Ga naar de hoofdinhoud
Praxikon
Gratis check

Gratis template · Word · Nederlands en Engels

Incidentdraaiboek template voor datalekken en AI-incidenten

Een incidentdraaiboek legt vast hoe een organisatie incidenten met persoonsgegevens, AI-systemen en netwerk- en informatiesystemen herkent, beoordeelt, beperkt, meldt en evalueert. Het koppelt elke meldplicht aan de rol die hem draagt: verwerkingsverantwoordelijke onder de AVG, aanbieder of gebruiksverantwoordelijke onder de AI-verordening, en essentiële of belangrijke entiteit onder de Cyberbeveiligingswet.

Laatst gecontroleerd tegen de wet
Redactie
, jurist privacy en AI
Versie en template-ID
2.0 · praxikon:template:ai-incident-response-plan
Rechtsgrond
Verordening (EU) 2024/1689, zoals gewijzigd bij Verordening (EU) 2026/1744; Verordening (EU) 2016/679 (AVG); Cyberbeveiligingswet (implementatie van Richtlijn (EU) 2022/2555, NIS2)

Voor wie is dit template?

  • Functionaris gegevensbescherming of privacyfunctionarisDatalek melden aan de AP en betrokkenen informeren (artikel 33 en 34 AVG)
  • Incidentcoördinator of CISOSignificant incident melden aan CSIRT en bevoegde autoriteit (artikel 26 tot en met 29 Cyberbeveiligingswet)
  • Eigenaar van een AI-toepassing bij een gebruiksverantwoordelijkeGebruik onderbreken en eerst de aanbieder informeren (artikel 26 lid 5 AI-verordening)
  • Aanbieder van een AI-systeem met een hoog risicoErnstig incident melden aan de markttoezichtautoriteit (artikel 73 AI-verordening)
  • Directie of bestuurMeldbesluit en verantwoording achteraf (artikel 33 lid 5 AVG)

Wat staat erin

  • Routetabel: welke meldplichten voor uw organisatie gelden, per rol en met de datum waarop ze gelden (hoofdstuk 2)
  • Rollen met vervangers en een lijst externe contacten, van AP en CSIRT tot de aanbieder van elk hoog-risicosysteem (hoofdstuk 3)
  • Checklist voor het eerste uur en vier ernstniveaus met triagetijden (hoofdstuk 4)
  • Triagetabel met tien vragen: per route wat er moet gebeuren, door wie en binnen welke termijn (hoofdstuk 5)
  • Tijdlijn met de klokken van AVG, AI-verordening en Cyberbeveiligingswet naast elkaar (hoofdstuk 6)
  • Draaiboek per fase met overneembare bepalingen, waaronder 'aanbieder niet bereikbaar' (hoofdstuk 7)
  • Modelteksten voor de aanbieder, betrokkenen en het bestuur (hoofdstuk 8)
  • Drie fictieve oefencasussen: chatbotlek, ransomware en een leeftijdseffect in werving (hoofdstuk 9)
  • Incidentformulier en één gecombineerd incidentlog dat ook het datalekregister is (bijlage A)

Zo gebruikt u het template

  1. Bepaal met de routetabel in hoofdstuk 2 welke routes voor u gelden en schrap wat niet past, zoals de Cyberbeveiligingswet als u geen essentiële of belangrijke entiteit bent.
  2. Vul hoofdstuk 3 in: incidentcoördinator, beslisser, FG, vervangers en de meldadressen van uw AI-aanbieders en verwerkers, ook buiten kantoortijd.
  3. Leg de triagetabel en de tijdlijn klaar bij de servicedesk en de dienstdoende beveiliging.
  4. Laat het draaiboek vaststellen door directie of bestuur en verwijder de kaders 'Toelichting voor de opsteller'.
  5. Oefen ten minste jaarlijks met een casus uit hoofdstuk 9 en houd elk incident bij in het log van bijlage A.

Veelgemaakte fouten

  • Ernstige AI-incidenten melden onder 'artikel 62'. Dat was de nummering in het wetsvoorstel; de verordening regelt het in artikel 73 (aanbieder) en artikel 26 lid 5 (gebruiksverantwoordelijke).
  • Wachten met melden tot de oorzaak bekend is. De termijnen lopen vanaf kennisname; een onvolledige eerste melding mag worden aangevuld (artikel 33 lid 4 AVG, artikel 73 lid 5).
  • Het ernstniveau verwarren met de meldplicht. Ook een incident met een laag niveau kan een datalek zijn dat binnen 72 uur bij de AP gemeld moet worden.
  • Alleen gemelde datalekken registreren. Artikel 33 lid 5 AVG vraagt documentatie van elk datalek, ook als u besluit niet te melden.
  • Als gebruiksverantwoordelijke van een hoog-risicosysteem doorwerken bij een risico. Artikel 26 lid 5 verplicht dan tot onderbreken van het gebruik; onderbreken is geen keuze.

