[{"data":1,"prerenderedAt":10},["ShallowReactive",2],{"article:nl:de-klok-voor-het-cra-eindverslag-begint-niet-bij-kennisname":3},{"locale":4,"slug":5,"title":6,"description":7,"published":8,"body":9},"nl","de-klok-voor-het-cra-eindverslag-begint-niet-bij-kennisname","De klok voor het CRA-eindverslag begint niet wanneer u kennis krijgt","De meeste uitleg van artikel 14 van de Cyber Resilience Act geeft drie termijnen vanaf één startpunt: 24 uur, 72 uur, 14 dagen. De eerste twee lopen vanaf kennisname. De derde niet, en voor een kwetsbaarheid is het ankerpunt een datum die misschien nog niet bestaat. Hier staat wat de verordening zegt, lid voor lid.","2026-09-11","\nBijna elke samenvatting van de meldplicht van de Cyber Resilience Act presenteert die als drie termijnen vanaf hetzelfde moment: een vroegtijdige waarschuwing binnen 24 uur, een melding binnen 72 uur, een eindverslag binnen 14 dagen. De eerste twee kloppen. De derde is fout, en fout op een manier die er op de dag zelf toe doet.\n\nArtikel 14 van Verordening (EU) 2024\u002F2847 geldt sinds 11 september 2026. Hier staat wat het zegt, en waar de 14 dagen werkelijk beginnen.\n\n## Twee sporen, elk drie termijnen\n\nArtikel 14 zet twee aparte meldsporen op. Lid 1 schept de plicht om een **actief uitgebuite kwetsbaarheid** in een product met digitale elementen te melden. Lid 3 schept de plicht om een **ernstig incident met gevolgen voor de beveiliging** van zo'n product te melden. Geen van beide leden zegt iets over tijd. De termijnen staan in de leden 2 en 4, die elk beginnen met \"met het oog op de in lid 1 (of 3) bedoelde melding\" en daarna drie punten opsommen.\n\nVoor een actief uitgebuite kwetsbaarheid, artikel 14, lid 2:\n\n| Stap | Termijn | Loopt vanaf |\n| --- | --- | --- |\n| a) Vroegtijdige waarschuwing | 24 uur | kennisname door de fabrikant |\n| b) Kwetsbaarheidsmelding | 72 uur | kennisname door de fabrikant |\n| c) Eindverslag | 14 dagen | **beschikbaarheid van een corrigerende of beperkende maatregel** |\n\nVoor een ernstig incident, artikel 14, lid 4:\n\n| Stap | Termijn | Loopt vanaf |\n| --- | --- | --- |\n| a) Vroegtijdige waarschuwing | 24 uur | kennisname door de fabrikant |\n| b) Incidentmelding | 72 uur | kennisname door de fabrikant |\n| c) Eindverslag | één maand | **indiening van de melding onder punt b)** |\n\nDe twee eindverslagen hebben verschillende ankerpunten, en geen van beide is kennisname.\n\n## Wat dat betekent voor een kwetsbaarheid\n\nArtikel 14, lid 2, onder c), luidt in zijn operatieve deel: het eindverslag is verschuldigd \"uiterlijk 14 dagen nadat een corrigerende of beperkende maatregel beschikbaar is\". De maatregel is het ankerpunt. Niet de exploit, niet de ontdekking, niet de melding van 72 uur.\n\nDaaruit volgen drie dingen, en de praktijk heeft ze alle drie verkeerd.\n\n**De termijn voor het eindverslag bestaat misschien nog niet.** Als u de vroegtijdige waarschuwing en de melding heeft ingediend en nog aan een oplossing werkt, is er geen datum. Geen verre datum, geen datum. Een tool die \"eindverslag verschuldigd op 25 september\" toont, veertien dagen nadat u kennis kreeg, heeft een termijn verzonnen die de verordening niet stelt. Een tool die \"geen termijn totdat een corrigerende maatregel beschikbaar is\" toont, leest de tekst.\n\n**Een workaround start de klok, niet alleen een patch.** De bewoording is \"corrigerende **of beperkende** maatregel\". Een gedocumenteerde configuratiewijziging, een functie die u klanten vraagt uit te schakelen, een netwerkregel: als het de uitbuiting beperkt en u het beschikbaar heeft gemaakt, zijn de 14 dagen begonnen, of de codefix nu klaar is of niet. Teams die aannemen dat de klok op de release wacht, zullen te laat zijn.\n\n**De datum die u moet vastleggen is wanneer de maatregel beschikbaar kwam, niet wanneer u hem uitrolde.