# Incident- en datalekprocedure

**Versie:** 2-9-2026. Publiek via
`https://stilops.com/nalevingsregister/documenten/incidentprocedure`. Beschrijft wat er gebeurt
als er iets misgaat met de beveiliging of met persoonsgegevens — met de mechanismen die er
werkelijk zijn, niet met een proces dat alleen op papier bestaat.

## 1. Wat een incident is

- **Beveiligingsincident:** onbevoegde toegang, verlies van vertrouwelijkheid, integriteit of
  beschikbaarheid van het platform of van klantgegevens; een geheim dat uitlekt; een agent die
  buiten zijn bereik handelt.
- **Datalek (AVG art. 4 lid 12):** een inbreuk op de beveiliging die leidt tot vernietiging,
  verlies, wijziging, ongeoorloofde verstrekking van of toegang tot persoonsgegevens.
- **Ernstig incident AI Act (art. 3 lid 49 / art. 73):** een storing van een AI-systeem die leidt
  tot overlijden, ernstige schade aan gezondheid of eigendom, ernstige verstoring van kritieke
  infrastructuur of inbreuk op grondrechten. Naar huidige classificatie (beperkt risico, elk effect
  achter een menselijk goedkeuringsmoment) onwaarschijnlijk, maar het pad staat hier voor het
  geval dat.

## 2. Hoe een incident binnenkomt

| Bron | Mechanisme |
| --- | --- |
| Agents | Een interne waarschuwingsmarkering in de uitvoer van een run wordt automatisch een bevinding, met een ernst (aandacht/kritiek) en routering naar de verantwoordelijke |
| Klanten | Ticket in het portal (`/portal/tickets`) of mail aan info@stilops.com |
| Systeem | Systeemlogboek op niveau fout, herstel-taken, en de beveiligingsnieuwsfeeds van de CISO-agent |
| Wekelijkse review | De CISO-review-run ziet patronen over losse signalen heen |

Alles wat een bevoegdheid, wet of persoonsgegevens raakt, is beslissingscategorie *legal/safety*
en komt **altijd** bij de eigenaar van Stilops terecht (de beslissingsroutering in de code); dat is niet per agent of
mandaat uit te zetten.

## 3. De eerste uren

1. **Stoppen wat doorloopt.** De noodstop blokkeert alle AI-taken en chats in één handeling; een
   gecompromitteerde credential wordt ingetrokken via de rotatieprocedure. Facturatie loopt bewust
   door.
2. **Vastleggen.** Een bevinding met ernst `critical`, met: wat, wanneer ontdekt, welke gegevens
   en welke organisaties geraakt, wat al is gedaan. De feitenbasis komt uit het auditspoor (runs,
   transcripts, het handelingenlogboek van beheerders en organisaties, de systeemlogs).
3. **Beoordelen of het een datalek is** (§1) en of persoonsgegevens van klanten of hun betrokkenen
   geraakt zijn. Fabian beslist; hij kan de CISO-agent een analyse laten doen, maar de beslissing
   om te melden is menselijk.

## 4. Meldplichten en termijnen

| Aan wie | Wanneer | Termijn | Grondslag |
| --- | --- | --- | --- |
| **Getroffen klant(en)** (verwerkingsverantwoordelijke) | Bij elk datalek dat hun gegevens raakt — Stilops is verwerker en meldt aan de klant, die zelf aan de AP meldt | **Zonder onredelijke vertraging**, streefwaarde binnen 24 uur na vaststelling | AVG art. 33 lid 2; verwerkersovereenkomst art. 8 |
| **Autoriteit Persoonsgegevens** | Voor gegevens waarvan Stilops zelf verantwoordelijke is (eigen klantadministratie, leads, tickets) | **72 uur** na kennisname, tenzij geen risico | AVG art. 33 lid 1 |
| **Betrokkenen** | Bij waarschijnlijk hoog risico voor hun rechten en vrijheden | Zonder onredelijke vertraging | AVG art. 34 |
| **NCSC / toezichthouder NIS2** | Alleen als Stilops onder NIS2 valt (naar huidige omvang niet vastgesteld; open punt in het nalevingsregister onder NIS2) | Vroegtijdige waarschuwing 24 uur, melding 72 uur, eindrapport 1 maand | NIS2 art. 23 |
| **Markttoezichtautoriteit AI Act** | Bij een ernstig incident (§1) | **15 dagen**; 10 dagen bij overlijden; 2 dagen bij wijdverbreide inbreuk | AI Act art. 73 |

Melden gaat per e-mail of via het meldformulier van de toezichthouder; wat is gemeld, wanneer en
aan wie wordt als bevinding-notitie vastgelegd, zodat het achteraf herleidbaar is.

## 5. Wat een klant van Stilops krijgt bij een datalek

- De aard van de inbreuk, welke categorieën gegevens en (bij benadering) hoeveel betrokkenen.
- Wat Stilops al heeft gedaan en wat het adviseert.
- Een contactpunt (info@stilops.com) en vervolgberichten zodra er meer bekend is.
- Na afloop: een korte evaluatie met oorzaak en wat is veranderd om herhaling te voorkomen.

## 6. Afsluiten en leren

Een incident is pas dicht als de bevinding is afgesloten door de melder én de oorzaak een plek
heeft gekregen: een reparatie met een toets, een les in de leerlus van de agents, of een aanpassing
van dit document. Patronen (herhaalde klachten, nieuwe misbruikvorm) voeden het risicobeheer uit
het AI Act-dossier en, waar een hertoetsingstrigger geraakt wordt, de risicoclassificatie.

## 7. Wat hier bewust niet staat

Geen telefoonboom, geen crisisteam van meerdere personen: Stilops is één eigenaar plus agents. De
procedure is daarop gebouwd — de agents verzamelen en analyseren, de beslissing en de melding
zijn van Fabian. Groeit de organisatie, dan groeit dit document mee.