Als je in de EU woont, bepalen drie wetten hoe snel een bedrijf moet toegeven dat het is gehackt. Een vergelijking uit 2026 van NIS2, DORA en GDPR kijkt naar de reikwijdte, de 24-uurs- en 72-uursklokken voor incidenten, boetes in een band van €10M tot €20M, en welke lidstaten per november 2026 actie hadden ondernomen. Deze post vertaalt dat naar begrijpelijke taal. De korte versie van NIS2 DORA GDPR breach reporting: de klokken zijn krap, de boetes zijn hoog, en de regels gelden niet in elk land op dezelfde manier.

Wat de klokken voor het melden van datalekken onder NIS2, DORA en GDPR eigenlijk betekenen

De twee getallen die in de vergelijking opvallen zijn 24 uur en 72 uur. Het zijn deadlines die gaan lopen zodra een organisatie zich bewust wordt van een ernstig incident. Het zijn geen beloftes dat jij binnen een dag of drie op de hoogte wordt gesteld.

In de praktijk draaien deze klokken vooral om het melden door het bedrijf aan een toezichthouder of autoriteit. Die vroege melding laat ambtenaren zien of een aanval meerdere organisaties tegelijk treft. Een kortere eerste deadline (24 uur) betekent over het algemeen een vroege waarschuwing, terwijl een langere (72 uur) tijd laat voor een vollediger beeld van wat er is gebeurd. De bronvergelijking werkt niet alle details uit van hoe elke wet haar klokken toewijst, dus raadpleeg de officiële tekst van elke verordening of je nationale autoriteit voor de exacte bewoording.

De drie wetten bestrijken ook verschillende terreinen:

  • GDPR gaat over persoonsgegevens en geldt voor organisaties die gegevens verwerken van mensen in de EU.
  • NIS2 gaat over de beveiliging van netwerk- en informatiesystemen in sectoren die als belangrijk voor de samenleving worden beschouwd.
  • DORA gaat over digitale operationele weerbaarheid in de financiële sector.

Door deze overlap kan één incident tegelijk meer dan één wet in werking stellen. Een cyberaanval op een financiële instelling waarbij klantgegevens worden blootgelegd, kan onder alle drie vragen oproepen.

Wanneer een bedrijf je over een datalek moet informeren: wat dit voor jou betekent

Hier moeten de verwachtingen worden bijgesteld. Een klok van 24 uur of 72 uur betekent niet dat je inbox de volgende dag oplicht. De eerste melding gaat meestal naar autoriteiten, en het informeren van getroffen personen is een aparte stap met eigen voorwaarden. Die voorwaarden hangen af van de betrokken wet en van hoe ernstig het risico voor jou is.

Wat je redelijkerwijs uit het kader kunt halen:

  • Toezichthouders horen het eerst. Ga ervan uit dat de formele klok geldt voor de melding aan de autoriteit, niet voor een publieke aankondiging.
  • Vroege meldingen kunnen onvolledig zijn. Een korte eerste melding laat mogelijk de oorzaak, de omvang of de vraag of jouw gegevens betrokken waren, buiten beschouwing.
  • Je rechten komen vooral uit de GDPR. Dat is de wet die centraal staat rond persoonsgegevens, dus die moet je bekijken als je wilt weten waar je recht op hebt om te horen.
  • De sector doet ertoe. Als jouw bank, een betaaldienstverlener of een essentiële dienst wordt getroffen, kunnen NIS2- of DORA-verplichtingen bovenop de GDPR gelden.

Niets hiervan vervangt je eigen voorzichtigheid. Zelfs een goed werkend meldsysteem laat een gat tussen een incident en jouw melding, dus het helpt om wachtwoorden te wijzigen, multifactorauthenticatie in te schakelen en je accounts op ongewone activiteit te letten zodra je over een datalek hoort.

Hoe de boetes onder NIS2, DORA en GDPR zich verhouden

De vergelijking zet sancties neer als een band van €10M tot €20M. Dat bereik laat zien hoe serieus wetgevers gemiste deadlines en zwakke beveiliging nemen. Niet op tijd melden is op zichzelf al een compliance-fout, los van het datalek.

Eén kanttekening bij de precisie. De bronsamenvatting geeft de algemene band, maar geen regel-voor-regel-opsplitsing die laat zien welke wet welk bedrag vaststelt. We gaan niet gokken naar de bedragen per wet, omdat sanctiestructuren verschillende maxima, omzetpercentages en nationale implementatiekeuzes kunnen bevatten. Zeker voor DORA kunnen details afhangen van hoe elke lidstaat haar sancties vaststelt. Als je exacte cijfers voor een specifieke wet nodig hebt, lees dan de verordening zelf of de richtlijnen van je nationale autoriteit.

Wat de band je wel vertelt, is dat toezichthouders echte macht hebben. Voor bedrijven die meerdere overlappende verplichtingen moeten naleven, kan een slecht afgehandeld incident tegelijk meer dan één compliance-probleem opleveren.

Hoe je kunt controleren of jouw EU-land NIS2 en DORA heeft omgezet

De vergelijking volgt ook welke EU-staten per november 2026 actie hadden ondernomen, wat eraan herinnert dat EU-regels niet altijd overal tegelijk van kracht worden. NIS2 is een richtlijn, dus elke lidstaat moet deze omzetten in nationaal recht, en de voortgang kan per land verschillen. Praktische manieren om te controleren waar jouw land staat:

  1. Zoek de cybersecurityautoriteit van je nationale overheid. Die publiceert meestal de status van de nationale NIS2-wetgeving en vermeldt wie zich moet registreren of melden.
  2. Kijk bij je financiële toezichthouder. Voor DORA is de nationale financiële toezichthouder de beste bron over hoe de regels gelden voor banken, verzekeraars en betaalinstellingen.
  3. Controleer je gegevensbeschermingsautoriteit. Voor de GDPR legt die uit hoe je een klacht indient en op welke kennisgevingsrechten je recht hebt.
  4. Lees de officiële EU-teksten. De verordeningen en richtlijnen zelf zijn het laatste woord over deadlines en reikwijdte.

Als jouw land traag is geweest, haalt dat de GDPR niet weg. Die geldt al jaren in de hele EU en blijft je meest directe instrument wanneer persoonsgegevens worden blootgelegd.

Belangrijkste punten

NIS2 DORA GDPR breach reporting begrijpen komt neer op een paar punten: de 24-uurs- en 72-uursklokken regelen vooral meldingen aan toezichthouders, boetes zijn aanzienlijk, en nationale omzetting verschilt. Neem deze week een paar minuten om de NIS2- en DORA-status van je eigen land op te zoeken, en bekijk je GDPR-rechten om geïnformeerd te worden en om een klacht in te dienen bij je gegevensbeschermingsautoriteit.

Als je wilt zien hoe een niet-EU-regime met vergelijkbare vragen omgaat, lees ons artikel over de UK Cyber Security Resilience Bill, die kritieke infrastructuur in een formeel nationaal kader trekt en eigen meldplichten voor incidenten aanpakt. Een vergelijking met de EU-aanpak laat zien hoe verschillende overheden naar snellere, meer gestructureerde openbaarmaking van datalekken toe bewegen.