Het single entry point voor incidentrapportage onder NIS-2 is een centraal meldloket waarmee organisaties een cyberincident eenmalig kunnen indienen bij één bevoegde autoriteit, waarna die melding automatisch wordt gedeeld met alle andere relevante instanties. De Digital Omnibus (COM(2025) 837 final) introduceert dit mechanisme als onderdeel van een bredere vereenvoudigingsoperatie van Europese digitale regelgeving, met directe gevolgen voor de manier waarop compliance- en securityteams zich moeten voorbereiden.
Het ‘report once, share many’-principe onder de Digital Omnibus
Het centrale idee achter de Digital Omnibus is eenvoudig: een organisatie rapporteert een significant cyberincident slechts eenmaal, bij één aangewezen autoriteit, en de betrokken instanties regelen de verdere informatiedeling onderling. Dit is een wezenlijke breuk met de huidige praktijk.
Onder de huidige NIS-2 Richtlijn (2022/2555) zijn organisaties verplicht significante incidenten te melden bij hun nationale bevoegde autoriteit. Tegelijkertijd kunnen dezelfde organisaties onder sectorale regelgeving vallen die een eigen meldplicht kent: financiële instellingen hebben ook te maken met DORA (Verordening 2022/2554), terwijl overheidsdiensten aanvullende meldverplichtingen kennen op grond van de Cyberbeveiligingswet (Cbw) in Nederland. Het resultaat is dat een organisatie bij één incident meerdere parallelle meldtrajecten moet doorlopen, elk met eigen formulieren, termijnen en ontvangers.
De Europese Commissie stelt in de toelichting bij COM(2025) 837 final expliciet dat het single entry point is ontworpen om deze administratieve overlap weg te nemen. Zodra de melding is ingediend bij het centrale loket, zorgt het systeem voor doorstroom naar alle relevante autoriteiten, zonder dat de meldende organisatie daarvoor aanvullende handelingen hoeft te verrichten.
Meer dan 160.000 entiteiten in de EU vallen onder de uitgebreide reikwijdte van NIS-2, vergeleken met circa 10.000 onder de oorspronkelijke NIS-richtlijn (bron: Europese Commissie, NIS-2 impactbeoordeling, 2022). Die schaalsprong maakt een geharmoniseerd meldmechanisme niet alleen wenselijk maar ook operationeel noodzakelijk.
Welke autoriteiten zijn betrokken en hoe werkt de gegevensdeling
Het single entry point is geen vervanging van nationale toezichthouders, maar een routeringslaag bovenop het bestaande netwerk van bevoegde autoriteiten.
In Nederland fungeert het NCSC Nederland als centrale schakel voor de afhandeling van NIS-2-meldingen van de rijksoverheid en aanbieders van essentiële diensten. De Cyberbeveiligingswet (Cbw) regelt welke sectorale toezichthouders, zoals de Autoriteit Persoonsgegevens voor datalekken of De Nederlandsche Bank voor financiële instellingen, een afschrift ontvangen. Op Europees niveau speelt ENISA een coördinerende rol: het agentschap ontwikkelt de technische richtsnoeren waarop autoriteiten meldingen beoordelen en deelt geanonimiseerde dreigingsinformatie via het CyCLONe-netwerk van nationale CSIRT’s.
ENISA stelt hierover: “ENISA speelt een centrale rol in de harmonisatie van incidentrapportage door technische richtsnoeren te ontwikkelen die lidstaten en bevoegde autoriteiten kunnen gebruiken om meldingen consistent te beoordelen en te delen.” (ENISA, jaarverslag cyberincidenten)
De gegevensdeling binnen het single entry point verloopt via beveiligde kanalen tussen de nationale autoriteiten en ENISA. Vertrouwelijke bedrijfsinformatie in een melding mag op grond van NIS-2 Artikel 26 niet verder worden verspreid dan strikt noodzakelijk voor het toezichtsdoel. Dit biedt organisaties enige bescherming tegen ongewenste openbaarmaking, maar ontslaat hen niet van de plicht volledig en nauwkeurig te rapporteren.
Operationele voorbereiding van security- en complianceteams
De centralisering van incidentrapportage verandert de interne taakverdeling ingrijpend. Waar teams vroeger per regime een apart meldtraject inrichtten, moeten zij nu één geïntegreerd proces bouwen dat tegelijk aan alle vereisten voldoet.