Wanneer heeft u een jurist nodig?

  • U twijfelt of u moet melden, en de klok loopt. Het risico voor betrokkenen is lastig te schatten, bijvoorbeeld bij gegevens die bij een AI-leverancier buiten de EER zijn beland. De verwerkingsverantwoordelijke moet binnen 72 uur onderbouwd beslissen (artikel 33 AVG).
  • Uw rol in de AI-keten is onduidelijk. U heeft een hoog-risicosysteem substantieel gewijzigd of onder uw eigen naam of merk gebracht, of een ander AI-systeem voor een nieuw doel ingezet waardoor het een hoog risico wordt, of de aanbieder reageert niet. Dan moet u als gebruiksverantwoordelijke mogelijk zelf melden (artikel 26 lid 5 en 73) of wordt u aanbieder (artikel 25).
  • Meerdere toezichthouders of grondrechten zijn in het spel. De AP, een sectortoezichthouder en het CSIRT vragen tegelijk om informatie, of mensen zijn mogelijk gediscrimineerd. Stem meldingen en berichten af: elke rol draagt een eigen plicht.

Veelgestelde vragen

Wat is het verschil tussen een datalek en een ernstig incident onder de AI-verordening?

Een datalek is een inbreuk op de beveiliging van persoonsgegevens (artikel 4 punt 12 AVG). Een ernstig incident is een incident of gebrekkig functioneren van een AI-systeem dat leidt tot overlijden of ernstige gezondheidsschade, een ernstige en onomkeerbare verstoring van het beheer of de exploitatie van kritieke infrastructuur, een inbreuk op verplichtingen uit het Unierecht ter bescherming van de grondrechten, of ernstige schade aan eigendom of milieu (artikel 3 punt 49). Eén gebeurtenis kan beide zijn.

Moet ik als gebruiksverantwoordelijke een ernstig incident zelf melden?

U informeert onmiddellijk eerst de aanbieder, daarna de importeur of distributeur en de markttoezichtautoriteit (artikel 26 lid 5). Is de aanbieder niet bereikbaar, dan meldt u zelf volgens artikel 73. Deze plicht geldt voor hoog-risicosystemen uit bijlage III vanaf 2 december 2027 en uit bijlage I vanaf 2 augustus 2028.

Welke meldtermijnen gelden?

AVG: zonder onredelijke vertraging en zo mogelijk binnen 72 uur aan de AP. AI-verordening (aanbieder): onmiddellijk, uiterlijk 15 dagen, 10 dagen bij overlijden en 2 dagen bij een wijdverbreide inbreuk of ernstige verstoring van kritieke infrastructuur. Cyberbeveiligingswet: vroegtijdige waarschuwing binnen 24 uur, melding binnen 72 uur, eindverslag binnen een maand.

Bij welke toezichthouder meld ik een AI-incident in Nederland?

Op 6 oktober 2026 had Nederland nog geen markttoezichtautoriteit voor de AI-verordening aangewezen. Het voorstel voor de Uitvoeringswet AI-verordening (consultatie april 2026) wijst tien bestaande toezichthouders aan, met de AP en de Rijksinspectie Digitale Infrastructuur als coördinatoren. Het draaiboek laat het contact daarom open.

Sinds wanneer geldt de Cyberbeveiligingswet?

Sinds 15 augustus 2026. De wet voert de NIS2-richtlijn uit en geldt alleen voor essentiële en belangrijke entiteiten. Valt uw organisatie daar niet onder, dan schrapt u die route in hoofdstuk 2.

Mag ik het template aanpassen en binnen mijn organisatie delen?

Ja. U mag dit template vrij gebruiken, aanpassen en delen, ook binnen uw organisatie, op voorwaarde dat de vermelding 'Bron: Praxikon' met de link naar dit template blijft staan.

Gebruik en bronvermelding

U mag dit template vrij gebruiken, aanpassen en delen, ook binnen uw organisatie, op voorwaarde dat de vermelding 'Bron: Praxikon' met de link naar dit template blijft staan.

Zo verwijst u naar dit template: Bron: Praxikon, Incidentdraaiboek template voor datalekken en AI-incidenten, versie 2.0, stand 6 oktober 2026, https://www.praxikon.com/nl/templates/ai-incident-response-plan

Dit template is een hulpmiddel en geen juridisch advies voor uw situatie. Het geeft de stand van de wet weer per 6 oktober 2026. Wetgeving, richtsnoeren en toezichtspraktijk kunnen daarna veranderen. Het gebruik van dit template is geen garantie op naleving: de toepassing in uw organisatie blijft uw eigen verantwoordelijkheid.

Praxikon is een handelsnaam van Embed AI · KvK 90283597