moet ik ons responseplan als document meesturen naar de klant

Meestal niet het hele document, wel de kerngegevens

Nee, in de meeste gevallen hoeft het volledige incidentresponsplan niet als bijlage mee. Portalen die vragen naar incidentrespons — onderdeel van de procedure voor het behandelen van beveiligingsincidenten — willen doorgaans weten of er een procedure is, wie verantwoordelijk is, en binnen welke tijd een incident wordt opgeschaald en gemeld. Dat zijn vragen die je met een ja/nee en een korte toelichting beantwoordt, niet met het volledige draaiboek inclusief contactbomen en systeemnamen.

Er zijn twee situaties waarin een bijlage wél gevraagd wordt: als de klant expliciet "upload uw incident response plan" als vraagtype heeft staan, of als het een auditvragenlijst is die bewijsstukken verplicht stelt. In dat geval is een samenvattingsversie — een pagina met scope, rollen, meldtermijnen en escalatiepaden, zonder gevoelige technische details — vaak voldoende. Of een volledig plan of een samenvatting nodig is, blijkt uit de vraagtekst zelf; als daar "beschrijf" staat in plaats van "upload", is een tekstueel antwoord passender dan een bijlage.

Waarom dit onderscheid bestaat: artikel 21 lid 2 NIS2

Artikel 21 lid 2 van de NIS2-richtlijn noemt incidentafhandeling als één van de tien verplichte maatregelen, maar schrijft geen documentvorm voor — de richtlijn vraagt om een proces, niet om een specifiek uploadformaat. ISO/IEC 27001 Bijlage A werkt dit uit tot beheersmaatregelen rond respons en herstel, en daar zie je hetzelfde patroon: de norm toetst of het proces bestaat en werkt, niet of er één vastomlijnd document bestaat dat "incidentresponsplan" heet. Dat verklaart waarom de meeste portalen tevreden zijn met een beschrijving in het antwoordveld, en waarom een bijlage pas nodig is als de vraag dat letterlijk vereist. Heb je het proces nog niet vastgelegd, dan is het vaak makkelijker om eerst het beleid voor risicoanalyse en informatiebeveiliging op orde te brengen — incidentrespons bouwt daar meestal op voort.