Incidentmeldportaal met 24-uurs workflow laten maken
De Cyberbeveiligingswet geldt sinds 15 augustus 2026. Wie eronder valt, stuurt bij een significant incident binnen 24 uur een vroege waarschuwing en binnen 72 uur een volledige melding, allebei gerekend vanaf het moment dat u kennis kreeg van het incident. Het eindverslag volgt binnen een maand, maar dan gerekend vanaf die melding van 72 uur. Twee startpunten dus, en daar gaat het in de praktijk mis.
Wat de meldplicht van u vraagt
De Cyberbeveiligingswet is de Nederlandse uitwerking van de Europese NIS2-richtlijn en trad op 15 augustus 2026 in werking, samen met de Wet weerbaarheid kritieke entiteiten. Zij raakt achttien sectoren en ruim achtduizend organisaties, die zelf moeten vaststellen of zij als essentiële of als belangrijke entiteit kwalificeren. De wet legt drie dingen op: een zorgplicht voor uw maatregelen, een registratieplicht waarmee u uw organisatie aanmeldt in het entiteitenregister op MijnNCSC, en een meldplicht. Die laatste is aan strakke termijnen gebonden.
De keten kent drie momenten en twee ijkpunten. Binnen 24 uur nadat u kennis heeft gekregen van een significant incident gaat er een vroege waarschuwing uit. Binnen 72 uur na datzelfde moment volgt de volledige melding, met wat u dan weet over aard, omvang en gevolgen. Het eindverslag komt binnen een maand ná die melding, niet binnen een maand na de ontdekking; dat scheelt drie dagen en het is de fout die het vaakst in draaiboeken staat.
Duurt het incident langer dan die maand, dan verschuift het slot. U stuurt op dat moment een voortgangsverslag, en het eindverslag volgt binnen een maand nadat het incident is afgehandeld. Daarnaast kan uw CSIRT of uw toezichthouder tussentijds om een verslag vragen; dat is iets anders dan het voortgangsverslag en het komt op hun verzoek, niet op uw kalender.
Twee uitzonderingen veranderen uw hele inrichting. Bent u vertrouwensdienstverlener, dan is de tweede termijn geen 72 maar 24 uur. En valt u onder een Europese sectorwet met eigen meldregels, zoals DORA voor de financiële sector, dan meldt u via die route en niet via deze. Stel dat vast voordat u iets bouwt, want het bepaalt naar wie u meldt en binnen welke termijn. Het NCSC beschrijft de meldketen en de uitzonderingen op ncsc.nl.
U meldt via het centrale meldpunt op MijnNCSC, en die ene melding komt zowel bij het sectorale CSIRT als bij uw toezichthouder terecht. Dat is de gemakkelijke kant. De moeilijke kant zit ervoor: iemand moet zien dat er iets is, moet inschatten of het significant is, en moet de klok laten lopen vanaf het juiste moment. Bij organisaties waar dat via de mail en een groepsapp gaat, is het eerste dat bij een toezichthouder ontbreekt niet de melding maar het tijdstip van ontdekking.
De meldketen is één verplichting uit een groter geheel. De zorgplicht eromheen, met de onderbouwing per maatregel, staat op Cyberbeveiligingswet-software; bent u aangewezen als kritieke entiteit, dan geldt daarnaast de Wwke met een eigen meldtermijn.
Bij een Seveso-inrichting begint de melding op de installatie zelf, tijdens een ronde of een oefening. Hoe u dat vastlegt staat op de Seveso-app.
In de zorg loopt een tweede meldketen met eigen termijnen: drie werkdagen na vaststelling richting de inspectie. Zie Wkkgz-software. De melding op de werkvloer begint bij de meldapp.
Bij werk aan een installatie ligt de oorzaak van een incident vaak in de vrijgave die eraan voorafging: wat is er veiliggesteld en wie heeft getekend. Die keten staat bij de app voor werkvergunningen en veiligstellen.
Meldingen van werknemers over vermoedens van misstanden lopen langs een ander kanaal, met bescherming van de melder als kern. Zie de app voor de interne meldregeling.
Hoe wij uw meldportaal bouwen
De drempels liggen vast in de ministeriële regeling van uw sector; hoe u die op een concreet signaal toepast blijft van u en uw jurist. Wat wij bouwen is het systeem dat die weging uitvoert, vastlegt en er termijnen aan hangt.
Wie merkt een incident op, wie weegt of het significant is, wie mag namens de organisatie melden en wie neemt over buiten kantooruren. Dat is bij de meeste organisaties nergens vastgelegd, en het is de eerste plek waar 24 uur verloren gaat.
De drempels uit de ministeriële regeling van uw sector, de tellers en de momenten waarop het systeem escaleert. Verandert de leidraad van uw toezichthouder, dan past u dat aan zonder dat er een verbouwing nodig is.
Dat is het deel dat bij een echt incident moet werken, dus daar begint de bouw. Uw eigen mensen doen vroeg een oefening met een tussenversie, want daar komt uit of de route klopt.
