Het single entry point voor incidentmelding is een voorgesteld centraal digitaal loket waarbij organisaties één gecombineerde melding indienen voor cyberincidenten die tegelijkertijd vallen onder NIS-2, de AVG en DORA, in plaats van afzonderlijk bij elke bevoegde toezichthouder. Voor compliance officers en IT-beslissers in gereguleerde sectoren verandert dit fundamenteel hoe meldprocessen worden ingericht, welke loginfrastructuur vereist is, en hoe soevereine, on-premise omgevingen zich moeten positioneren ten opzichte van Europese rapportageverplichtingen.
Wat is het Single Entry Point en hoe werkt het in de praktijk?
Artikel 38 van het Digital Omnibus-voorstel COM(2025)360 introduceert een door ENISA beheerd enkelvoudig meldpunt, het Single Entry Point (SEP). Via dit portaal stuurt een organisatie één gestandaardiseerd incidentrapport in, waarna ENISA de melding automatisch distribueert naar alle relevante nationale toezichthouders: de bevoegde NIS-2-autoriteit, de Autoriteit Persoonsgegevens voor AVG-meldingen op grond van artikel 33-34 en, voor financiële entiteiten, de sectortoezichthouder die DORA-meldingen op grond van artikel 19-23 ontvangt.
Het SEP werkt via een webportaal met een machine-leesbare API. Organisaties kunnen meldingen zowel handmatig invoeren als automatisch aanleveren vanuit hun eigen SIEM-omgeving via een uitgaande HTTPS-verbinding. ENISA valideert de melding op volledigheid, stempelt de ontvangsttime toe en verzendt bevestigingen aan de indiener en de betrokken autoriteiten. Nationale CSIRT’s behouden toegang tot de onderliggende meldingsdata voor verdere coördinatie.
Administratieve lastvermindering voor organisaties onder meerdere regimes
Het SEP elimineert de huidige praktijk waarbij één cyberincident tot drie of meer afzonderlijke meldtrajecten leidt, elk met eigen formulieren, contactpunten en termijnbewaking.
Meer dan 40% van de financiële instellingen in de EU valt gelijktijdig onder NIS-2 en DORA (EBA, 2024). Voor die instellingen betekent het huidige regime dat een ransomware-aanval die persoonsgegevens raakt, parallel gemeld moet worden aan de NIS-2-autoriteit, de AP en de financiële toezichthouder. Organisaties besteden gemiddeld 8 tot 15 voltijdsequivalent-uren per significant cyberincident aan deze parallelle meldprocedures (ENISA Threat Landscape Report, 2023).
Juhan Lepassaar, uitvoerend directeur van ENISA, formuleerde het als volgt: “The Single Entry Point will be a game changer for entities subject to multiple reporting obligations. It reduces duplication without reducing accountability.”
Het SEP vermindert de last door datadeduplicatie: basisgegevens zoals tijdstip, aard van het incident en getroffen systemen worden eenmalig ingevuld. Toezichthouderspecifieke velden (bijvoorbeeld de impactbeoordeling voor betrokkenen vereist door AVG artikel 33 lid 3, of de financiële-dienstverlenerspecifieke classificatie van DORA artikel 20) worden als aanvullende secties toegevoegd aan hetzelfde formulier.
Resterende discrepanties in meldtermijnen
Het SEP lost het kanaalprobleem op, maar niet de inhoudelijke termijnverschillen. Die vereisen een eigen interne tijdlijnbeheer.
| Regime | Eerste melding | Volledige melding | Wettelijke grondslag |
|---|---|---|---|
| NIS-2 | 24 uur (vroegtijdige waarschuwing) | 72 uur | Richtlijn 2022/2555 |
| AVG | Geen aparte vroege waarschuwing | 72 uur na ontdekking | AVG artikel 33 |
| DORA | 24 uur (initiële melding) | 72 uur (tussentijds), 1 maand (eindrapport) | DORA artikel 19-23 |
| eIDAS 2.0 | 24 uur | 72 uur | eIDAS 2.0 verordening |
De kortste fatale termijn is in alle gevallen 24 uur voor de eerste signalering. Organisaties die in sectoren opereren die meerdere regimes raken, doen er verstandig aan de 24-uur-drempel als interne norm te hanteren voor elke melding, ongeacht welk specifiek regime dominant is. Zo wordt voorkomen dat een melding tijdig is voor DORA maar te laat voor eIDAS 2.0.
