# Gratis NIS2-incidentrapportagesjablonen (2026) — 24u/72u/eindrapport, Word

Alle drie de NIS2-rapportagefasen van artikel 23 als indieningsklare formulieren: vroegtijdige waarschuwing binnen 24 uur, incidentmelding binnen 72 uur, eindrapport binnen één maand. Gratis DOCX-pakket, zonder e-maildrempel.


## NIS2-incidentrapportagesjablonen: het gratis artikel 23-pakket

**NIS2-artikel 23 verplicht essentiële en belangrijke entiteiten significante incidenten in drie getimede fasen te melden — een vroegtijdige waarschuwing binnen 24 uur na kennisname, een incidentmelding binnen 72 uur en een eindrapport binnen één maand — elk met verplichte inhoud volgens artikel 23, lid 4, onder a) tot en met e), van Richtlijn (EU) 2022/2555. Dit gratis pakket levert elke fase als een indieningsklaar Word-formulier, plus een interne incidentregisterinvoer die ze alle drie voedt, met de significantiecriteria van Uitvoeringsverordening (EU) 2024/2690 ingebouwd in de beoordelingsvelden.**

Leveranciers verkopen precies deze documentenset, en nationale portalen publiceren instructies maar zelden herbruikbare formulieren. Intussen is de termijn die er het meest toe doet — 24 uur vanaf *kennisname*, niet vanaf bevestiging van de onderliggende oorzaak — juist degene die teams missen doordat ze midden in een incident vanaf een lege pagina moeten schrijven. Dit pakket — beschikbaar als DOCX-formulieren, een PDF-metgezel en een machine-leesbaar Markdown-bestand voor AI-agents (de downloadbestanden zijn beschikbaar in het Nederlands) — is de operationele tegenhanger van onze gids over [de 24-uursdeadline en hoe u die haalt](/nl/eu-regelgeving/nis2-incidentmelding-24-uur-deadline), die het capaciteitsprobleem uitlegt; deze pagina geeft u de artefacten die de opstelhelft ervan oplossen.

## Belangrijkste punten

- **Drie getimede fasen, één klok**: vroegtijdige waarschuwing ≤ 24 uur, incidentmelding ≤ 72 uur, eindrapport ≤ 1 maand na de melding — alle gerekend vanaf het moment waarop de entiteit kennis krijgt (artikel 23, lid 4).
- **De vroegtijdige waarschuwing is bewust licht**: alleen of de oorzaak vermoedelijk onrechtmatig of kwaadwillig is en of een grensoverschrijdend effect mogelijk is. Dien haar snel in; artikel 23, lid 5, verplicht het CSIRT binnen 24 uur met richtsnoeren te reageren.
- **"Significant" is voor digitale entiteiten inmiddels kwantitatief**: sinds 7 november 2024 stelt Uitvoeringsverordening (EU) 2024/2690 concrete triggers — directe schade van 500.000 euro of 5% van de omzet (de laagste van de twee), exfiltratie van bedrijfsgeheimen, terugkerende incidenten met dezelfde onderliggende oorzaak en uitvalsdrempels per dienst.
- **Het eindrapport heeft vier verplichte elementen** — gedetailleerde beschrijving met ernst en gevolgen, dreigingstype of onderliggende oorzaak, toegepaste en lopende mitigatie, en grensoverschrijdend effect — en bij een nog lopend incident komt daarvoor een voortgangsrapport in de plaats.
- **Dezelfde formulieren bedienen het Duitse BSI-portaalregime (NIS2UmsuCG, van kracht sinds 6 december 2025), de Noorse digitalsikkerhetsloven-ladder en — zodra aangenomen — het voorgestelde Britse 24u/72u-regime**, omdat alle drie dezelfde gefaseerde structuur volgen.

## Wat er in het pakket zit

De DOCX bevat vijf formulieren. **Formulier 0** is de interne incidentregisterinvoer die u bij detectie invult — tijdstip van kennisname (dit start elke klok), classificatie van de entiteit, significantiebeoordeling tegen artikel 23, lid 3, of de criteria van 2024/2690, en een rapportlog voor referentienummers van autoriteiten. **Formulieren 1 tot en met 4** zijn de indieningen zelf: vroegtijdige waarschuwing, incidentmelding, tussentijds/voortgangsrapport en eindrapport, elk met het artikel 23, lid 4-anker op het formulier gedrukt en begeleidende tekst bij elk veld. De PDF spiegelt het pakket voor print en tabletop-oefeningen; de Markdown-variant bevat de volledige veldstructuur met enums, zodat een AI-agent elke fase kan opstellen op basis van uw incidentgegevens.