We spelen een incident door van signaal tot eindrapportage en kijken waar het blijft hangen. Dat is doorgaans niet de techniek maar de vraag wie er 's nachts beslist.
Wat het portaal concreet doet
Een meldplicht wordt pas een werkende keten als elk van deze zes stappen ergens belegd is. Hoeveel ervan u nodig heeft, hangt af van uw omvang en van het aantal signalen dat binnenkomt.
Eén ingang voor signalen
Meldingen uit uw eigen organisatie, van uw leveranciers en uit uw monitoring komen via koppelingen op één plek binnen met een tijdstempel. Zolang signalen via de mail lopen, is het moment van ontdekking achteraf niet meer vast te stellen.
Weging tegen de drempels van uw sector
De drempelwaarden verschillen per sector en zijn per departement uitgewerkt in ministeriële regelingen. De weging wordt een vaste set vragen die die drempels volgt, met de uitkomst en de onderbouwing vastgelegd. Ook een nee is een besluit dat u wilt kunnen laten zien.
Twee tellers naast elkaar
De eerste loopt vanaf het moment van kennisname en bewaakt de 24 en 72 uur. De tweede start pas bij het verzenden van de volledige melding en bewaakt de maand daarna. Loopt het incident door, dan schakelt hij over op het voortgangsverslag en telt hij opnieuw vanaf de afhandeling.
Opbouw van de drie berichten
De vroege waarschuwing, de volledige melding en de eindrapportage bouwen op elkaar voort, zodat wat u om 24 uur wist niet opnieuw hoeft en de latere berichten zichtbaar aanvullen in plaats van overschrijven.
Escalatie die niet stil kan vallen
Reageert de eerste verantwoordelijke niet binnen de afgesproken tijd, dan gaat het signaal verder omhoog. Een incident dat op zaterdagavond begint, mag niet op maandagochtend ontdekt worden.
Dossier per incident
De tijdlijn, de wegingen, de verzonden berichten en de genomen maatregelen bij elkaar. Dat is wat u nodig heeft bij een eindrapportage en wat een toezichthouder opvraagt.
Voor wie wij bouwen
De achttien sectoren lopen sterk uiteen, maar de meldketen breekt telkens op dezelfde plek: bij de vraag wie er buiten kantooruren beslist. Vier situaties waarin dat anders uitpakt.
Overheid en publieke dienstverlening
Hier loopt de meldplicht naast bestaande verplichtingen, waaronder de melding van datalekken. Werkt u met het BIO-normenkader, dan overlappen de maatregelen aanzienlijk maar zijn de meldroutes verschillend.
Zorg
Een incident raakt hier direct de continuïteit van zorg, wat de weging anders maakt: uitval van een systeem is sneller significant dan elders. De 24-uurstermijn valt samen met het moment dat iedereen met de uitval bezig is.
Energie, water en transport
Zwaardere sectoren met vaak al een eigen meldpraktijk richting een sectorale toezichthouder. De valkuil is dat er twee routes naast elkaar ontstaan die uit de pas lopen, terwijl uw risicoregister maar één beeld kent.
Productie, digitale infrastructuur en dienstverleners
Veel organisaties in deze sectoren vallen nu voor het eerst onder een meldplicht. Hier begint het werk bij de vraag wie er eigenlijk beslist dat er gemeld wordt. Dat is iets anders dan NIS2-compliant software bouwen: die pagina gaat over de maatregelen in uw applicaties, deze over de meldketen eromheen.
Test je idee eerst — werkend prototype in 1 dag
Met OneDayBuild maken we je idee in één dag tastbaar voor €1.150, zodat je weet of verdere ontwikkeling de investering waard is. Besluit je door te gaan met de volledige bouw? Dan verrekenen we de kosten volledig.
Bekijk OneDayBuild →Technologie en koppelingen
Eén ontwerpeis gaat hier boven alle andere: dit systeem moet werken op het moment dat uw eigen omgeving dat misschien niet doet. Een incident kan uw netwerk raken, en dan is een meldportaal achter diezelfde inlog waardeloos.
Waarom Appfront
Twee startpunten, niet één
De 24 en 72 uur lopen vanaf kennisname; de maand voor het eindverslag vanaf de melding zelf. Wij leggen het moment van kennisname vast bij het eerste signaal en niet bij het besluit dat het ernstig is, en we tellen daarna vanaf het juiste ijkpunt verder.
Werkt als de rest niet werkt
Een meldportaal binnen dezelfde omgeving die is getroffen, is geen meldportaal. Wij zetten het apart en zorgen dat het bereikbaar blijft zonder uw eigen netwerk.
Ook een nee is een besluit
De meeste signalen leiden niet tot een melding. Juist die wegingen legt u vast, want de vraag van een toezichthouder gaat over wat u níet heeft gemeld.
Eerlijk over wat wij niet doen
Wij bepalen niet of uw organisatie onder de wet valt en niet of een incident significant is. Dat is werk van u en uw jurist. Wij bouwen het systeem dat uw weging toepast en vastlegt.