NIS-2-wijzigingsvoorstel COM(2026)13 en jurisdictionele regels
Het NIS-2 wijzigingsvoorstel COM(2026)13 van januari 2026 adresseert een van de meest praktische knelpunten: de onduidelijkheid over welke lidstaat primair bevoegd is voor grensoverschrijdende entiteiten.
Slechts 2 van de 27 EU-lidstaten hadden NIS-2 per oktober 2024 volledig omgezet in nationale wetgeving (Europese Commissie, NIS2 transposition tracker, 2024). Die versnipperde implementatie creëerde situaties waarbij multinationale organisaties te maken kregen met tegenstrijdige nationale vereisten. COM(2026)13 introduceert een eenduidige aanwijzingsregel voor de “lidstaat van hoofdvestiging”, gebaseerd op de locatie van het besluitvormingscentrum voor cyberveiligheid, niet louter de statutaire zetel.
Thierry Breton, voormalig EU-commissaris voor de Interne Markt, merkte hierover op: “NIS2 has created a patchwork of national implementations that makes cross-border incident coordination unnecessarily complex. The 2026 amendment is an opportunity to fix the jurisdictional gaps.”
Voor multinationale organisaties betekent COM(2026)13) concreet dat zij één primaire bevoegde autoriteit aanwijzen. Die autoriteit ontvangt via het SEP de melding en coördineert vervolgens met CSIRT’s van andere betrokken lidstaten. Nederlandse organisaties met vestigingen in meerdere lidstaten moeten hun interne governance-documenten aanpassen om vast te leggen waar het cybersecurity-besluitvormingscentrum is gelokaliseerd, zodat de jurisdictie niet achteraf betwistbaar is.
Technische en organisatorische voorbereiding vanuit soevereine infrastructuur
Organisaties die bewust kiezen voor on-premise of Zwitsers gehoste infrastructuur, zonder afhankelijkheid van Amerikaanse hyperscalers, kunnen volledig aansluiten op het SEP. Het meldportaal vereist geen permanente cloudkoppeling; uitsluitend een uitgaande HTTPS-verbinding naar het ENISA-domein volstaat voor geautomatiseerde indiening.
Loginfrastructuur zonder hyperscaler-afhankelijkheid
De kern van tijdige incidentmelding is detectie, en detectie hangt af van logkwaliteit. Organisaties die logbeheer uitbesteden aan Microsoft Sentinel, AWS CloudWatch of vergelijkbare hyperscaler-diensten, lopen het risico dat logdata buiten Europese jurisdictie worden verwerkt of dat toegang tot historische logs afhangt van contractvoorwaarden die eenzijdig gewijzigd kunnen worden.
Een soevereine loginfrastructuur bestaat uit de volgende componenten:
- Een on-premise of privécloud SIEM-systeem (zoals Wazuh, Graylog of OpenSearch Security) dat logs van alle systemen centraliseert zonder externe datadoorgifte.
- NTP-synchronisatie via Europese tijdservers voor juridisch betrouwbare tijdstempels die niet afhankelijk zijn van cloud-APIs.
- Onveranderlijke logopslag via write-once-opslagmechanismen of cryptografische hashketens, zodat logintegriteit aantoonbaar is voor forensische doeleinden.
- Gestandaardiseerde uitvoerformaten zoals STIX 2.1 of Common Event Format (CEF) voor automatische indiening via de SEP-API.
Forensische bewijsbewaring en retentie
NIS-2-richtsnoeren en DORA-technische standaarden convergeren naar een praktijknorm van minimaal 12 maanden retentie voor beveiligingslogboeken, waarbij de meest recente 3 maanden direct doorzoekbaar beschikbaar zijn. Voor organisaties in de financiële sector gelden aanvullende specificaties van de toezichthouder op grond van DORA artikel 23.
Organisatorische voorbereiding: de meldketen intern inrichten
Techniek alleen volstaat niet. De 24-uur-termijn begint op het moment van ontdekking, niet op het moment dat de compliance officer ervan hoort. Interne escalatieprocedures moeten vastleggen wie de ontdekker is, welke drempel een incident meldingswaardig maakt en wie binnen hoeveel minuten na ontdekking de meldketen activeert. Voor entiteiten onder de Nederlandse Cyberbeveiligingswet artikel 12 is dit geen aanbeveling maar een wettelijke verplichting.
