Het CSIRT verzamelt van elk beveiligingsincident waarop dossiervorming van toepassing is alle documentatie die nodig is voor bewijsvoering ingeval sprake is van civiel of strafrechtelijk onderzoek, schadeclaims of toezicht vanuit het AP. Documentatie kan bestaan uit bespreekverslagen, ingevulde checklist, printscreens, emails, controle op loggings, bevindingen van ICT-specialisten of digitaal forensische experts, processen verbaal en de (uitwerking van de) communicatiestrategie.
Het CSIRT voert een evaluatie uit en legt dit vast in een rapportage inclusief advies, ter verbetering. Het rapport wordt voorgelegd aan de gemeentesecretaris en besproken. Waar nodig past de CISO het security incident response draaiboek aan.
Na afsluiting van het incident archiveert de CISO het incidentendossier. Vernietiging van het dossier vindt plaats nadat de daarvoor geldende wettelijke bewaartermijnen zijn verlopen. Het dossier is vertrouwelijk tenzij de CISO anders bepaalt.
Hoofdstuk 4
Artikel 4.6