Wanneer is een cyberincident een significant incident?

Waar Trusq dit op baseert

Deze gekeurde regels staan in Trusq en worden bij elke publicatie opnieuw ingelezen; verandert een regel, dan verandert deze pagina mee.

• Organisatie: Dien een vroegtijdige waarschuwing over een significant incident in. Cbw 26, Cbw 25, NIS2 23(4)(a), Cbb 24, Cbb 25
• Organisatie: Dien de incidentmelding en beschikbare initiële beoordeling in. Cbw 27(1)–(2), Cbw 25, NIS2 23(4)(b), Cbb 25

Bronnen

1. [1] Cbw art. 25(2) (Cyberbeveiligingswet). Een incident is significant bij ernstige operationele verstoring of financiële verliezen, of bij aanzienlijke schade bij anderen.

   2. Een incident is een significant incident als het: a. een ernstige operationele verstoring van de diensten of financiële verliezen voor de betrokken entiteit veroorzaakt of kan veroorzaken; of b. andere entiteiten heeft getroffen of kan treffen door aanzienlijke materiële of immateriële schade te veroorzaken.

   Bron, opgehaald op 2 oktober 2026.
2. [2] Cbw art. 25(3) (Cyberbeveiligingswet). Criteria kunnen bij algemene maatregel van bestuur worden vastgesteld.

   3. Bij of krachtens algemene maatregel van bestuur kunnen de criteria worden vastgesteld op basis waarvan wordt bepaald of sprake is van een significant incident als bedoeld in het tweede lid, waarbij onderscheid kan worden gemaakt tussen sectoren, subsectoren, soorten entiteiten en entiteiten.

   Bron, opgehaald op 2 oktober 2026.
3. [3] Cbb art. 23(1) (Cyberbeveiligingsbesluit). De minister die het aangaat kan bij regeling de criteria voor een significant incident vaststellen, per sector, subsector of soort entiteit.

   1. Bij regeling van Onze Minister die het aangaat, na overleg met Onze Minister, kunnen de criteria worden vastgesteld op basis waarvan wordt bepaald of sprake is van een significant incident als bedoeld in artikel 25, tweede lid, van de wet, waarbij onderscheid kan worden gemaakt tussen sectoren, subsectoren, soorten entiteiten en entiteiten.

   Bron, opgehaald op 3 oktober 2026.
4. [4] Cyberbeveiligingsregeling IenW, toelichting, artikelsgewijze toelichting bij paragraaf 5 (Cyberbeveiligingsregeling IenW (Stcrt. 2026, 24093)). Volgens de toelichting is een incident significant als het aan een van de drempelwaarden uit paragraaf 5 van de regeling voldoet of kan gaan voldoen.

   Een incident is significant wanneer het aan een van de in paragraaf 5 genoemde criteria voldoet of kan gaan voldoen (drempelwaarden).

   Bron, opgehaald op 3 oktober 2026.
5. [5] Cyberbeveiligingsregeling IenW art. 17 (Cyberbeveiligingsregeling IenW (Stcrt. 2026, 24093)). Drempelwaarden voor vervoer over water.

   Een incident is voor essentiële entiteiten en belangrijke entiteiten in de sector vervoer, subsector vervoer over water, significant als: a. dienstverlening met betrekking tot toegang tot de haven en nautische dienstverlening voor een periode van twaalf uur of langer niet beschikbaar is; b. overslag in de haven voor een periode van twaalf uur of langer niet beschikbaar is; of c. dienstverlening met betrekking tot transport in het maritieme achterland over, op en langs het hoofdvaarwegennet voor een periode van vierentwintig uur of langer niet beschikbaar is.

   Bron, opgehaald op 3 oktober 2026.
6. [6] Cyberbeveiligingsregeling IenW art. 25 (Cyberbeveiligingsregeling IenW (Stcrt. 2026, 24093)). Drempelwaarden voor vervaardiging, productie en distributie van chemische stoffen.

   Een incident is voor essentiële entiteiten en belangrijke entiteiten in de sector vervaardiging, productie en distributie van chemische stoffen significant als: a. daardoor de bij een overeenkomst vastgestelde levertijden overschreden worden met een periode van drie weken of meer; of b. daardoor een kritieke entiteit die voor haar dienstverlening afhankelijk is van de verleende dienst, daarvan voor een periode van zes uur of langer geen gebruik kan maken.

   Bron, opgehaald op 3 oktober 2026.
7. [7] Regeling cyberbeveiliging EZK art. 11 (Regeling cyberbeveiliging EZK (Stcrt. 2026, 25627)). Drempelwaarden voor post- en koeriersdiensten.

   Voor een essentiële entiteit of een belangrijke entiteit in de sector post- en koerierdiensten is een incident in ieder geval een significant incident als: a. ten minste 30% van de ontvangers van de post- en koerierdienst hun postzending ten minste twee bezorgdagen later ontvangt dan op grond van wettelijke of contractuele verplichtingen zou moeten; of b. de integriteit, vertrouwelijkheid of authenticiteit van digitale gegevens die in verband met haar dienstverlening worden opgeslagen, verzonden of verwerkt, is aangetast, waardoor persoonsgegevens en adresgegevens onrechtmatig worden verwerkt of het briefgeheim wordt geschonden.

   Bron, opgehaald op 3 oktober 2026.
8. [8] Regeling cyberbeveiliging EZK art. 7, leden 1 en 2 (Regeling cyberbeveiliging EZK (Stcrt. 2026, 25627)). Voor EZK-sectoren is een incident in ieder geval significant bij dood of aanzienlijke gezondheidsschade, en ook als het aan een sectorcriterium voldoet.

   1. Voor de toepassing van artikel 25, tweede lid, van de wet is een incident in ieder geval een significant incident als: a. het de dood van een of meer natuurlijke personen heeft veroorzaakt of kan veroorzaken; of b. het aanzienlijke schade aan de gezondheid van een of meer natuurlijke personen heeft veroorzaakt of kan veroorzaken. 2. Een incident is tevens een significant incident als het voldoet aan een of meer criteria, bedoeld in de artikelen 8 tot en met 13.

   Bron, opgehaald op 3 oktober 2026.
9. [9] Regeling cyberbeveiliging LVVN art. 7, lid 1 (Regeling cyberbeveiliging LVVN (Stcrt. 2026, 25478)). Wanneer een operationele verstoring bij een levensmiddelenbedrijf ernstig is.

   1. Voor een essentiële entiteit of een belangrijke entiteit die levensmiddelenbedrijf is, is een operationele verstoring ernstig als bedoeld in artikel 25, tweede lid, onderdeel a, van de wet, indien deze voldoet aan een of meer van de volgende criteria: a. de productie, verwerking of distributie van levensmiddelen gedurende ten minste 24 uur gedeeltelijk onderbroken is; b. ten minste 50% van de productie, verwerking of distributie van levensmiddelen gedurende ten minste 12 uur onderbroken is; of c. de productie, verwerking of distributie van levensmiddelen gedurende ten minste zes uur geheel onderbroken is.

   Bron, opgehaald op 3 oktober 2026.
10. [10] Cyberbeveiligingsregeling IenW art. 14 (Cyberbeveiligingsregeling IenW (Stcrt. 2026, 24093)). Geplande dienstonderbrekingen en onderhoud gelden niet als significant incident.

    Geplande dienstonderbrekingen en geplande gevolgen van geplande onderhoudswerkzaamheden die door of namens de belangrijke entiteit of essentiële entiteit worden uitgevoerd, worden niet als significante incidenten beschouwd.

    Bron, opgehaald op 3 oktober 2026.