SOP-003: Escalatie en communicatie met Legal en directie

Documentbeheer

Kenmerk	Waarde	Datum
Documentnaam	SOP-003: Escalatie en communicatie met Legal en directie
Versie	[Versienummer invullen]	[Datum invullen]
Eigenaar	[Eigenaar/team invullen]	[Datum invullen]
Status	[Draft/Approved/Retired]	[Datum invullen]
Volgende reviewdatum	[Volgende reviewdatum invullen]	[Datum invullen]
Goedkeuringen	[Goedkeurder(s) invullen]	[Datum invullen]
Wijzigingsoverzicht	Uitgebreid met het proces voor afstemming over regelgeving en juridische zaken	[Datum invullen]

1. Doel & scope

Doel: Het proces vastleggen voor escalatie naar de directie, het inschakelen van Legal, crisiscommunicatie, afstemming met toezichthouders en besluiten over externe notificatie tijdens een security-incident.
Scope: Van toepassing op incidenten waarbij de directie moet worden geïnformeerd, Legal/Compliance moet worden ingeschakeld, met klanten of partners moet worden gecommuniceerd, een beoordeling op grond van regelgeving nodig is, de cyberverzekeraar moet worden geïnformeerd of een externe verklaring nodig is. Deze SOP is onafhankelijk van het type incident en kan vanuit elk playbook worden ingezet.

2. Definities

Ritme van crisiscommunicatie: Vastgesteld schema voor updates aan stakeholders, met doelgroep, frequentie, eigenaar en goedkeuringsroute.
Melding aan toezichthouder: Een wettelijk verplichte melding aan een toezichthouder of overheidsinstantie na een meldplichtig security-event of datalek.
Externe communicatie: Elk bericht naar buiten de organisatie, onder meer aan klanten, partners, leveranciers, toezichthouders, verzekeraars, media of politie en justitie.
Stakeholder: Elke groep met een besluitvormend, operationeel, juridisch, klant- of bedrijfsbelang bij het incident.

3. Rollen & verantwoordelijkheden

Incident Commander: Zet deze SOP in gang, keurt communicatie goed, is eigenaar van de escalatie naar de directie en zorgt dat besluiten worden vastgelegd.
Communications Lead: Stelt interne en externe berichten op, bewaakt het communicatieritme en coördineert de goedkeuringen.
Legal / Compliance: Beoordeelt juridische verplichtingen, drempels uit regelgeving, contractuele verplichtingen, eisen van de cyberverzekering en meldtermijnen.
Directie: Ontvangt briefings, keurt externe communicatie met grote impact en besluiten over de recovery goed, en geeft strategische richting.
Bedrijfs- en data-eigenaren: Bevestigen de operationele impact, de getroffen datasets, de impact op klanten of partners en de bedrijfscontext die nodig is voor notificaties.

4. Procedure

4.1 Vereisten

Samenvatting, tijdlijn, scope, stand van de containment en stand van de recovery van het incident
Beoordeling van de bedrijfsimpact en van de impact op gevoelige data, waar van toepassing
Getroffen datasets, systemen, klanten, partners, leveranciers of rechtsgebieden zijn in kaart gebracht
Stakeholders bij Legal, Compliance, Communicatie en de directie zijn bekend
Een kanaal voor crisiscommunicatie en een incidentticket zijn aangemaakt

