Is er een procedure voor het behandelen van beveiligingsincidenten?

Incidentafhandeling is een van de tien verplichte maatregelen

Ja, en die vraag toetst specifiek op de tweede van de tien maatregelen uit artikel 21 lid 2 NIS2: "incidentafhandeling" staat letterlijk naast risicoanalyse als eigen categorie. Wie deze vraag krijgt, moet dus niet alleen zeggen dát er een procedure is, maar ook laten zien wat erin staat: hoe een incident wordt gemeld, wie het oppakt, welke stappen worden gezet en hoe wordt vastgelegd wat er is gebeurd. Een procedure zonder eigenaar of zonder vastgelegde stappen overtuigt een auditor niet, ook al bestaat het document.

Concreet bewijs is meestal een procedurebeschrijving of runbook, met daarin classificatie van incidenten (ernst, impact), een meldpunt of contactpersoon, en een stap voor evaluatie na afloop. Die evaluatie is niet decoratief: zonder een vaste manier om gebeurtenissen in de systemen vast te leggen en te bewaren, is er geen basis om een incident te reconstrueren of te bewijzen dat het is afgehandeld. Ontbreekt de procedure nog, dan is "nee, in ontwikkeling" een eerlijker antwoord dan een procedure verzinnen die er niet is — de vragenlijst vraagt naar wat er is, niet naar een intentie.

Hoe dit samenhangt met continuïteit en risicoanalyse

Artikel 21 lid 2 noemt de tien maatregelen als één geheel, en incidentafhandeling staat niet los van de rest. Een incident dat de dienstverlening raakt, activeert vaak het punt over back-ups en een noodvoorziening om de dienstverlening te herstellen; een incidentprocedure die niet verwijst naar het herstelplan is incompleet. Ook is incidentafhandeling het sluitstuk van beleid voor risicoanalyse en de beveiliging van informatiesystemen: risicoanalyse voorspelt wat kan misgaan, incidentafhandeling regelt wat er gebeurt als het toch misgaat. Een klant die naar de procedure vraagt, checkt dus impliciet of die twee op elkaar aansluiten.