Van de acht eisen voor kwetsbaarheidsbeheer in bijlage I, deel II, van de Cyber Resilience Act, Verordening (EU) 2024/2847, is het beleid voor gecoördineerde openbaarmaking van kwetsbaarheden het beleid dat de meeste kleine fabrikanten nooit hebben geschreven en in een middag kunnen schrijven. Het is ook het beleid waarnaar een onderzoeker, een klant en een markttoezichtautoriteit allemaal bij naam zullen zoeken. Drie bepalingen definiëren het.

Bepaling één: het beleid zelf, bijlage I, deel II, punt 5

Fabrikanten "voeren een beleid voor gecoördineerde openbaarmaking van kwetsbaarheden in en handhaven dat". Twee werkwoorden. Invoeren: een geschreven beleid bestaat en is gepubliceerd waar een melder het kan vinden. Handhaven: de organisatie volgt het, wat betekent dat het benoemt wie meldingen ontvangt, wat er daarna gebeurt en binnen welke tijd.

Punt 5 schrijft de inhoud niet voor. Punt 6 ernaast doet een deel van het werk: fabrikanten "nemen maatregelen om het delen van informatie over mogelijke kwetsbaarheden in hun product met digitale elementen en in daarin opgenomen componenten van derden te vergemakkelijken, onder meer door een contactadres te verstrekken voor het melden van in het product ontdekte kwetsbaarheden". En punt 4 bepaalt wat er gebeurt zodra een oplossing bestaat: verholpen kwetsbaarheden worden openbaar gemaakt, met een beschrijving, de getroffen producten, gevolgen, ernst en hoe gebruikers ze verhelpen, tenzij publicatie meer kwaad dan goed zou doen; dan mag de openbaarmaking worden uitgesteld tot gebruikers hebben kunnen bijwerken.

Bepaling twee: het enige contactpunt, artikel 13, lid 17

Artikel 13, lid 17, verplicht fabrikanten één contactpunt aan te wijzen "om gebruikers in staat te stellen rechtstreeks en snel met hen te communiceren, onder meer om het melden van kwetsbaarheden te vergemakkelijken". Het contactpunt moet "gemakkelijk herkenbaar zijn voor de gebruikers", opgenomen in de gebruikersinformatie van bijlage II, en het "stelt gebruikers in staat hun voorkeurscommunicatiemiddel te kiezen en beperkt die middelen niet tot geautomatiseerde tools".

Die laatste zinsnede sluit een contactpunt uit dat alleen een webformulier of alleen een bot is. Een beveiligings-e-mailadres, naast welk formulier of bug-bountyplatform u ook gebruikt, voldoet eraan. Een PGP-sleutel of een andere manier om details vertrouwelijk te sturen is niet vereist door de tekst, maar is wat een melder verwacht.

Bepaling drie: waar het wordt gepubliceerd en bewaard

Bijlage II, punt 2: de gebruikersinformatie van het product moet bevatten "het enige contactpunt waar informatie over kwetsbaarheden van het product met digitale elementen kan worden gemeld en ontvangen, en waar het beleid van de fabrikant inzake gecoördineerde openbaarmaking van kwetsbaarheden te vinden is". Het beleid heeft dus een openbare vindplaats, en de gebruikersinformatie wijst ernaar.

Bijlage VII, punt 2, onder b): het technische dossier bevat "het beleid inzake gecoördineerde openbaarmaking van kwetsbaarheden, bewijs van de verstrekking van een contactadres voor het melden van kwetsbaarheden". Het beleid is een beheerst document met een versie en een datum, niet alleen een webpagina.

Hetzelfde beleid is ook wat artikel 24 vraagt van beheerders van opensourcesoftware, in de vorm van een gedocumenteerd cyberbeveiligingsbeleid dat kwetsbaarheidsbeheer en vrijwillige melding bevordert.

Wat een beleid van één pagina moet zeggen

  1. Reikwijdte. Welke producten en versies het beleid dekt, en de ondersteuningsperiode waarin op meldingen wordt gehandeld.
  2. Hoe te melden. Het enige contactpunt: ten minste een e-mailadres, plus een eventueel formulier of platform; hoe details vertrouwelijk te sturen; wat mee te sturen (product, versie, stappen om te reproduceren, impact).
  3. Wat de melder mag verwachten. Een bevestiging binnen een genoemde termijn; een beoordeling en een eerste reactie binnen een genoemde termijn; updates terwijl de kwetsbaarheid wordt behandeld. Kies termijnen die u nakomt; een belofte van 48 uur die u niet haalt, is slechter dan vijf werkdagen die u wel haalt.
  4. Hoe u ermee omgaat. Triage, ernst, herstel "onverwijld" (punt 2), een beveiligingsupdate gescheiden van functionele updates waar haalbaar, en de openbaarmaking onder punt 4 zodra de update beschikbaar is. Waar de melder ook de bron is van een actief uitgebuite kwetsbaarheid, lopen de klokken van artikel 14 parallel en moet het beleid dat zeggen.
  5. Openbaarmaking en erkenning. Wanneer en hoe u verholpen kwetsbaarheden publiceert, of u melders vermeldt, en de grond om publicatie uit te stellen (punt 4: waar het beveiligingsrisico van publiceren zwaarder weegt dan het voordeel, tot gebruikers kunnen bijwerken).
  6. Vrijwaring. Een verklaring dat onderzoek te goeder trouw binnen de voorwaarden van het beleid niet tot juridische stappen van uw kant leidt. Dit is niet vereist door de verordening, en het is wat onderzoekers ertoe brengt aan u te melden in plaats van over u.
  7. Eigenaar en versie. Wie eigenaar van het beleid is, de versie en datum, en waar de actuele versie is gepubliceerd.

Wat het niet mag beloven

Geen beloning, tenzij u er een programma voor heeft. Geen oplossing tegen een datum die u niet in de hand heeft. Geen vertrouwelijkheid die u niet kunt waarmaken, aangezien artikel 14 kan vereisen dat het CSIRT wordt ingelicht en gebruikers worden geïnformeerd. En geen bewering dat het product geen kwetsbaarheden heeft: deel I, punt 2, onder a), gaat over bekende exploiteerbare kwetsbaarheden bij levering, en het hele punt van een openbaarmakingsbeleid is dat er nieuwe worden gevonden.

Publiceer het op een stabiele URL, zet die URL in de gebruikersinformatie, bewaar de gedateerde versie bij de technische documentatie, en zet het contactadres op dezelfde drie plaatsen. Dat zijn drie bepalingen, vervuld met één pagina.

Bronnen

  • Verordening (EU) 2024/2847, bijlage I, deel II, punten 2, 4, 5 en 6; artikel 13, lid 17 (geciteerd); bijlage II, punt 2 (geciteerd); bijlage VII, punt 2, onder b) (geciteerd); artikel 24 voor beheerders; artikel 14 voor de meldklokken. Gelezen in de tekst van het Publicatieblad op EUR-Lex op 11 september 2026.

Dit is geen juridisch advies. De drie bepalingen zijn kort genoeg om in de preambule van het beleid zelf te plakken, waar een zorgvuldige lezer ernaar zal zoeken.