstip
- Vroegtijdige waarschuwing uiterlijk
- Waarschuwing gedaan op
- Incidentmelding uiterlijk
- Incidentmelding gedaan op
- Eindverslag uiterlijk
- Eindverslag ingediend op
- Eerstvolgende termijn
- Kenmerk van de melding
- Ernst en gevolgen
- Oorzaak
- Genomen of lopende maatregelen
- Afnemers geïnformeerd op
- Waarschuwing
- Verantwoordelijke
Zo werkt het
- 1
Het register staat klaar
Zodra je met NIS2 werkt, staat Meldplicht significante incidenten in je menu, met de velden en statussen die de norm vraagt.
- 2
Leg je eerste meldingen vast
Vul in wat je weet. Verplicht is alleen wat de regel herkenbaar maakt; de rest vul je later aan.
- 3
Laat het register rekenen
Terwijl je invult, rekent het register mee en waarschuwt het als iets niet klopt of over datum is.
- 4
Houd het bij
De lijst en je herinneringen laten zien wat aandacht vraagt. Bij de audit staat je bewijs op één plek, naast je andere registers.
Gekoppeld aan
Vanuit een melding leg je een koppeling naar deze registers. Een signaal aan de ene kant zie je aan de andere kant terug.
Veelgestelde vragen
Als het de dienstverlening ernstig verstoort, financiële schade veroorzaakt of aanzienlijke schade bij anderen kan aanrichten. De precieze drempels verschillen per sector en staan in ministeriële regelingen. Normy vraagt om je beoordeling en rekent die niet zelf uit.
Vanaf het moment dat het incident bij de organisatie bekend werd. Vul je geen tijdstip in, dan rekent Normy vanaf middernacht: de strengste lezing, zodat de klok nooit te ruim staat.
Uiterlijk een maand na de incidentmelding. Heb je de melding gedaan, dan telt Normy vanaf die datum; anders vanaf de uiterste datum van de melding. Op verzoek van het CSIRT of de toezichthouder geef je tussentijds updates.
Via het centrale meldpunt van de overheid, dat je sectorale CSIRT en de toezichthouder tegelijk bereikt. Regel de toegang vóór er een incident is. Normy doet de melding niet voor je; het bewaakt dat je hem op tijd doet.
Nee. Een datalek meld je bij de Autoriteit Persoonsgegevens onder de AVG, binnen 72 uur. Een incident kan onder beide vallen; dan leg je beide vast, elk in zijn eigen register.
In de EU, per organisatie afgeschermd.
Voor deze normen
Dit register is er één van vele. Bekijk alle registers per norm →
Plan een kennismaking
Liever even samen kijken?
Laat je gegevens achter, dan hoor je dezelfde werkdag van ons. In twintig minuten laten we zien wat Normy doet voor jouw norm, en bespreken we waar je nu staat. Geen verkooppraatje, en je hoeft niets voor te bereiden.
Reactie
Dezelfde werkdag, met een paar tijdstippen
Liever zelf kijken? Maak alvast een gratis account en laat je eerste hoofdstuk kosteloos beoordelen.