** Een patch die op maandag wordt gebouwd, op woensdag gepubliceerd en op vrijdag aangekondigd: de eerlijke lezing is woensdag, de dag waarop een gebruiker hem kon verkrijgen. Schrijf die dag meteen op, want in het eindverslag gaat u hem beschrijven.\n\n## Wat dat betekent voor een incident\n\nArtikel 14, lid 4, onder c), loopt vanaf de indiening van de melding van 72 uur, en de periode is \"één maand\", een kalendermaand en geen 30 dagen. Het eindverslag heeft geen termijn totdat de melding is ingediend, en zodra dat is gebeurd, ligt de termijn vast door het moment van indiening en door niets anders.\n\nKalendermaanden hebben een randgeval dat een spreadsheet fout doet. Een melding ingediend op 31 januari wordt uiterlijk 28 februari beantwoord (29 in een schrikkeljaar), omdat 31 februari niet bestaat en de maand eindigt waar hij eindigt. Software die 30 dagen optelt, komt uit op 2 maart; software die naïef een maand optelt, rolt door naar maart. Beide geven u stilletjes dagen die u niet heeft. [Onze rekenhulp](\u002Fcyber-resilience-act\u002Freporting-deadlines) begrenst op het einde van de maand, en het is dezelfde functie die het product uitvoert, geen kopie die voor de pagina is geschreven.\n\n## Waarom kennisname toch het belangrijkste moment blijft\n\nNiets hiervan maakt het tijdstip van kennisname minder belangrijk. Het verankert twee van de drie termijnen op beide sporen, en de richtsnoeren van de Commissie van 27 juli 2026 leggen de lat voor kennisname bij een redelijke mate van zekerheid dat een kwetsbaarheid in uw product actief wordt uitgebuit: niet het eerste gerucht, niet het afgeronde forensisch onderzoek. \"Actief uitgebuit\" zelf is in artikel 3, punt 42, gedefinieerd als een kwetsbaarheid \"waarvoor betrouwbaar bewijs bestaat dat een kwaadwillende actor die zonder toestemming van de systeemeigenaar in een systeem heeft uitgebuit\", wat theoretische kwetsbaarheden en niet-uitgebuite proofs of concept uitsluit.\n\nHet bewijs dat u nodig heeft, bestaat dus uit drie tijdstempels, niet één:\n\n1. wanneer u kennis kreeg, in de zin van de Commissie;\n2. wanneer u de melding van 72 uur indiende;\n3. wanneer een corrigerende of beperkende maatregel beschikbaar kwam.\n\nDe eerste start de klokken voor de vroegtijdige waarschuwing en de melding. De tweede start het eindverslag bij een incident. De derde start het eindverslag bij een kwetsbaarheid. Een procedure die alleen de eerste vastlegt, levert een stellige en foute datum voor het eindverslag op, en een bedrijf dat de echte mist, zit onder artikel 64, lid 2, in de hoogste boetetrede, naast de eisen van bijlage I zelf.\n\n## De korte versie voor uw procedure\n\n- 24 uur en 72 uur lopen vanaf kennisname, op beide sporen.\n- Het eindverslag over een kwetsbaarheid loopt 14 dagen vanaf de beschikbaarheid van een corrigerende of beperkende maatregel. Tot die er is, is er geen termijn, en dat moet u zeggen in plaats van er een te tonen.\n- Het eindverslag over een incident loopt één kalendermaand vanaf de melding van 72 uur.\n- Leg alle drie de ankermomenten vast wanneer ze zich voordoen, want het verslag zal ernaar vragen.\n\nWaar het verslag naartoe gaat, is de andere helft van de vraag, en [het antwoord is een specifiek team in een specifieke lidstaat](\u002Farticles\u002Fwhich-csirt-do-you-report-to-under-cra-article-14), gekozen door een regel over uw bedrijf in plaats van over het incident.\n\n## Bronnen\n\n- Verordening (EU) 2024\u002F2847, artikel 14, leden 1 tot en met 4, gelezen in de geconsolideerde tekst op EUR-Lex; artikel 3 voor de definitie van een actief uitgebuite kwetsbaarheid; artikel 64, lid 2, voor de boetetrede; artikel 71, lid 2, voor de datum van toepassing.\n- Richtsnoeren van de Europese Commissie C(2026) 5252 van 27 juli 2026, over de betekenis van kennisname en van actieve uitbuiting.\n\nDit is geen juridisch advies. Artikel 14 is kort, en de verwijzingen naar de leden hierboven staan er zodat u de lezing kunt controleren in plaats van overnemen.\n",1789383973521]