Security en privacy
Een incidentdossier is een van de gevoeligste bestanden in uw organisatie. Het beschrijft precies welke systemen kwetsbaar waren, hoe iemand binnenkwam en hoe lang het duurde voordat u het zag. In verkeerde handen is dat een kant-en-klare handleiding. De toegang zetten we daarom krap en per incident, en niet op de hele geschiedenis.
De belangrijkste ontwerpkeuze is dat dit systeem los staat van de omgeving die getroffen kan worden. Een portaal dat draait op hetzelfde netwerk, achter dezelfde inlog en met dezelfde beheerrechten, is precies het moment van een incident niet bereikbaar. Verder is de tijdlijn per incident onveranderlijk: aanvullen kan, herschrijven niet, want een dossier waarin het moment van ontdekking achteraf te verzetten is, heeft bij een toezichthouder geen waarde. Hoe wij zelf met beveiliging omgaan staat in ons informatiebeveiligingsbeleid; meldingen van buitenaf lopen via ons CVD-beleid.
Veelgestelde vragen over de meldplicht
Binnen 24 uur nadat u kennis kreeg van een significant incident een vroege waarschuwing, en binnen 72 uur na datzelfde moment de volledige melding. Het eindverslag komt binnen een maand ná die melding, dus niet binnen een maand na de ontdekking. Duurt het incident langer dan die maand, dan stuurt u op dat moment een voortgangsverslag en volgt het eindverslag binnen een maand nadat het incident is afgehandeld. Eén melding gaat naar het sectorale CSIRT en naar uw toezichthouder.
Bij het moment dat u kennis kreeg van het incident, niet bij het moment dat u vaststelt dat het significant is. Dat onderscheid is de kern van het probleem: als een melding op vrijdagmiddag bij de servicedesk binnenkomt en pas maandag wordt beoordeeld, is de termijn al verstreken. Daarom leggen wij het eerste signaal vast met een tijdstempel, ook als de weging later volgt.
Dat moet u zelf vaststellen, en dat is een juridische beoordeling die wij niet doen. Het gaat om achttien sectoren, waarbij uw omvang en uw rol bepalen of u essentiële of belangrijke entiteit bent. De Rijksoverheid stelt hulpmiddelen beschikbaar om dat te toetsen. Ons portaal gaat over wat u doet als u eronder valt.
Nee, en de criteria zijn ook niet van u: de drempelwaarden verschillen per sector en zijn per departement uitgewerkt in ministeriële regelingen. De software past die drempels toe en legt de uitkomst met de onderbouwing vast; het besluit blijft van een mens. Wij bouwen de weging bewust als een vaste set vragen die naar een besluit leidt, zodat er onder tijdsdruk niet wordt geïmproviseerd en zodat achteraf te zien is waarom er wel of niet is gemeld.
Dan moet het meldportaal nog werken, en dat is de reden dat wij het los van uw productieomgeving zetten met een eigen toegangsroute. Een systeem dat achter dezelfde inlog zit als de omgeving die is getroffen, is precies op het verkeerde moment onbereikbaar. Deze eis bepaalt het ontwerp meer dan welke functie ook.
De routes zijn verschillend en de drempels ook: een datalek gaat over persoonsgegevens en heeft een eigen termijn van 72 uur richting de Autoriteit Persoonsgegevens. Eén incident kan onder beide vallen. Wat werkt is één ingang en één tijdlijn, met daarna twee uitgaande routes die elk hun eigen termijn bewaken, zodat het niet twee keer wordt vastgelegd.
De meldplicht is de zichtbare helft; de zorgplicht gaat over de maatregelen die u treft en is in de praktijk het grotere werk. Ze raken elkaar in de eindrapportage, waarin u beschrijft wat u heeft gedaan. Een meldportaal is geen invulling van de zorgplicht, en wij presenteren het ook niet zo. Voor die kant kijkt u eerder naar een beveiligingsassessment en naar uw maatregelenregister. Brengt u zelf producten met digitale elementen op de markt, dan heeft u daarnaast de meldketen van de Cyber Resilience Act, die naar ENISA loopt en over uw product gaat in plaats van over uw organisatie.
Dat hangt af van het aantal signaalbronnen, uw escalatieschema en of er koppelingen met monitoring of servicedesk bij komen. De meldketen zelf is doorgaans snel bruikbaar en levert het meeste op; de koppelingen kosten meer. Werkt uw team vanaf de telefoon, dan bouwen we de meldkant als app. Wij geven een onderbouwde inschatting na de verkenning.
Een incidentmeldportaal laten bouwen?
Loop met ons één incident door dat u vorig jaar had, van het eerste signaal tot de laatste mail. In dat gesprek wijst zichzelf aan op welke schakel uw keten tijd verliest. Wij bouwen dit als los portaal en als onderdeel van een breder traject maatwerk software. Voor het voorkomen van misbruik van uw domeinnaam, zie DMARC- en DNSSEC-monitoring.