Incidentmelding
QTSP's moeten incidenten snel melden: NIS2 (24u waarschuwing, RDI/NCSC), AVG-datalekmelding (72u) - eIDAS-artikel 19 is sinds 2024 geschrapt.
Incidentmelding (ook wel meldplicht genoemd) is de wettelijke plicht voor gereguleerde digitale diensten zoals QTSP's om beveiligingsincidenten te melden bij hun toezichthouder. NIS2 en de AVG kennen elk hun eigen triggers en termijnen. De eigen meldplicht van eIDAS is versmald, niet afgeschaft: artikel 42 van NIS2 heeft het voormalige artikel 19 - dat alle vertrouwensdienstverleners, gekwalificeerd en niet-gekwalificeerd, verplichtte om een inbreuk op de beveiliging of integriteitsverlies met aanzienlijke impact binnen 24 uur te melden bij de toezichthouder - in zijn geheel geschrapt, met ingang van 18 oktober 2024, terwijl een tegelijk ingevoegd nieuw artikel 19a een gelijkwaardige meldplicht van 24 uur specifiek laat gelden voor niet-gekwalificeerde vertrouwensdienstverleners. Het praktische gevolg is dat gekwalificeerde vertrouwensdienstverleners hun zelfstandige eIDAS-meldplicht zijn kwijtgeraakt, en in plaats daarvan een gelijkwaardige plicht krijgen onder NIS2 zelf zodra de Cyberbeveiligingswet - de wet die NIS2 omzet, aangenomen door de Eerste Kamer en met een beoogde inwerkingtreding op 15 augustus 2026 - op hen van toepassing wordt; zie dat begrip voor hoe de overgang intussen verloopt. De lex-specialis-regel van NIS2 zelf (artikel 4) - een regel die een specifiekere wet voorrang geeft boven een algemene - laat daarnaast toe dat andere Unierechtelijke handelingen zoals DORA gelijkwaardige sectorspecifieke meldregels stellen in plaats van NIS2, al was zo'n uitzondering voor eIDAS niet nodig zodra de artikel-19-plicht voor QTSP's was geschrapt.
NIS2 kent een driestaps-regime voor significante incidenten: een vroege waarschuwing binnen 24 uur na kennisname, een volledige melding binnen 72 uur, en een eindrapport een maand na die melding van 72 uur (met eventueel een tussenrapport als het CSIRT of de bevoegde toezichthouder daar om vraagt). Meldingen gaan naar het nationale CSIRT (in Nederland het NCSC); zodra de Cyberbeveiligingswet in werking treedt gaan ze ook naar de bevoegde toezichthouder - voor vertrouwensdiensten de RDI - in plaats van alleen naar het CSIRT. Entiteiten moeten getroffen gebruikers informeren over een significant incident dat waarschijnlijk nadelige gevolgen heeft voor het verlenen van hun dienst, en de bevoegde autoriteit kan openbaarmaking eisen of zelf tot openbaarmaking overgaan als dat in het algemeen belang is; bij grensoverschrijdende incidenten stemmen de CSIRT's en bevoegde autoriteiten van de betrokken lidstaten dit onderling af.
eIDAS 2.0 voegt ook een meldplicht toe die specifiek geldt voor de EUDI Wallet: als de beveiliging van een walletoplossing zodanig is gecompromitteerd dat dit de betrouwbaarheid aantast of gebruikers schaadt, moet de wallet provider de wallet of de getroffen functie onverwijld opschorten, gebruikers en dienstverleners informeren, en mag de dienst pas worden hervat zodra het risico is verholpen.
Zijn er persoonsgegevens in het spel, dan komt daar de AVG bij: een inbreuk in verband met persoonsgegevens die waarschijnlijk een risico oplevert voor de rechten en vrijheden van betrokkenen moet zonder onnodige vertraging en, waar haalbaar, binnen 72 uur worden gemeld bij de privacytoezichthouder - in Nederland de Autoriteit Persoonsgegevens - en bij een hoog risico moeten getroffen personen ook rechtstreeks worden geinformeerd op grond van artikel 34 AVG. Niet elk incident haalt deze drempel, maar als dat wel het geval is, kan een gebeurtenis meerdere meldplichten tegelijk activeren - daarom zijn incident-responsplannen en oefeningen een vast onderdeel van de geauditeerde bedrijfsvoering van een QTSP.