Eén incident, meerdere meldingen: hoe verhouden NIS2, de AVG en DORA zich?

Elke wet heeft een eigen melding, ontvanger en termijn, en één incident kan er meerdere uitlokken. Een significant incident bij een entiteit die eronder valt, gaat volgens artikel 23 van NIS2NIS2: tweede Europese richtlijn voor netwerk- en informatiebeveiliging. De Europese cyberbeveiligingswet (Richtlijn (EU) 2022/2555) met beveiligings- en meldplichten voor veel bedrijven. naar het CSIRTCSIRT: computer security incident response team. Het nationale team waaraan significante incidenten worden gemeld. of de bevoegde autoriteit; zijn persoonsgegevens geraakt, dan meldt de verwerkingsverantwoordelijke ook volgens artikel 33 van de AVGAVG: Algemene verordening gegevensbescherming. De Europese privacywet (Verordening (EU) 2016/679). bij de privacytoezichthouder; een financiële entiteit meldt ernstige ICT-gerelateerde incidenten volgens artikel 19 van DORA in plaats van onder NIS2; en een fabrikant van producten kan plichten hebben onder de Cyberweerbaarheidsverordening, zie Verordening (EU) 2024/2847, artikel 14. Sommige nationale systemen hebben één portaal, maar ga er niet van uit dat één melding alles dekt. Houd één incidentdossier bij en maak elke melding daaruit, zodat de feiten kloppen. Artikel 35 van NIS2 vraagt NIS2-autoriteiten bovendien privacytoezichthouders te informeren over inbreuken die zij vernemen. NetSenX bewaakt de NIS2-termijnen en maakt uit dezelfde incidentgegevens een concept-AVG-melding volgens artikel 33.

Algemene informatie, geen juridisch advies. Nationale wetten kunnen de hier aangehaalde EU-teksten aanvullen, bijvoorbeeld met termijnen, formulieren of meldkanalen: controleer de regels van uw eigen land.

← Alle 35 vragen over MeldtermijnenAlle onderwerpen