Bijna elke samenvatting van de meldplicht van de Cyber Resilience Act presenteert die als drie termijnen vanaf hetzelfde moment: een vroegtijdige waarschuwing binnen 24 uur, een melding binnen 72 uur, een eindverslag binnen 14 dagen. De eerste twee kloppen. De derde is fout, en fout op een manier die er op de dag zelf toe doet.
Artikel 14 van Verordening (EU) 2024/2847 geldt sinds 11 september 2026. Hier staat wat het zegt, en waar de 14 dagen werkelijk beginnen.
Twee sporen, elk drie termijnen
Artikel 14 zet twee aparte meldsporen op. Lid 1 schept de plicht om een actief uitgebuite kwetsbaarheid in een product met digitale elementen te melden. Lid 3 schept de plicht om een ernstig incident met gevolgen voor de beveiliging van zo'n product te melden. Geen van beide leden zegt iets over tijd. De termijnen staan in de leden 2 en 4, die elk beginnen met "met het oog op de in lid 1 (of 3) bedoelde melding" en daarna drie punten opsommen.
Voor een actief uitgebuite kwetsbaarheid, artikel 14, lid 2:
| Stap | Termijn | Loopt vanaf |
|---|---|---|
| a) Vroegtijdige waarschuwing | 24 uur | kennisname door de fabrikant |
| b) Kwetsbaarheidsmelding | 72 uur | kennisname door de fabrikant |
| c) Eindverslag | 14 dagen | beschikbaarheid van een corrigerende of beperkende maatregel |
Voor een ernstig incident, artikel 14, lid 4:
| Stap | Termijn | Loopt vanaf |
|---|---|---|
| a) Vroegtijdige waarschuwing | 24 uur | kennisname door de fabrikant |
| b) Incidentmelding | 72 uur | kennisname door de fabrikant |
| c) Eindverslag | één maand | indiening van de melding onder punt b) |
De twee eindverslagen hebben verschillende ankerpunten, en geen van beide is kennisname.
Wat dat betekent voor een kwetsbaarheid
Artikel 14, lid 2, onder c), luidt in zijn operatieve deel: het eindverslag is verschuldigd "uiterlijk 14 dagen nadat een corrigerende of beperkende maatregel beschikbaar is". De maatregel is het ankerpunt. Niet de exploit, niet de ontdekking, niet de melding van 72 uur.
Daaruit volgen drie dingen, en de praktijk heeft ze alle drie verkeerd.
De termijn voor het eindverslag bestaat misschien nog niet. Als u de vroegtijdige waarschuwing en de melding heeft ingediend en nog aan een oplossing werkt, is er geen datum. Geen verre datum, geen datum. Een tool die "eindverslag verschuldigd op 25 september" toont, veertien dagen nadat u kennis kreeg, heeft een termijn verzonnen die de verordening niet stelt. Een tool die "geen termijn totdat een corrigerende maatregel beschikbaar is" toont, leest de tekst.
Een workaround start de klok, niet alleen een patch. De bewoording is "corrigerende of beperkende maatregel". Een gedocumenteerde configuratiewijziging, een functie die u klanten vraagt uit te schakelen, een netwerkregel: als het de uitbuiting beperkt en u het beschikbaar heeft gemaakt, zijn de 14 dagen begonnen, of de codefix nu klaar is of niet. Teams die aannemen dat de klok op de release wacht, zullen te laat zijn.
De datum die u moet vastleggen is wanneer de maatregel beschikbaar kwam, niet wanneer u hem uitrolde. Een patch die op maandag wordt gebouwd, op woensdag gepubliceerd en op vrijdag aangekondigd: de eerlijke lezing is woensdag, de dag waarop een gebruiker hem kon verkrijgen. Schrijf die dag meteen op, want in het eindverslag gaat u hem beschrijven.