Concreet betekent dit dat de verantwoordelijkheid voor de eerste melding niet meer versnipperd mag zijn over een juridische afdeling, een securityteam en een externe DPO. Er moet één aangewezen functionaris zijn die de melding bij het centrale loket indient, de classificatie onderbouwt en de doorlooptijden bewaakt. Het aantal geregistreerde significante cyberincidenten onder NIS-2-achtige regelgeving in de EU steeg in 2023 met meer dan 30 procent ten opzichte van 2022 (bron: ENISA Threat Landscape 2023). De druk op incidentresponseteams neemt dus structureel toe.
Praktisch vereist dit van gereguleerde organisaties: een geactualiseerde incidentclassificatiematrix die zowel de NIS-2-drempel als de DORA-drempel dekt, een intern escalatiepad dat binnen de vereiste termijnen een volledige melding kan opleveren, en een gedocumenteerde mapping van welke toezichthouder via het single entry point welke informatie ontvangt. Die documentatie is op zichzelf ook een auditobject voor toezichthouders.
De positie van soevereine en on-premise infrastructuur
Organisaties die kiezen voor soevereine of on-premise dataopslag, zoals een Nextcloud-werkruimte gehost op eigen servers of bij een Zwitserse aanbieder buiten het bereik van de Amerikaanse CLOUD Act, hebben een fundamenteel andere bewijspositie bij incidentrapportage dan organisaties die op hyperscalecloudplatformen draaien.
Bij een hyperscaler als Microsoft 365 levert de cloudleverancier automatisch forensische telemetrie, activiteitslogs en tijdlijndata aan zodra een incident wordt geëscaleerd. Bij soevereine infrastructuur is die data er ook, maar de verantwoordelijkheid voor het verzamelen, bewaren en presenteren ervan ligt volledig bij de organisatie zelf. Dit verhoogt de bewijslast op drie vlakken:
| Aspect | Hyperscaler (bijv. Microsoft 365) | Soevereine/on-premise infrastructuur |
|---|---|---|
| Forensische logs | Automatisch beschikbaar via leveranciersportal | Zelf inrichten en bewaren via SIEM of logging-stack |
| Detectiemoment | Deels via leverancierswaarschuwingen | Volledig eigen detectiecapaciteit vereist |
| Tijdlijnreconstructie | Geautomatiseerd door leverancier | Handmatige correlatie van eigen logbronnen |
| Jurisdictionele bescherming | Blootgesteld aan CLOUD Act en Patriot Act | Buiten bereik van extraterritoriale VS-wetgeving |
Organisaties in de publieke sector, de juridische sector en andere gereguleerde omgevingen die bewust kiezen voor soevereine infrastructuur moeten deze bewijslast inbouwen in hun incidentresponsecapaciteit. Gestructureerde audittrails, immutable logging en een gedocumenteerde detectie- en responsprocedure zijn geen nice-to-have maar een formele vereiste om een NIS-2-melding tijdig en volledig te kunnen indienen.
Afstemming tussen NIS-2 en DORA: vereenvoudigde drempels in een complexe context
De Digital Omnibus beoogt de melddrempels te vereenvoudigen, maar voor de financiële sector blijft de specifieke zwaarte van DORA (Verordening 2022/2554) onverminderd van kracht. Dit schept een gelaagde situatie die complianceteams in banken, verzekeraars en beleggingsinstellingen zorgvuldig moeten navigeren.
Financiële instellingen die onder DORA vallen, moeten een eerste incidentmelding indienen binnen vier uur na classificatie als ernstig incident, terwijl de NIS-2 Richtlijn een initiële notificatie vereist binnen 24 uur na het moment van kennis. Dit verschil van twintig uur is geen formaliteit: het vereist dat DORA-plichtige organisaties hun classificatieproces zo hebben ingericht dat zij bij het vaststellen van een ernstig ICT-incident direct kunnen omschakelen naar de kortere DORA-procedure, ook al loopt de NIS-2-melding via hetzelfde single entry point.
De Europese Commissie erkent in de toelichting bij COM(2025) 837 final dat het single entry point het routeringsprobleem oplost, maar de wetgevende tekst maakt duidelijk dat sectorale verordeningen zoals DORA hun eigenstandige werking behouden. Concreet betekent dit dat de financiële sector weliswaar één loket heeft voor de indiening, maar intern twee parallelle classificatiesporen moet onderhouden: één op basis van de NIS-2-drempel en één op basis van de DORA-criteria.