4.2 Stap-voor-stap-instructies

Informeer de directie
- Geef een eerste briefing over:
  - Wat er is gebeurd, wat bekend is en wat onbekend is
  - De bedrijfsimpact en de getroffen systemen, gebruikers en data
  - De stand van de containment en de recovery
  - De belangrijkste risico's, termijnen en besluiten die nodig zijn
Schakel Legal & Compliance in
- Geef Legal/Compliance:
  - De tijdlijn van het incident
  - De bevindingen uit het onderzoek
  - De beoordeling van impact en data
  - De stand van de containment en de recovery
  - Bekende impact op klanten, partners, leveranciers of toezichthouders
- Leg het juridische advies vast en wie over welke besluiten gaat.
Beoordeel de meldplichten
- Bepaal welke verplichtingen gelden, op basis van:
  - Rechtsgebied en sector
  - Classificatie van de data en de kans op schade
  - Contractuele afspraken
  - Eisen van klanten, partners, leveranciers of de cyberverzekering
- Houd meldtermijnen, drempels en benodigde goedkeurders bij.
Breng de getroffen externe partijen in kaart
- Stel vast of het incident gevolgen heeft voor:
  - Klanten
  - Partners
  - Leveranciers
  - Toezichthouders of overheidsinstanties
  - Verzekeraars
  - Politie en justitie
- Houd een lijst bij van partijen, eigenaren van de notificatie, status en termijnen.
Stel het communicatieritme vast
- Leg vast:
  - De frequentie van updates
  - De groepen stakeholders
  - De eigenaar van het bericht
  - De goedkeuringsroute
  - Het escalatiepad bij vertraagde goedkeuring
Stel communicatie op en laat die goedkeuren
- Stem met Legal en de Communications Lead af over:
  - Updates aan de directie
  - Berichten aan klanten of partners
  - Meldingen aan toezichthouders
  - Persverklaringen of holding statements
  - Notificaties aan derden en leveranciers
- Doe geen externe communicatie zonder goedkeuring van de Incident Commander en Legal.
Houd acties richting toezichthouders en juridische acties bij
- Leg vast:
  - Gedane meldingen
  - Datum van indiening
  - Zaak- of referentienummers
  - Reacties van toezichthouders of verzekeraars
  - Vervolgverzoeken
  - Juridisch advies en risicobesluiten
- Voeg de onderbouwende documenten toe aan het incidentdossier.
Leg besluiten van directie en Legal vast
- Leg alle besluiten vast met eigenaar en tijdstempel, waaronder:
  - Besluiten over notificatie
  - Goedkeuringen voor de recovery
  - Goedkeuringen voor externe communicatie
  - Besluiten over risicoacceptatie
  - Juridische of compliance-oordelen

5. Compliance & auditeerbaarheid

Alle briefings aan de directie, juridische adviezen, externe communicatie, besluiten over notificatie en goedkeuringen worden gelogd in het incidentticket.
Termijnen van toezichthouders, meldingen, zaaknummers en vervolgverzoeken worden gevolgd tot ze zijn afgehandeld.
Externe communicatie heeft een vastgelegde goedkeuring van de Incident Commander en Legal voordat die naar buiten gaat.
Communicatie met Legal en Compliance wordt bewaard volgens het beleid van de organisatie.
De uitvoering van deze SOP wordt beoordeeld tijdens de post-incidentreview.

6. Communicatie & escalatie

Interne communicatie:
- De Communications Lead beheert één leidende bron voor alle berichten.
- Directie, Legal, Compliance, Communicatie en zakelijke stakeholders krijgen updates volgens het afgesproken ritme.

Escalatiecriteria:

Situatie	Actie
Blootstelling van gevoelige data vermoed of bevestigd	Start de beoordeling van juridische meldplichten en meldingen aan toezichthouders
Drempel voor melding aan toezichthouder wordt mogelijk gehaald	Legal/Compliance bewaakt de meldtermijn
Impact op klanten, partners of leveranciers vastgesteld	Stel een plan voor externe communicatie op, met goedkeuring van Legal
Kritieke storing of grote bedrijfsimpact houdt aan	Escaleer naar de directie en het crisismanagement
Vertraagde goedkeuring dreigt een termijn te laten verlopen	Escaleer naar de Incident Commander, de leiding van Legal en de executive sponsor
Er is externe communicatie zonder goedkeuring naar buiten gegaan	Informeer direct de Incident Commander en Legal

7. Referenties & gekoppelde bronnen

Playbooks:
SOP's:
- SOP-005: Communicatie met leveranciers tijdens een security-incident

8. Bijlagen

Bijlage A: Checklist juridische zaken en toezichthouders

Samenvatting en tijdlijn van het incident
Getroffen data, systemen, klanten, partners, leveranciers en rechtsgebieden
Toepasselijke juridische, wettelijke, contractuele en verzekeringsverplichtingen
Meldingsdrempels en termijnen
Benodigde goedkeurders
Verzonden meldingen en tijdstempels
Zaaknummers of referenties van toezichthouders
Vervolgverzoeken en eigenaren
Definitief juridisch advies en risicobesluiten

9. Review & onderhoud

Reviewcyclus: Review deze SOP jaarlijks, of na elk incident waarbij escalatie naar de directie, het inschakelen van Legal, afstemming met toezichthouders of externe communicatie vertraagd, inconsistent, onvolledig of niet compliant was.
Feedbackproces: Feedback wordt verzameld tijdens de PIR, van de Incident Commander, de Communications Lead, Legal/Compliance en de betrokken bedrijfseigenaren.

Bijdrager

Vishal Thakur GitHub: https://github.com/malienist

Heeft bijgedragen aan het Arcana Incident Response Documentation Framework.