Zo rekent de tool
Alle klokken starten op één moment: wanneer je organisatie kennis kreeg van het incident. Termijnen in uren tellen echte verstreken uren. Loopt een termijn van 72 uur over de overgang naar wintertijd, dan eindigt hij dus op een andere kloktijd dan hij begon. Termijnen in maanden eindigen op dezelfde datum en kloktijd een maand later; 31 januari plus een maand wordt 28 of 29 februari. Telt een melding vanaf een eerdere melding, dan gaat de tool ervan uit dat je die eerdere melding precies op de deadline verstuurt, tenzij je invult wanneer je hem echt hebt verstuurd.
| Regeling | Melding | Termijn | Grondslag |
|---|---|---|---|
| AVG | Melden bij de Autoriteit Persoonsgegevens | 72 uur na kennisname, "indien mogelijk" | Art. 33 lid 1 AVG |
| AVG | Betrokkenen informeren (hoog risico) | Zonder onredelijke vertraging | Art. 34 AVG |
| Cbw / NIS2 | Vroegtijdige waarschuwing | 24 uur na kennisname | Art. 23 lid 4 sub a NIS2 |
| Cbw / NIS2 | Incidentmelding | 72 uur na kennisname (24 uur voor verleners van vertrouwensdiensten) | Art. 23 lid 4 sub b en tweede alinea |
| Cbw / NIS2 | Eindverslag | 1 maand na de incidentmelding | Art. 23 lid 4 sub d-e |
| DORA | Eerste melding | 4 uur na classificatie als ernstig, uiterlijk 24 uur na kennisname | RTS 2025/301 art. 5 lid 1 sub a, lid 2 |
| DORA | Tussentijds verslag | 72 uur na de eerste melding | RTS 2025/301 art. 5 lid 1 sub b |
| DORA | Eindverslag | 1 maand na het laatste tussentijdse verslag | RTS 2025/301 art. 5 lid 1 sub c |
| CRA | Kwetsbaarheid: waarschuwing / melding / eindverslag | 24 uur / 72 uur / 14 dagen na beschikbare oplossing | Art. 14 lid 2 CRA |
| CRA | Ernstig incident: waarschuwing / melding / eindverslag | 24 uur / 72 uur / 1 maand na de melding | Art. 14 lid 4 CRA |
| eIDAS | Melden bij het toezichthoudend orgaan | 24 uur (gekwalificeerd: "na het incident"; overig: na kennisname) | Art. 24 lid 2 sub f ter, 19 bis eIDAS |
Vanaf wanneer loopt de klok?
Alle regelingen tellen vanaf kennisname, niet vanaf het moment waarop de aanvaller binnenkwam. Volgens de EDPB-richtsnoeren 9/2022 ben je op de hoogte zodra je redelijke zekerheid hebt dat een beveiligingsincident persoonsgegevens heeft geraakt. Voor NIS2 zegt overweging 31 van Uitvoeringsverordening (EU) 2024/2690 hetzelfde. Wat betekent dat in de praktijk?
- Een verdachte melding in je monitoring moet je snel beoordelen. Laat je hem een week liggen, dan schuift de klok niet op: toezichthouders kijken naar wanneer je het had moeten weten.
- Leg vast wanneer je kennis kreeg en wie dat besloot. Dat tijdstip is het eerste waar de AP of het NCSC naar vraagt bij een late melding.
Uitzondering in deze tool: voor gekwalificeerde verleners van vertrouwensdiensten staat in eIDAS "binnen 24 uur na het incident". Begon het incident eerder dan je het merkte, vul dan het begin in.
Weekend, feestdagen en tijdzones
De klok van de AVG, de Cyberbeveiligingswet, de CRA en eIDAS loopt door. Volgens Verordening (EEG, Euratom) nr. 1182/71 tellen zaterdagen, zondagen en feestdagen mee (art. 3 lid 3). De regel die een termijn naar de volgende werkdag verschuift, geldt alleen voor termijnen die niet in uren zijn uitgedrukt (art. 3 lid 4). De tool toont daarom de berekende deadline en waarschuwt als die in het weekend valt.
DORA is de uitzondering. Gedelegeerde Verordening (EU) 2025/301, artikel 5 lid 4, laat je een melding die in het weekend of op een bankfeestdag in je lidstaat valt, uiterlijk om 12.00 uur op de volgende werkdag insturen. Artikel 5 lid 5 schrapt die ruimte voor de eerste melding en het tussentijdse verslag van kredietinstellingen, centrale tegenpartijen, exploitanten van handelsplatformen en entiteiten die onder NIS2 essentieel of belangrijk zijn. De calculator past de weekendregel automatisch toe; feestdagen verschillen per lidstaat, die controleer je zelf.
Tijdzones: je ziet elke deadline in de gekozen tijdzone en in UTC. Vul je een tijd in die bij de overgang naar wintertijd twee keer voorkomt (bijvoorbeeld 02.30 uur op 25 oktober 2026), dan neemt de tool de eerste. Dat geeft de vroegste en dus veiligste deadline.
Melden in Nederland
- Datalek (AVG): bij de Autoriteit Persoonsgegevens, via het meldformulier. Ben je verwerker, dan informeer je je opdrachtgever; die meldt.
- Significant incident (Cyberbeveiligingswet): de Cbw is op 15 augustus 2026 in werking getreden. Je meldt via het centrale meldpunt op MijnNCSC; met één melding bereik je je CSIRT en je toezichthouder. Het NCSC hanteert dezelfde drie stappen: vroegtijdige waarschuwing binnen 24 uur, melding binnen 72 uur, eindverslag binnen een maand na de melding.
- Financiële sector (DORA): je meldt ernstige ICT-incidenten bij DNB of de AFM. Betaalincidenten van banken, betaal- en e-geldinstellingen vallen sinds 17 januari 2025 onder DORA in plaats van PSD2 (art. 23 DORA en Richtlijn (EU) 2022/2556).
- Producten met digitale elementen (CRA): sinds 11 september 2026 meld je actief uitgebuite kwetsbaarheden en ernstige incidenten via het Single Reporting Platform van ENISA.
Eén incident kan meerdere meldingen opleveren. Een ransomware-aanval bij een IT-dienstverlener kan tegelijk een datalekmelding bij de AP, een NIS2-melding bij het NCSC en berichten aan klanten vragen. Een melding bij het NCSC vervangt de AP-melding niet. Begin met de kortste klok en hergebruik de feiten.
Wat verandert er?
Het Digital Omnibus-voorstel van de Europese Commissie (november 2025) wil één Europees meldpunt voor incidenten, een AVG-melding alleen bij een hoog risico en een termijn van 96 uur. Op 1 oktober 2026 is dat nog een voorstel. Tot het is aangenomen en in werking treedt, gelden de termijnen hierboven.
Deze calculator helpt je plannen en is geen juridisch advies. Sectorregels, nationale wetgeving en contracten kunnen kortere termijnen opleggen.
Bronnen
- Verordening (EU) 2016/679 (AVG), art. 33-34
- Richtlijn (EU) 2022/2555 (NIS2), art. 23; NCSC: meldplicht Cyberbeveiligingswet
- Verordening (EU) 2022/2554 (DORA), art. 19 en 23; Gedelegeerde Verordening (EU) 2025/301, art. 5
- Verordening (EU) 2024/2847 (Cyberweerbaarheidsverordening), art. 14 en 71
- Verordening (EU) 2024/1183 (wijziging eIDAS)
- Verordening nr. 1182/71 over termijnen, data en aanvangs- en vervaltijden, art. 3