De Cyberbeveiligingswet (NIS2) en de meldplicht bij een datalek worden vaak door elkaar gehaald. Dat is begrijpelijk, ze gaan allebei over cyberincidenten, verplichtingen en boetes. Maar het zijn twee verschillende wetten, met een verschillend bereik. Waar de Cyberbeveiligingswet grenzen kent, kent de meldplicht datalekken die niet.
Twee wetten, twee meldplichten
De Cyberbeveiligingswet verplicht bedrijven in een vastgestelde lijst van sectoren, vanaf een bepaalde omvang, om cyberincidenten te melden bij het NCSC. Dat is niet dezelfde meldplicht als die bij een datalek. Die laatste staat in de Algemene Verordening Gegevensbescherming (AVG), een andere wet, met een ander bereik.
Wie valt onder de AVG-meldplicht
Iedereen die persoonsgegevens verwerkt, ongeacht bedrijfsgrootte of sector. Een coach met acht klanten, een boekhouder met een bedrijvenlijst, een zzp’er met een offertemail vol contactgegevens: geen van hen valt onder de Cyberbeveiligingswet, en toch vallen ze allemaal onder de AVG.
Wanneer moet je melden
Bij een datalek met risico voor de betrokkenen meld je binnen 72 uur na ontdekking bij de Autoriteit Persoonsgegevens. Is het risico groot, dan moet je vaak ook de betrokkenen zelf informeren. Twijfel je of er risico is? De AP adviseert: bij twijfel gewoon melden, dat kan achteraf nooit kwaad.
Wat het kost om het niet te doen
Boetes onder de AVG kunnen oplopen tot 20 miljoen euro of 4% van de wereldwijde jaaromzet. Bij een klein bedrijf wordt dat maximum zelden gehaald, maar een boete hoeft niet torenhoog te zijn om pijn te doen, en de reputatieschade bij klanten telt vaak zwaarder dan het bedrag zelf.
Ketenverantwoordelijkheid maakt het breder
Ook als je zelf denkt dat een datalek bij jou nooit voorkomt, kan een grotere opdrachtgever via het contract al eisen dat je datalekprotocol op orde is, nog voordat er iets misgaat.
Weet jij zeker wanneer een datalek bij jou meldingsplichtig is, en bij wie? Wij helpen dat vooraf op orde te krijgen, niet pas nadat het al is misgegaan.
