Een cyberincident kan elke organisatie treffen, en onder de NIS2-richtlijn ben je als organisatie verplicht om er klaar voor te zijn. Niet alleen technisch, maar ook procedureel: je moet kunnen aantonen dat je weet wat je doet op het moment dat het misgaat. Een goed ingericht NIS2 incidentresponsplan is daarvoor de basis. Het geeft je team houvast, verkort de reactietijd en zorgt dat je voldoet aan de NIS2 meldplicht en zorgplicht.
In dit artikel doorloop je stap voor stap hoe je zo’n plan opbouwt, van de voorbereiding tot het actueel houden na een incident. Volg de stappen in volgorde, want elke fase bouwt voort op de vorige.
Wat je nodig hebt vóór je begint
Voordat je het plan daadwerkelijk schrijft, leg je de basis. Een incidentresponsplan is geen document dat je in je eentje opstelt achter een bureau. Het vereist input van meerdere disciplines binnen je organisatie en een helder beeld van je eigen digitale omgeving.
Zorg dat je de volgende elementen op orde hebt voordat je verdergaat:
- Een actueel overzicht van je kritieke systemen, netwerken en gegevens
- Inzicht in je toeleveringsketen, want de NIS2-zorgplicht vereist dat je ook de cybersecuritymaatregelen van leveranciers in kaart brengt
- Betrokkenheid van het management, de NIS2-richtlijn maakt bestuurders mede verantwoordelijk voor cybersecurity
- Een aangewezen proceseigenaar die het plan coördineert en bijhoudt
- Toegang tot relevante normen zoals de BIO2 (voor overheidsorganisaties) of ISO/IEC 27002 als referentiekader
Controleer ook of jouw organisatie al geregistreerd is of moet worden bij het NCSC-portaal. Onder de Cyberbeveiligingswet, de Nederlandse implementatie van NIS2 die naar verwachting in Q2 2026 in werking treedt, zijn essentiële en belangrijke entiteiten verplicht zich te registreren. Vrijwillige registratie is al mogelijk. Zonder registratie kun je bovendien geen gebruik maken van de dreigingsinformatie die het NCSC deelt.
Definieer je incidentcategorieën en escalatieniveaus
Niet elk beveiligingsincident is even ernstig. Een mislukte inlogpoging vraagt om een andere reactie dan een actieve ransomware-aanval. Door incidenten vooraf te categoriseren, voorkom je dat je team in paniek reageert of juist te laat escaleert.
Werk je categorieën uit aan de hand van de volgende aanpak:
- Bepaal welke typen incidenten voor jouw organisatie relevant zijn, denk aan datalekken, DDoS-aanvallen, malware-infecties, ongeautoriseerde toegang en supply chain-compromittering.
- Ken aan elk type een ernstklasse toe, bijvoorbeeld laag, gemiddeld, hoog en kritiek.
- Koppel aan elke klasse concrete criteria: het aantal getroffen personen, de duur van de verstoring en de potentiële financiële of maatschappelijke schade. Dit zijn ook de factoren die bepalen of een incident meldingswaardig is onder de NIS2 meldplicht.
- Stel per klasse een maximale reactietijd vast, inclusief het moment waarop je intern escaleert naar management of extern naar het NCSC.
Een incident is significant onder de Cyberbeveiligingswet als het de continuïteit van je dienstverlening aanzienlijk kan verstoren. Door dit nu concreet te maken, weet je team straks direct of en wanneer melden verplicht is. Dat voorkomt twijfel op het moment dat het er écht toe doet.
Stel je responsteam en communicatiestructuur in
Een plan zonder mensen is een document. Definieer wie wat doet tijdens een incident, zodat er geen kostbare tijd verloren gaat aan het uitzoeken van verantwoordelijkheden.
Stel een incidentresponsteam samen met de volgende rollen:
- Incident Response Coördinator: houdt het overzicht en bewaakt de tijdlijn
- Technisch analist: onderzoekt de oorzaak en beperkt de schade
- Communicatieverantwoordelijke: beheert interne en externe communicatie
- Juridisch of compliance-aanspreekpunt: bewaakt meldverplichtingen en aansprakelijkheid
- Managementvertegenwoordiger: neemt beslissingen bij escalatie en autoriseert maatregelen
Leg vervolgens de communicatiestructuur vast. Wie informeert wie, via welk kanaal en binnen welke termijn? Houd er rekening mee dat de NIS2-meldprocedure drie stappen kent: een vroegtijdige waarschuwing binnen 24 uur na ontdekking, een gedetailleerdere melding en een eindrapportage. Je communicatiestructuur moet deze tijdlijn ondersteunen. Zorg ook voor een alternatief communicatiekanaal voor het geval je primaire systemen zijn aangetast.
Documenteer de stappen van detectie tot herstel
Dit is de kern van je NIS2 incidentresponsplan: de concrete processtappen die je team volgt vanaf het moment dat een incident wordt gesignaleerd tot het systeem volledig is hersteld. Documenteer elke fase helder en beknopt, zodat ook iemand die er net bij wordt geroepen snel begrijpt wat er van hem of haar wordt verwacht.
Detectie en analyse
Beschrijf hoe incidenten worden herkend, via monitoring, meldingen van medewerkers of externe signalen. Leg vast welke informatie de technisch analist als eerste verzamelt en hoe de eerste beoordeling van de ernst verloopt.
