U hoeft niet alle onderzoeksresultaten te hebben om klanten bruikbare informatie te geven. Vertel welke dienst is geraakt, wat zij daardoor merken en wat zij nu veilig kunnen doen. NCSC adviseert externe communicatie af te stemmen op gevolgen voor klanten. Houd een praktische service-update gescheiden van de beoordeling van eventuele wettelijke of contractuele meldplichten.
Beschrijf bekende gevolgen, onzekerheden en een volgend berichtmoment. Maak van een update geen onbewezen geruststelling.
Noem wat is vastgesteld en wat nog niet
Vermeld een peilmoment, zodat later duidelijk is waarop het bericht berust. Schrijf bij onbekende gegevensimpact niet dat alle gegevens veilig zijn. Geef alleen maatregelen die daadwerkelijk gelden, zoals een tijdelijk gesloten functie of een gecontroleerde contactroute. Vraag geen wachtwoorden of volledige betaalgegevens via een incidenteel nieuw e-mailadres.
Laat techniek, klantondersteuning en de incidentverantwoordelijke dezelfde gecontroleerde feiten gebruiken. Spreek af wie wijzigingen in het bericht goedkeurt. Een gepland updatemoment is geen beloofde hersteltijd. Is er op dat moment nog geen oplossing, stuur dan toch de actuele status en het volgende moment, in plaats van de communicatie stil te laten vallen.
Voorbeeld: bestelportaal gesloten, gegevensimpact onbekend
Fictief: om 10.40 uur is vastgesteld dat klanten geen nieuwe orders kunnen plaatsen. Het onderzoek naar toegang tot klantgegevens loopt. Het bericht noemt beide feiten en verwijst voor dringende bestaande orders naar het al bekende servicetelefoonnummer. De volgende update is om 15.00 uur; daarin wordt geen herstel uiterlijk om 15.00 uur toegezegd.
Controleer apart welke klanten door vertraging of een mogelijk datalek geraakt kunnen zijn en welke gerichte meldingen nodig zijn. Houd een versiegeschiedenis bij en corrigeer onjuiste eerdere informatie herkenbaar. Laat de klant na herstel weten welke functie weer werkt en of openstaande orders nog actie vragen.