Voor sectoroverstijgende organisaties, zoals een bank die ook kritieke infrastructuur beheert, impliceert dit dat de incidentresponseprocedure beide regiems gelijktijdig moet activeren en dat de melding via het single entry point zodanig moet zijn gestructureerd dat zowel de NIS-2-autoriteit als de financiële toezichthouder de informatie ontvangen die zij wettelijk nodig hebben.
Praktische aanbevelingen voor de voorbereiding
De komst van het single entry point biedt organisaties een concrete aanleiding om hun incidentrapportageprocessen grondig te herzien. Enkele concrete aandachtspunten die hieruit volgen:
Ten eerste moet de interne classificatiematrix worden aangepast aan de gecombineerde drempels van NIS-2 Artikel 23 en, waar van toepassing, DORA Artikel 19. Die drempels zijn niet identiek en vereisen een bewuste ontwerpkeuze over wanneer welke procedure wordt geactiveerd.
Ten tweede moeten organisaties de aanwijzing van de bevoegde nationale autoriteit formaliseren. In Nederland is dit doorgaans het NCSC Nederland of een sectorale toezichthouder onder de Cyberbeveiligingswet (Cbw). Die aanwijzing moet in het incidentresponseproceduredocument staan, niet alleen in het hoofd van de CISO.
Ten derde verdient de bewijsinfrastructuur aandacht. Of een organisatie nu draait op hyperscaler of soevereine infrastructuur, zij moet kunnen aantonen wanneer zij een incident heeft gedetecteerd, hoe het is geclassificeerd en welke stappen zijn gezet. Dat vereist geconfigureerde, getamperproofde logging en een periodiek geoefende responseprocedure.
FAQ: single entry point incidentrapportage NIS-2 Digital Omnibus
Wat is het single entry point in de Digital Omnibus en voor wie geldt het?
Het single entry point is een centraal meldloket dat de Europese Commissie introduceert via COM(2025) 837 final. Organisaties die vallen onder NIS-2 en tegelijkertijd onder sectorale regelgeving zoals DORA, kunnen een cyberincident eenmalig melden bij dit loket. De bevoegde autoriteiten wisselen de informatie daarna onderling uit zonder dat de organisatie meerdere afzonderlijke meldingen hoeft in te dienen.
Hoe werkt ‘report once, share many’ in de praktijk voor een Nederlandse organisatie?
Een Nederlandse organisatie meldt een significant incident bij de nationale bevoegde autoriteit, in de meeste gevallen het NCSC Nederland of de sectorale toezichthouder die onder de Cyberbeveiligingswet (Cbw) is aangewezen. Via het single entry point wordt die melding doorgestuurd naar ENISA en eventuele andere relevante autoriteiten, zodat de organisatie niet apart aan elke instantie rapporteert.
Geldt de kortere DORA-meldtermijn van vier uur ook na invoering van het single entry point?
Ja. Het single entry point lost het kanaalprobleem op, maar wijzigt de inhoudelijke termijnen van DORA (Verordening 2022/2554) niet. Financiële entiteiten moeten ernstige ICT-gerelateerde incidenten nog steeds binnen vier uur na classificatie melden. Het loket bepaalt het routeringsmechanisme, niet de sectorale drempels.
Wat zijn de gevolgen voor organisaties met soevereine of on-premise infrastructuur bij incidentrapportage?
Organisaties met soevereine of on-premise infrastructuur moeten zelf forensische logs en aantoonbare detectiecapaciteit kunnen overleggen, omdat zij geen beroep kunnen doen op automatische telemetrie van een cloudleverancier. Dit verhoogt de interne bewijslast: gedetailleerde audittrails, gestructureerde SIEM-data en een gedocumenteerde incidentresponseprocedure zijn vereist om een melding tijdig en volledig in te dienen.
Wanneer treedt de Digital Omnibus in werking en moeten organisaties nu al actie ondernemen?
COM(2025) 837 final is in 2025 gepubliceerd als wetsvoorstel van de Europese Commissie en doorloopt nog de gewone wetgevingsprocedure met het Europees Parlement en de Raad. De exacte inwerkingtredingsdatum staat nog niet vast. Organisaties doen er verstandig aan hun incidentresponseprocedures al af te stemmen op het single entry point-model, zodat zij bij inwerkingtreding direct compliant zijn.
