De vaste kern van het CSIRT wordt gemobiliseerd indien vanuit de servicedesk een incident is afgegeven met een hoge of kritische impact of indien een dergelijke melding rechtstreeks bij een van de vaste leden binnenkomt. De vaste kern van het CSIRT beoordeelt direct de aard en omvang van het incident en stelt vast of het incident ook daadwerkelijk heeft plaatsgevonden, bijvoorbeeld
door contact op te nemen met team Automatisering of de melder van het incident. Daarbij maakt de vaste kern van het CSIRT gebruik van een checklist om snel inzicht te krijgen in:
de aard en omvang van het incident,
welke teamleden aanvullend opgenomen moeten worden in het CSIRT en
welke instanties geïnformeerd moeten worden over het incident (IBD, AP, etc).
Het CSIRT is belast met het beperken van verdere schade als gevolg van het incident, het blokkeren of verwijderen van de oorzaak, stelt de schade vast en zorgt voor het veiligstellen van bewijsmateriaal. Van elk incident dat via het CSIRT loopt vindt dossiervorming plaats. Het CSIRT maakt hierbij zoveel mogelijk gebruik van kennis en ervaring en voorbereidingen die zijn vastgelegd in een daarvoor opgesteld draaiboek.
Het CSIRT bepaalt welke acties noodzakelijk zijn en neemt bij twijfel contact op voor advies met de helpdesk van het IBD. Voor elk te behandelen incident via het CSIRT geldt dat teamleden niet mogen praten met anderen buiten het team totdat daarvoor toestemming is gegeven door de CISO. Dit om zoveel mogelijk ruis in de communicatie te voorkomen.
De CISO onderhoudt het contact met de gemeentesecretaris over de stand van zaken betreffende het incident. De gemeentesecretaris of de Algemeen Contactpersoon Informatiebeveiliging (ACIB) informeert indien nodig het bestuur.
Hoofdstuk 4
Artikel 4.2