Specifiek voor organisaties die vanuit een soevereine Nextcloud-werkomgeving werken, geldt dat audit-logs van Nextcloud, de onderliggende databaseserver en het netwerk alle naar het centrale SIEM moeten stromen. Nextcloud biedt native integraties met syslog-daemon en biedt een Activity Log-module die beveiligingsrelevante handelingen vastlegt met gebruikersidentiteit en tijdstempel.
Praktische stappen voor compliance officers nu, voor het SEP operationeel is
Tot het SEP wettelijk van kracht wordt, gelden de bestaande nationale meldkanalen. In Nederland is dat voor NIS-2-entiteiten het Nationaal Cyber Security Centrum (NCSC) voor rijksoverheid en vitale aanbieders, en het Digital Trust Center voor niet-vitale organisaties. AVG-meldingen gaan naar de Autoriteit Persoonsgegevens; DORA-meldingen lopen via De Nederlandsche Bank of de Autoriteit Financiële Markten.
De voorbereiding op het SEP is echter al zinvol:
- Voer een meldregime-inventarisatie uit: welke van de vier regimes (NIS-2, AVG, DORA, eIDAS 2.0) zijn van toepassing en voor welke entiteiten?
- Stel op basis van de kortste toepasselijke termijn (24 uur) één interne meldnorm vast die voor alle regimes geldt.
- Test de API-koppeling zodra ENISA een testomgeving voor het SEP beschikbaar stelt.
- Leg in verwerkingsovereenkomsten met logbeheerders vast dat forensische data uitsluitend onder Europese jurisdictie worden bewaard en verwerkt.
Veelgestelde vragen
Wanneer treedt het Single Entry Point voor incidentmeldingen in werking?
Het Single Entry Point is voorgesteld via COM(2025)360 artikel 38 en is nog niet in werking getreden. De verwachting is dat het meldpunt operationeel wordt na wetgevende behandeling door het Europees Parlement en de Raad, vermoedelijk niet eerder dan 2026-2027. Organisaties doen er goed aan hun meldprocessen nu al voor te bereiden.
Geldt het enkelvoudige meldpunt ook voor meldingen aan de Autoriteit Persoonsgegevens op grond van de AVG?
Het voorstel beoogt dat een melding via het ENISA-beheerde SEP automatisch wordt doorgezet naar de relevante nationale toezichthouders, waaronder de AP voor AVG-meldingen. De AVG-verplichting uit artikel 33-34 blijft juridisch van kracht; het SEP verandert het kanaal, niet de inhoudelijke vereisten.
Hoe pakt COM(2026)13 het probleem aan van multinationals die niet weten bij welke lidstaat zij moeten melden?
Het NIS-2 wijzigingsvoorstel COM(2026)13 introduceert een duidelijker aanwijzingsregel voor de “lidstaat van hoofdvestiging” en legt vast hoe CSIRT’s van verschillende lidstaten informatie met elkaar delen. Multinationals wijzen één primaire bevoegde autoriteit aan, die vervolgens coördineert met andere betrokken landen.
Wat is de minimale logretentie die nodig is voor forensische bewijsbewaring bij incidentmeldingen?
Er bestaat geen EU-breed voorgeschreven minimum, maar de praktijk vanuit NIS-2-richtsnoeren en DORA-technische standaarden wijst op minimaal 12 maanden retentie voor beveiligingslogboeken, waarbij de meest recente 3 maanden direct doorzoekbaar beschikbaar moeten zijn. Voor gereguleerde financiële instellingen onder DORA gelden aanvullende specificaties van de toezichthouder.
Kan een organisatie met volledig on-premise infrastructuur aansluiten op het ENISA-beheerde SEP?
Ja. Het SEP is een webportaal met API-ontsluiting. On-premise SIEM-systemen kunnen via een uitgaande HTTPS-verbinding meldingen insturen. Er is geen permanente cloudkoppeling vereist. Wel moet de organisatie zorgen voor een betrouwbare tijdstempelinfrastructuur via NTP en gestandaardiseerde logformaten zoals STIX of Common Event Format om automatische indiening mogelijk te maken.
