§ 32 BSIG: de plicht om significante beveiligingsincidenten te melden
§ 32 BSIG verplicht essentiële en belangrijke entiteiten om significante beveiligingsincidenten te melden: een vroegtijdige waarschuwing binnen 24 uur, een incidentmelding binnen 72 uur en een eindrapport een maand na de incidentmelding. De termijnen lopen vanaf het moment dat u van het incident weet. U meldt in het portaal van het BSI.
De drie meldingen
Meldingen gaan naar het gezamenlijke meldpunt van het BSI en het Bundesamt für Bevölkerungsschutz und Katastrophenhilfe (BBK).
Vroegtijdige waarschuwing
Of het incident vermoedelijk komt door een onrechtmatige of kwaadwillige handeling, en of het gevolgen kan hebben in andere landen. De Duitse wet noemt dit de “frühe Erstmeldung”.
§ 32(1) nr. 1
Incidentmelding
Bevestigt of actualiseert de vroegtijdige waarschuwing. Voegt een eerste beoordeling van ernst en gevolgen toe en, als die er zijn, sporen van de aanvallers (indicators of compromise).
§ 32(1) nr. 2
Eindrapport
Een maand na de incidentmelding: wat er gebeurde, hoe ernstig het was, de waarschijnlijke oorzaak, wat u hebt gedaan en nog doet, en of andere landen geraakt zijn.
§ 32(1) nr. 4
Vraagt het BSI erom, dan stuurt u tussendoor een tussentijds verslag (nr. 3). Loopt het incident na een maand nog, dan stuurt u in plaats van het eindrapport een voortgangsverslag, en het eindrapport zodra het is afgehandeld (lid 2).
De meldplicht stap voor stapWanneer een incident significant is
Een beveiligingsincident is significant als het een ernstige verstoring van uw bedrijfsvoering of financieel verlies voor uw bedrijf heeft veroorzaakt of kan veroorzaken. Of als het anderen aanzienlijke materiële of immateriële schade heeft berokkend of kan berokkenen.
Voor bepaalde digitale aanbieders, zoals cloud, datacenters en beheerde diensten, legt Uitvoeringsverordening (EU) 2024/2690 preciezere drempels vast. Voor alle anderen zijn er geen vaste cijfers. U beslist op basis van deze twee criteria en legt vast waarom.
§ 2 nr. 11 BSIG · Art. 23(3) NIS 2
Wanneer de klok start, en waar u meldt
De termijnen lopen vanaf het moment dat u ervan weet, niet vanaf het moment dat alles duidelijk is. Het BSI verstaat daaronder het moment waarop iemand in het bedrijf tijdens werktijd van het incident hoort.
U meldt in het portaal van het BSI, met dezelfde login als voor de registratie. Bent u nog niet geregistreerd, dan meldt u via een onlineformulier in het meld- en informatieportaal van het BSI (MIP).
Zijn persoonsgegevens geraakt, dan meldt u meestal ook bij de toezichthouder voor gegevensbescherming: zonder onnodige vertraging en zo mogelijk binnen 72 uur, tenzij de inbreuk waarschijnlijk geen risico voor de betrokkenen oplevert (art. 33 AVG). De ene melding vervangt de andere niet.
§ 32(1) BSIG · Art. 33 AVG
Wat de paragraaf verder regelt
Lid 3: exploitanten van kritieke installaties vermelden ook welke installatie geraakt is en wat het incident betekent voor hun kritieke dienst.
Lid 4: het BSI legt de details van de procedure en de inhoud vast en publiceert ze op zijn website.
Lid 5: het BSI stuurt meldingen door naar de bevoegde federale toezichthouders.
Lid 6: het BSI kan u ondersteuning bieden bij de afhandeling van het incident.
Wat dit betekent bij 50 tot 150 medewerkers
Leg vooraf vast wie beoordeelt of een incident significant is en wie meldt. In een noodgeval is daar weinig tijd voor.
Ga na of die persoon vandaag kan inloggen op het portaal van het BSI, en wie hem vervangt. Heeft maar één persoon de login, dan worden de 24 uur snel krap.
Een voorbeeld
Een verzonnen bedrijf: een levensmiddelengroothandel met 95 medewerkers. Vrijdag, 16 uur: de magazijnsoftware valt uit en de vrachtwagens kunnen niet worden geladen.
16.30 uur: de IT stelt vast dat de servers versleuteld zijn. Vanaf nu loopt de klok.
