moet ik een hack of datalek melden aan mijn opdrachtgever

Melden aan de klant is meestal contractueel, niet wettelijk

De meldplicht bij een cyberincident zit in de meeste gevallen in het contract met je klant, niet rechtstreeks in de wet. Artikel 21 lid 2 van de NIS2-richtlijn verplicht organisaties die zelf onder de richtlijn vallen tot incidentrespons en tot melding aan hun eigen toezichthouder — dat is het rijtje van tien maatregelen dat je in vrijwel elke vragenlijst terugziet. Die meldplicht aan een toezichthouder is iets anders dan een meldplicht aan een klant. Of jij een incident aan je opdrachtgever moet melden, hangt dus af van wat er in de verwerkersovereenkomst of leveringsovereenkomst staat, en van de vraag of je klant zelf onder de NIS2-richtlijn valt en dus afhankelijk is van jouw melding om zijn eigen keten op orde te houden.

In de praktijk vraagt de vragenlijst niet "heeft u een incident gehad", maar of er een procedure bestaat om incidenten te herkennen, te beoordelen en te melden — dat is precies waar de vraag naar een procedure voor beveiligingsincidenten op aanstuurt. Heb je die procedure, dan kun je die vraag met ja beantwoorden zonder ooit te moeten zeggen of en wanneer je een concreet incident hebt gehad. Dat laatste blijft een aparte, contractuele vraag die per klant kan verschillen.

Waar dit op stoelt: Cyberbeveiligingswet en Annex A

De Cyberbeveiligingswet, de Nederlandse omzetting van NIS2 die op 15 augustus 2026 in werking treedt, legt de meldplicht bij de toezichthouder neer voor entiteiten die onder de wet vallen — of dat voor jouw onderneming geldt, is de vraag die ook terugkomt bij of de onderneming zelf onder de NIS2-richtlijn valt. ISO/IEC 27001 Annex A werkt dit intern uit als beheersmaatregel voor incidentmanagement, los van enige meldplicht aan een externe partij. Een contractuele meldplicht aan een klant staat dus naast, niet in plaats van, deze wettelijke en normatieve kaders.