Elk personeelslid dat kennis krijgt van een informatieveiligheidsincident of een gegevenslek, of daar door derden op wordt gewezen, dient dat naargelang de aard van de instelling waar het beveiligingsincident zich voordoet onmiddellijk te melden aan de directeur van de instelling, het aanspreekpunt informatieveiligheid of de data protection officer.

Een personeelslid van een lokale instelling dient dit te melden aan zijn/haar directeur.

Een personeelslid van een scholengroep dient dit te melden aan het aanspreekpunt informatieveiligheid.

Een personeelslid van de centrale diensten dient dit te melden aan de data protection officer.