17 uur: volgens het incidentresponsplan beslist de directeur. Hij beoordeelt het incident als significant, omdat de bedrijfsvoering ernstig verstoord is.
20 uur: de vroegtijdige waarschuwing in het portaal van het BSI. Daarin staat dat een aanval wordt vermoed en dat klanten in Oostenrijk geraakt kunnen zijn. De termijn zou tot zaterdag 16.30 uur hebben gelopen.
Uiterlijk maandag 16.30 uur: de incidentmelding met een eerste beoordeling van ernst en gevolgen.
Een maand na die incidentmelding: het eindrapport, of een voortgangsverslag als het incident nog loopt. Tegelijk gaat het bedrijf na of persoonsgegevens geraakt zijn.
Zo gaat het in de doorloop
Twee stappen in de doorloop op nisd2.eu bereiden u voor op het melden.
“Plan what happens in an incident”: uit uw antwoorden ontstaat uw incidentresponsplan. Daarin staat wie beslist en hoe u meldt.
“Know how to report an incident”: de stap toont de drie termijnen en een voorbeeld van een vroegtijdige waarschuwing.
U legt vast of u kunt inloggen op het portaal van het BSI en kunt melden.
Aan het eind keurt de directie het incidentresponsplan goed in de app.
Veelgestelde vragen
Wanneer begint de termijn van 24 uur?
Vanaf het moment dat uw bedrijf van het significante incident weet, niet vanaf het moment dat het begon. Het BSI verstaat daaronder het moment waarop iemand in het bedrijf tijdens werktijd ervan hoort.
Wat hoort in de vroegtijdige waarschuwing?
De wet vraagt twee dingen: of een aanval of een andere onrechtmatige handeling erachter kan zitten, en of het incident andere landen kan raken (§ 32(1) nr. 1 BSIG). Wat u nog niet weet, vult u aan in de incidentmelding na 72 uur.
Zijn er vaste drempels voor een significant incident?
Alleen voor de digitale aanbieders die Uitvoeringsverordening (EU) 2024/2690 noemt. Voor alle anderen gelden de criteria in § 2 nr. 11 BSIG: ernstige verstoring van de bedrijfsvoering, financieel verlies of aanzienlijke schade bij anderen.
Moet ik ook volgens de AVG melden?
Zijn persoonsgegevens geraakt, dan meestal wel: bij de toezichthouder voor gegevensbescherming, zo mogelijk binnen 72 uur (art. 33 AVG). De melding bij het BSI vervangt die niet.
Waar meld ik?
In het portaal van het BSI, met de login van de registratie. Bent u nog niet geregistreerd, gebruik dan het onlineformulier in het meld- en informatieportaal van het BSI.
Bronnen
- BSI-wet (BSIG) § 2 nr. 11 en § 32, gesetze-im-internet.de/bsig_2025
- Richtlijn (EU) 2022/2555 (NIS 2), art. 23, EUR-Lex
- Uitvoeringsverordening (EU) 2024/2690, EUR-Lex
- BSI: informatiepakket over de NIS 2-meldplicht en handleiding voor melden in het BSI-portaal, bsi.bund.de
- Verordening (EU) 2016/679 (AVG), art. 33
In de praktijk
Waar dit in de begeleide doorloop terugkomt
De begeleide doorloop maakt hier stappen van die u invult, met de wet bij elke stap uitgelegd. Open een stap om het scherm te zien, ingevuld voor een verzonnen bedrijf.
De doorloop zelf is in het Duits en het Engels.
Incident Handling
Plan what happens in an incident
Who decides, whom you call, how you reach each other.
Incident Handling
Know how to report an incident
Three reports to your authority, with fixed deadlines.
Wat de doorloop kost
€ 4.800 netto per jaar, excl. btw
30 dagen geld terugOp factuur, betaling binnen 30 dagen. Opzeggen in de eerste 30 dagen: factuur geannuleerd of geld terug.
Begeleide NIS 2 implementatie, stap voor stap
Een geschiedenis van wijzigingen en goedkeuringen, om aan uw toezichthouder te tonen
Deadlines en herinneringen per vereiste
Beveiligingsvragenlijst voor uw leveranciers
Export naar PDF of CSV, op elk moment
Moet u zich met NIS2 bezighouden?
We begeleiden u stap voor stap. U vult in, wij leggen elk punt in eenvoudige woorden uit, en aan het eind tekent de directie.
