Oktober 2026. Auditors en toezichthouders vragen vaak als eerste naar het incidentregister. Het laat in één blik zien of incidentbeheer werkt: worden meldingen vastgelegd, afgehandeld en geëvalueerd? ISO 27001 (controls 5.24 tot 5.28) en NIS2 bouwen hierop voort. Achtergrond vindt u bij incidentmanagement.
Welke velden hoort u vast te leggen
Houd het compact en consequent: datum en tijd van melding en ontdekking, melder, korte omschrijving, getroffen systemen of gegevens, ernst en classificatie, betrokken personen, genomen maatregelen, status, datum van afsluiten, en of er een externe melding nodig was. Voeg een veld toe voor de oorzaak en één voor de verbeteractie.
Meldtermijnen bewaken
Onder NIS2 geldt voor significante incidenten een vroege waarschuwing binnen 24 uur, een melding binnen 72 uur en een eindrapport binnen een maand. Voor persoonsgegevens kent de AVG een eigen termijn van 72 uur voor meldingen aan de toezichthouder. Voeg per incident kolommen toe voor ‘melding nodig?’ en ‘verzonden op’. Zie de meldplicht in de praktijk.
Classificeren zonder te blijven hangen
Gebruik een simpele schaal met drie of vier niveaus en een vaste vraaglijst om te bepalen of een incident significant is. Twijfel wordt opgelost door te escaleren, niet door te wachten. Leg ook het niveau vast waarop beslissers worden ingeschakeld.
Van afsluiten naar leren
Plan voor elk incident boven een bepaalde ernst een korte evaluatie: wat gebeurde er, wat werkte, wat niet, en welke verbetering volgt. Registreer de verbeteractie met eigenaar en einddatum en verwijs ernaar vanuit het incident. Zo sluit de cirkel richting de directiebeoordeling.
Wat auditors controleren
Ze nemen een of twee incidenten en volgen die van melding tot afsluiting. Ook kleine meldingen tellen mee, zoals een phishingmail die iemand rapporteert. Een leeg register is verdacht: het suggereert dat meldingen niet worden vastgelegd. Oefen met een tabletop als u wilt zien of het proces werkt.