| Formulier | Termijn | Juridisch anker | Verplichte inhoud |
|---|---|---|---|
| 1 — Vroegtijdige waarschuwing | ≤ 24 u na kennisname | Art. 23, lid 4, onder a) | Vermoeden van onrechtmatige/kwaadwillige oorzaak; mogelijk grensoverschrijdend effect |
| 2 — Incidentmelding | ≤ 72 u na kennisname | Art. 23, lid 4, onder b) | Actualisering van de vroegtijdige waarschuwing; eerste beoordeling van ernst en gevolgen; indicatoren van aantasting waar beschikbaar |
| 3 — Tussentijds / voortgang | Op verzoek van de autoriteit; of na één maand bij een lopend incident | Art. 23, lid 4, onder c) en e) | Relevante statusupdates; verwachte tijdlijn |
| 4 — Eindrapport | ≤ 1 maand na de melding | Art. 23, lid 4, onder d) | Gedetailleerde beschrijving met ernst en gevolgen; dreigingstype of onderliggende oorzaak; toegepaste en lopende mitigatie; grensoverschrijdend effect |

## Zo gebruikt u het

**Stap 1 — Veranker Formulier 0 nu in uw incidentproces, niet tijdens een incident.** De registerinvoer legt het tijdstip van kennisname vast dat de 24-uursklok start, benoemt de incidentcommandant en de meldingsverantwoordelijke en bevat de significantiebeoordeling. Teams die vóór een incident bepalen *wie meldt* en *via welk portaalaccount*, zijn de teams die de deadline halen; onze gids over [incidentresponsplannen versus managementsystemen](/nl/eu-regelgeving/nis2-incidentresponsplan-vs-managementsysteem) legt uit waarom het plan alleen nog geen capaciteit is.

**Stap 2 — Beoordeel significantie tegen de juiste toets.** Begin met de twee criteria van artikel 23, lid 3. Bent u een DNS-, TLD-, cloud-, datacenter-, CDN-, managed (security) service provider, onlinemarktplaats, zoekmachine, sociaal netwerk of verlener van vertrouwensdiensten, pas dan de kwantitatieve criteria van Uitvoeringsverordening (EU) 2024/2690 toe — elke afzonderlijke artikel 3-trigger volstaat, en terugkerende incidenten met dezelfde vermoedelijke onderliggende oorzaak worden over zes maanden bij elkaar opgeteld. Bij twijfel: artikel 30 staat vrijwillige melding toe van incidenten die de drempel niet halen.

**Stap 3 — Dien de vroegtijdige waarschuwing binnen 24 uur in, en houd haar dun.** Twee verplichte indicaties, een contactblok, een beschrijving van twee zinnen. Wacht niet op forensisch onderzoek: de melding na 72 uur is de plaats voor de eerste beoordeling van ernst en gevolgen, en de artikel 23, lid 5-reactie van het CSIRT op uw vroegtijdige waarschuwing kan die beoordeling mede vormen.

**Stap 4 — Houd afnemers van uw diensten aangesloten.** Artikel 23 vereist dat afnemers van diensten die nadelige gevolgen ondervinden van significante incidenten worden geïnformeerd en dat bij significante cyberdreigingen getroffen afnemers over mogelijke tegenmaatregelen worden ingelicht — en autoriteiten kunnen openbaarmaking gelasten. Formulier 2 bevat een veld voor afnemerscommunicatie, zodat dit wordt besloten in plaats van vergeten; een [Trust Center](/nl/platform/trust-updates) geeft die berichten een permanente, linkbare plek.

**Stap 5 — Sluit af met het eindrapport en voer de lessen terug.** De vier elementen van artikel 23, lid 4, onder d), zijn verplicht; het pakket voegt een lessons-learned-blok toe dat bevindingen terugleidt naar uw artikel 21-risicobeheersmaatregelen — de [toeleveringsketen- en meldplichten](/nl/eu-regelgeving/incidentmelding-toeleveringsketen-nis2-artikelen-21-23) waar NIS2-audits daadwerkelijk op toetsen.

## Juridische grondslag

De formulieren zijn gemapt op [Richtlijn (EU) 2022/2555, artikel 23](https://eur-lex.europa.eu/eli/dir/2022/2555/oj): de significantietoets in artikel 23, lid 3, de gefaseerde rapporten en hun inhoud in artikel 23, lid 4, onder a) tot en met e), de 24-uursresponsplicht van het CSIRT in artikel 23, lid 5, en de notificatie van afnemers in artikel 23, leden 1 en 2. De significantievelden verwerken [Uitvoeringsverordening (EU) 2024/2690 van de Commissie](https://eur-lex.europa.eu/eli/reg_impl/2024/2690/oj), die sinds 7 november 2024 rechtstreeks geldt voor DNS-, TLD-, cloud-, datacenter-, CDN-, managed (security) service-, marktplaats-, zoekmachine-, socialenetwerk- en vertrouwensdienstentiteiten — haar entiteitsoverstijgende triggers in artikel 3 en dienstspecifieke drempels in de artikelen 4 tot en met 14 vertalen "ernstige operationele verstoring" naar cijfers. Vrijwillige melding van incidenten onder de drempel steunt op artikel 30 van de richtlijn. Nationale omzettingswetten kunnen velden toevoegen en sectortermijnen verkorten — een reden om uw interne register te ruim te structureren, niet te krap.