Inperking en uitroeiing
Documenteer de stappen om verdere verspreiding te stoppen, zoals het isoleren van systemen of het blokkeren van accounts. Beschrijf daarna hoe de oorzaak wordt geïdentificeerd en verwijderd. Denk hierbij ook aan kwetsbaarheden in systemen die mogelijk al langer aanwezig waren.
Herstel en terugkeer naar normaal
Leg vast hoe systemen veilig worden hersteld, wanneer je terugkeert naar normale bedrijfsvoering en hoe je controleert of het incident volledig is opgelost. Koppel dit aan je bedrijfscontinuïteitsplan, want NIS2 vereist ook maatregelen voor bedrijfscontinuïteit en crisisbeheer als onderdeel van de zorgplicht.
Gebruik voor elk van deze fasen een eenvoudig sjabloon of checklist die tijdens een incident snel is in te vullen. Een goed gedocumenteerd proces is ook aantoonbaar bewijs van je zorgplicht richting toezichthouders zoals de Rijksinspectie Digitale Infrastructuur.
Test en valideer het plan met een simulatie
Een incidentresponsplan dat nooit is getest, is een onbetrouwbaar plan. Simulaties onthullen gaten in je procedures, onduidelijkheden in rollen en communicatieproblemen die je op papier niet ziet.
Voer de validatie als volgt uit:
- Start met een tabletop-oefening: bespreek met je responsteam een realistisch incidentscenario stap voor stap door zonder daadwerkelijk systemen te raken.
- Evalueer na de oefening welke stappen onduidelijk waren, welke rollen verwarring opriepen en of de communicatielijn werkte zoals bedoeld.
- Voer daarna een meer realistische simulatie uit, waarbij je daadwerkelijk systemen of processen activeert. Een red team-oefening kan hierbij helpen door een aanvaller realistisch na te bootsen.
- Documenteer de bevindingen en pas het plan aan op basis van de uitkomsten.
Na de simulatie weet je team niet alleen wat er in het plan staat, maar ook hoe het voelt om het uit te voeren. Dat maakt het verschil op het moment dat een echt incident zich voordoet. Verifieer na de test of alle rollen en contactgegevens nog actueel zijn en of de tijdlijnen haalbaar zijn gebleken.
Houd het plan actueel na elk incident
Een incidentresponsplan is geen statisch document. Je organisatie verandert, dreigingen evolueren en elk incident levert nieuwe inzichten op. De NIS2-richtlijn verwacht van organisaties een risicogebaseerde aanpak, wat betekent dat je continu evalueert en aanpast.
Bouw na elk incident een vaste evaluatieroutine in:
- Houd binnen een week na afronding van het incident een nabespreking met het responsteam.
- Beantwoord de kernvragen: wat ging goed, wat ging mis, wat ontbrak er in het plan?
- Verwerk de leerpunten direct in het plan en communiceer de wijzigingen naar alle betrokkenen.
- Plan jaarlijks een volledige herziening van het plan, ook als er geen incidenten zijn geweest.
Houd ook de externe context in de gaten. De Cyberbeveiligingswet en de bijbehorende sectorale regelingen zijn in ontwikkeling, en de drempelcriteria voor meldplichtige incidenten kunnen per sector worden aangescherpt. Via het NCSC en actuele dreigingsanalyses blijf je op de hoogte van nieuwe risico’s die relevant zijn voor jouw sector. Een plan dat meegroeit met de realiteit is de kern van dynamische weerbaarheid.
Hoe Q-Cyber helpt met NIS2 incidentbeheer
Een solide NIS2 incidentresponsplan opzetten vraagt om zowel technische kennis als beleidsmatige expertise. Precies daar helpen wij organisaties mee. Q-Cyber begeleidt je van de eerste gap-analyse tot een volledig gedocumenteerd en getest plan dat aansluit op jouw specifieke risicoprofiel en sector.
Wat we concreet voor je doen:
- Gap-analyse om te bepalen waar je nu staat ten opzichte van de NIS2-vereisten voor incidentbeheer
- Schrijven van beleid en procedures op maat, inclusief escalatiestructuren en communicatieprotocollen
- Trainingen voor bestuurders en responsteams, zodat iedereen weet wat er van hem of haar wordt verwacht
- Begeleiding bij het opzetten van simulaties en tabletop-oefeningen om het plan te valideren
- Doorlopende ondersteuning via onze virtuele CISO-dienst, zodat je plan actueel blijft en je altijd een expert aan je zijde hebt
We werken onafhankelijk, zonder binding aan softwarepartijen, en adviseren altijd wat het beste past bij jouw organisatie. Wil je weten hoe we jouw incidentresponsplan kunnen versterken? Neem contact met ons op en we kijken samen naar de volgende stap.
Gerelateerde artikelen
- Wat moet er in een privacyverklaring staan?
- Hoe werkt incidentmelding onder de NIS2-richtlijn?
- Wat is de NEN 7510-norm?
- Welke cybersecuritytraining hebben medewerkers nodig voor NIS2?
- Wat is een Security Operations Center (SOC)?
- Wat is het verschil tussen een CISO en een vCISO?
- Kan je zelf pentesten uitvoeren?
- Wat is OWASP in relatie tot pentesten?
- Wat zijn de nieuwste trends in pentesten?
- Hoe kom ik erachter of mijn systemen kwetsbaar zijn?