Beginnen bij herkenbare meldroutes
Een bruikbaar draaiboek begint bij de mensen die iets zien: receptie, klantenservice, administratie, IT en externe beheerders. Zij hoeven niet zelf te bepalen of sprake is van een meldplichtig datalek. Hun instructie beschrijft herkenbare signalen en één toegankelijke route voor vermoedens. Een verkeerd bezorgde brief en een verdachte beheerlogin mogen via hetzelfde startpunt binnenkomen, met verschillende vervolgvragen.
We beoordelen of de route buiten kantooruren werkt. Een formulier achter een uitgevallen bedrijfsnetwerk is onvoldoende als dat netwerk juist onderwerp van het incident is. Daarom bevat het werkdocument een alternatief kanaal en een beheerafspraak voor actuele contactgegevens.
Besluitvorming zonder onduidelijke dubbele leiding
Technische incidentleiding en de beslissing over een melding zijn verschillende verantwoordelijkheden. Het draaiboek benoemt wie systemen mag isoleren, wie feiten verzamelt, wie het risico voor personen beoordeelt en wie namens de organisatie communiceert. Voor elke kritieke rol staat een vervanger vermeld. Een externe functionaris voor gegevensbescherming kan adviseren en toezicht houden; de verantwoordelijkheid van de organisatie verschuift daarmee niet automatisch naar deze adviseur.
De escalatiecriteria sluiten aan op gevolgen. Verlies van medische informatie vraagt een andere prioriteit dan een intern adressenbestand dat aantoonbaar ongeopend retour komt. Onzekerheid wordt vastgelegd met een eigenaar en een volgend beoordelingsmoment.
Een apart feitenlog naast het besluitlog
Het feitenlog bevat tijden, waarnemingen, betrokken systemen, gegevenscategorieën en bronverwijzingen. Veronderstellingen blijven herkenbaar als veronderstellingen. Het besluitlog legt vast welke maatregelen en meldbeslissingen op basis van die kennis zijn genomen. Deze scheiding voorkomt dat een latere reconstructie een aanvankelijke inschatting ten onrechte presenteert als vastgesteld feit.
Artikel 33 AVG vereist documentatie van inbreuken, ook wanneer geen melding aan de toezichthouder nodig blijkt. Een afvinkvakje met alleen het woord laag is daarvoor geen overtuigende onderbouwing. Beschrijf welke schade denkbaar was en waarom de beschikbare bescherming die kans beperkte.
De weekendproef met een verloren laptop
In een oefening meldt een accountmanager op zaterdag een gestolen laptop. Het apparaat is versleuteld, maar er stond mogelijk nog een actieve sessie open. De servicedesk kan toegang intrekken; alleen de afwezige teamleider weet welke lokale exports zijn gemaakt. Het oefendoel is niet vooraf concluderen dat versleuteling ieder risico uitsluit.
Het team moet aantonen dat een vervanger sessies kan laten beëindigen, de relevante instellingen kan terugvinden en een voorlopige gegevensinventaris kan maken. Daarna bepaalt het wie de resterende vragen onderzoekt en wanneer opnieuw wordt beslist. Als daarvoor toegang tot één persoonlijke mailbox nodig is, wordt die afhankelijkheid als verbeterpunt opgenomen.
Termijnen als werkafspraak inbouwen
Voor een noodzakelijke melding aan de bevoegde toezichthouder geldt volgens de AVG zonder onredelijke vertraging en indien mogelijk uiterlijk 72 uur na kennisname. Dat zijn geen drie werkdagen. Het draaiboek reserveert daarom tijd voor beoordeling en indiening, ook tijdens vrije dagen. Nog ontbrekende informatie kan onder de wettelijke voorwaarden later gefaseerd worden aangevuld.
Communicatie aan getroffen personen heeft een eigen criterium: een waarschijnlijk hoog risico. De procedure maakt duidelijk dat deze beoordeling afzonderlijk plaatsvindt. Interne doeltermijnen zijn organisatorische hulpmiddelen en vervangen de wettelijke maatstaven niet. Voor die inhoudelijke afweging verwijzen we naar registreren of melden van een datalek.
Leveranciers moeten in het schema passen
Bij uitbestede dienstverlening controleren we wie de melding van een verwerker ontvangt, hoe snel informatie beschikbaar moet komen en welke technische gegevens kunnen worden opgevraagd. Een contractuele contactpersoon die alleen commerciële vragen behandelt, is geen vanzelfsprekend bruikbaar incidentcontact.
Het draaiboek verwijst naar afgesproken meldroutes en noodzakelijke bewijsstukken zonder complete contracten over te nemen. Ook de afstemming met eventuele verzekeraar en forensisch onderzoek krijgt een plek, voor zover relevant. Een verzekeringsvoorwaarde mag niet stilzwijgend worden behandeld als reden om een wettelijke melding uit te stellen.
Oplevering en onderhoud van het werkdocument
De opdracht resulteert in een beknopt handelingsdocument, een contactmatrix, formats voor feiten en besluiten en een scenario voor een gezamenlijke oefening. Toegang en versiebeheer worden zo ingericht dat bevoegde deelnemers de actuele instructie kunnen vinden tijdens een storing.
Na de oefening worden concrete tekortkomingen toegewezen, zoals ontbrekende vervanging of onbruikbare logging. Een wijziging van hostingpartij, personeelsbezetting of kritieke applicatie is aanleiding om het draaiboek bij te werken. Zo ontstaat een uitvoerbare responsafspraak die met de organisatie meegroeit.
Bronnen bij dit onderwerp
- EUR-Lex — Algemene verordening gegevensbeschermingGeraadpleegd op 2026-09-13