Wat dat betekent voor een incident
Artikel 14, lid 4, onder c), loopt vanaf de indiening van de melding van 72 uur, en de periode is "één maand", een kalendermaand en geen 30 dagen. Het eindverslag heeft geen termijn totdat de melding is ingediend, en zodra dat is gebeurd, ligt de termijn vast door het moment van indiening en door niets anders.
Kalendermaanden hebben een randgeval dat een spreadsheet fout doet. Een melding ingediend op 31 januari wordt uiterlijk 28 februari beantwoord (29 in een schrikkeljaar), omdat 31 februari niet bestaat en de maand eindigt waar hij eindigt. Software die 30 dagen optelt, komt uit op 2 maart; software die naïef een maand optelt, rolt door naar maart. Beide geven u stilletjes dagen die u niet heeft. Onze rekenhulp begrenst op het einde van de maand, en het is dezelfde functie die het product uitvoert, geen kopie die voor de pagina is geschreven.
Waarom kennisname toch het belangrijkste moment blijft
Niets hiervan maakt het tijdstip van kennisname minder belangrijk. Het verankert twee van de drie termijnen op beide sporen, en de richtsnoeren van de Commissie van 27 juli 2026 leggen de lat voor kennisname bij een redelijke mate van zekerheid dat een kwetsbaarheid in uw product actief wordt uitgebuit: niet het eerste gerucht, niet het afgeronde forensisch onderzoek. "Actief uitgebuit" zelf is in artikel 3, punt 42, gedefinieerd als een kwetsbaarheid "waarvoor betrouwbaar bewijs bestaat dat een kwaadwillende actor die zonder toestemming van de systeemeigenaar in een systeem heeft uitgebuit", wat theoretische kwetsbaarheden en niet-uitgebuite proofs of concept uitsluit.
Het bewijs dat u nodig heeft, bestaat dus uit drie tijdstempels, niet één:
- wanneer u kennis kreeg, in de zin van de Commissie;
- wanneer u de melding van 72 uur indiende;
- wanneer een corrigerende of beperkende maatregel beschikbaar kwam.
De eerste start de klokken voor de vroegtijdige waarschuwing en de melding. De tweede start het eindverslag bij een incident. De derde start het eindverslag bij een kwetsbaarheid. Een procedure die alleen de eerste vastlegt, levert een stellige en foute datum voor het eindverslag op, en een bedrijf dat de echte mist, zit onder artikel 64, lid 2, in de hoogste boetetrede, naast de eisen van bijlage I zelf.
De korte versie voor uw procedure
- 24 uur en 72 uur lopen vanaf kennisname, op beide sporen.
- Het eindverslag over een kwetsbaarheid loopt 14 dagen vanaf de beschikbaarheid van een corrigerende of beperkende maatregel. Tot die er is, is er geen termijn, en dat moet u zeggen in plaats van er een te tonen.
- Het eindverslag over een incident loopt één kalendermaand vanaf de melding van 72 uur.
- Leg alle drie de ankermomenten vast wanneer ze zich voordoen, want het verslag zal ernaar vragen.
Waar het verslag naartoe gaat, is de andere helft van de vraag, en het antwoord is een specifiek team in een specifieke lidstaat, gekozen door een regel over uw bedrijf in plaats van over het incident.
Bronnen
- Verordening (EU) 2024/2847, artikel 14, leden 1 tot en met 4, gelezen in de geconsolideerde tekst op EUR-Lex; artikel 3 voor de definitie van een actief uitgebuite kwetsbaarheid; artikel 64, lid 2, voor de boetetrede; artikel 71, lid 2, voor de datum van toepassing.
- Richtsnoeren van de Europese Commissie C(2026) 5252 van 27 juli 2026, over de betekenis van kennisname en van actieve uitbuiting.
Dit is geen juridisch advies. Artikel 14 is kort, en de verwijzingen naar de leden hierboven staan er zodat u de lezing kunt controleren in plaats van overnemen.