Er wordt zo snel mogelijk gestart met het indammen van de schade door het incident te blokkeren, te verwijderen en de impact voor verdere blootstelling te verminderen. Dit kunnen zowel activiteiten zijn vanuit de techniek als vanuit de organisatie. Vanuit de techniek is de CIO belast met het indammen van de schade en blokkeren of verwijderen van de oorzaak eventueel ondersteunt met externe expertise. Daarbij maakt het team waar nodig gebruik van vooraf opgestelde escalatieprocedures. Deze repressieve handelingen kunnen leiden tot tijdelijke uitval van onderdelen van het ICT-netwerk en/of verlies van data om verdere schade te voorkomen.
Het CSIRT bepaalt in samenspraak met de verantwoordelijke lijnmanager en de communicatie adviseur de (interne en externe) communicatiestrategie. Intern kan dit gericht zijn op het melden van het incident met bijbehorende instructies om bepaalde handelingen tijdelijk niet uit te voeren met eventueel een voorlopig spreekverbod om escalatie zoveel mogelijk te voorkomen. Extern is de communicatie gericht om zoveel mogelijk reputatieschade te voorkomen en direct te werken aan reputatieherstel. Externe communicatie geschiedt altijd in overleg met de gemeentesecretaris.
Indien sprake is van (mogelijke) inbreuk op de beveiliging van persoonsgegevens behoort een ernstige datalek onverwijld te worden gemeld bij het AP en eventueel aan betrokkenen. Dit traject loopt altijd via de FG. Zie hiervoor verder hoofdstuk 5. De CISO ziet er op toe dat dit traject conform de daarvoor geldende procedure wordt afgehandeld.
Het CSIRT adviseert de gemeentesecretaris aan de hand van de aard van het incident en in overleg met de juridische afdeling of aangifte bij de politie gedaan moet worden.
Hoofdstuk 4
Artikel 4.3