## Buiten de EU: VK en Noorwegen

In het **VK** stelt de [Cyber Security and Resilience Bill](https://www.gov.uk/government/publications/cyber-security-and-resilience-network-and-information-systems-bill-factsheets/incident-reporting) — bij het parlement in behandeling, met Royal Assent verwacht eind 2026 — voor de enkele 72-uurs-NIS-melding te vervangen door een tweetrapsplicht in NIS2-stijl: een eerste melding binnen 24 uur na kennisname en een volledig rapport binnen 72 uur, ingediend bij de toezichthouder met parallelle notificatie van het NCSC. In **Noorwegen** is de [digitalsikkerhetsloven](https://lovdata.no/dokument/NL/lov/2023-12-20-108) sinds 1 oktober 2025 van kracht en draait daar dezelfde ladder al — melding aan de NSM en de sectorautoriteit binnen 24 uur, een update binnen 72 uur en een incidentrapport binnen één maand — terwijl NIS2 zelf op opname in de EER-overeenkomst wacht en een bredere vervangende wet wordt verwacht. Een groep die actief is in de EU, het VK en Noorwegen kan dus één intern register en één formulierenset voor alle drie de regimes draaien; alleen het bestemmingsportaal verschilt.

## Van indienen onder druk naar aantoonbare paraatheid

Op tijd melden bewijst dat het incident is afgehandeld; wat toezichthoudende autoriteiten steeds vaker daarna vragen, is of erop was *voorbereid* — geteste responsplannen, notificatie-SLA's met leveranciers, bewijs dat de [artikel 21-maatregelen](/nl/eu-regelgeving/nis2-compliance-checklist-artikel-21) al vóór het incident bestonden. [De continue monitoring van Orbiq](/nl/platform/continue-monitoring) houdt die bewijslaag actueel — controls, leveranciersgaranties, artefacten voor incidentparaatheid — en publiceert de koperszijde naar uw Trust Center, zodat dezelfde voorbereiding die de toezichthouder tevredenstelt ook de klant beantwoordt die vraagt "waren jullie geraakt?" Bent u uw verplichtingen nog aan het inventariseren, begin dan bij onze [NIS2-richtlijngids](/nl/eu-regelgeving/nis2-richtlijn); zijn uw leveranciers het risico, combineer dit pakket dan met de [NIS2-checklist bewijsaanvraag leveranciers](/nl/sjablonen/nis2-leverancier-bewijsaanvraag-checklist).

---

## Bronnen en verwijzingen

1. [Richtlijn (EU) 2022/2555 (NIS2) — volledige tekst](https://eur-lex.europa.eu/eli/dir/2022/2555/oj) — artikel 23, leden 1 tot en met 5, artikel 30.
2. [Uitvoeringsverordening (EU) 2024/2690 van de Commissie](https://eur-lex.europa.eu/eli/reg_impl/2024/2690/oj) — significantiecriteria voor entiteiten in digitale infrastructuur en ICT-diensten; van toepassing sinds 7 november 2024.
3. [UK Government — Cyber Security and Resilience Bill: incident reporting factsheet](https://www.gov.uk/government/publications/cyber-security-and-resilience-network-and-information-systems-bill-factsheets/incident-reporting) — de voorgestelde structuur met eerste melding binnen 24 uur en volledig rapport binnen 72 uur.
4. [Lov om digital sikkerhet (digitalsikkerhetsloven)](https://lovdata.no/dokument/NL/lov/2023-12-20-108) — het Noorse kader, van kracht sinds 1 oktober 2025.
5. [ENISA — Technical Implementation Guidance on Cybersecurity Risk Management Measures](https://www.enisa.europa.eu/publications/nis2-technical-implementation-guidance) — juni 2025; verwachtingen rond incidentafhandeling en -melding.
6. [Mayer Brown — Cyber rules for essential and important entities take effect in Germany](https://www.mayerbrown.com/en/insights/publications/2025/12/cyber-rules-for-essential-and-important-entities-take-effect-in-germany-nis2-implementing-law) — NIS2UmsuCG van kracht sinds 6 december 2025; melden via het BSI.

## Verder lezen

- [NIS2-incidentmelding: de 24-uursdeadline en hoe u die haalt](/nl/eu-regelgeving/nis2-incidentmelding-24-uur-deadline)
- [Incidentmelding en toeleveringsketenplichten: NIS2-artikelen 21–23](/nl/eu-regelgeving/incidentmelding-toeleveringsketen-nis2-artikelen-21-23)
- [Incidentresponsplan versus incidentmanagementsysteem](/nl/eu-regelgeving/nis2-incidentresponsplan-vs-managementsysteem)
- [NIS2-compliancechecklist: de artikel 21-maatregelen](/nl/eu-regelgeving/nis2-compliance-checklist-artikel-21)
- [NIS2-checklist bewijsaanvraag leveranciers (gratis sjabloon)](/nl/sjablonen/nis2-leverancier-bewijsaanvraag-checklist)
- [NIS2 bestuurstraining-register (gratis sjabloon)](/nl/sjablonen/nis2-bestuurstraining-register) — het governancerecord van artikel 20