Artikel 14(2)(a) van de Cyber Resilience Act, Verordening (EU) 2024/2847, geeft een fabrikant 24 uur "nadat de fabrikant kennis heeft gekregen van de actief uitgebuite kwetsbaarheid" om een vroegtijdige waarschuwing in te dienen, en artikel 14(4)(a) zegt hetzelfde voor een ernstig incident. De 72-uursmelding loopt vanaf hetzelfde moment. Alles waarop een fabrikant in de eerste drie dagen van een incident wordt beoordeeld, hangt af van wanneer dat moment was, en de verordening definieert het niet. Zij definieert waarvan u kennis moet hebben: artikel 3(42) zegt dat een actief uitgebuite kwetsbaarheid er een is "waarvoor betrouwbaar bewijs bestaat dat een kwaadwillige actor deze heeft uitgebuit in een systeem zonder toestemming van de eigenaar van het systeem". Zij zegt niet wanneer betrouwbaar bewijs kennis wordt.

De richtsnoeren van de Commissie over de toepassing van de verordening, C(2026) 5252 van 27 juli 2026, doen dat wel, in deel 9.1, punten 211 tot 218. Dit artikel is die acht punten, met de twee oudere teksten waaruit ze zijn overgenomen, toegepast op de vijf manieren waarop een fabrikant het werkelijk te weten komt.

De toets: een redelijke mate van zekerheid, na een eerste beoordeling

Punt 213 is de werkende zin. Een fabrikant die een verdachte gebeurtenis opmerkt, of er door "een individu, een klant, een entiteit, een autoriteit, een mediaorganisatie of een andere bron" op wordt gewezen, "moet de verdachte gebeurtenis onmiddellijk beoordelen om te bepalen of zij een actief uitgebuite kwetsbaarheid of een ernstig incident vormt", en:

De fabrikant moet daarom worden geacht kennis te hebben gekregen wanneer hij, na een dergelijke eerste beoordeling, een redelijke mate van zekerheid heeft dat: (i) een kwetsbaarheid in zijn product met digitale elementen actief wordt uitgebuit; of (ii) een ernstig incident heeft plaatsgevonden dat ertoe heeft geleid dat de beveiliging van zijn product met digitale elementen is aangetast.

Drie dingen volgen daaruit, en punt 214 spreekt er twee van uit. Het moment is niet het eerste signaal: "het tijdstip waarop een fabrikant kan worden geacht kennis te hebben, hangt af van de omstandigheden", en "in andere gevallen kan het enige tijd duren om vast te stellen of een product met digitale elementen door een kwetsbaarheid wordt getroffen en of die kwetsbaarheid door een kwaadwillige actor wordt uitgebuit". De beoordeling is niet vrijblijvend en niet traag: "de nadruk moet liggen op snel handelen om de eerste beoordeling uit te voeren en te bepalen of aan die voorwaarden daadwerkelijk is voldaan, met name wanneer de kwetsbaarheid een aanzienlijk risico kan vormen". En, uit punt 215, van u wordt niet verwacht dat u in uur 24 alles weet: de structuur in drie fasen "vereist dat fabrikanten hun meldingen geleidelijk bijwerken naarmate hun interne onderzoeken vorderen".

De klok begint dus niet wanneer de e-mail binnenkomt en ook niet wanneer het forensisch onderzoek klaar is. Zij begint wanneer een snelle eerste beoordeling een redelijke zekerheid bereikt dat uw product wordt uitgebuit, of dat een ernstig incident de beveiliging ervan heeft aangetast. Het woord dat het werk doet is "snel", en daarom moet de beoordeling een procedure zijn met een begintijd en een eigenaar, in plaats van een vergadering die iemand nog zal beleggen.

Waar de woorden vandaan komen

Punt 212 zegt dat de richtsnoeren "zijn afgestemd op overweging 31 van Uitvoeringsverordening (EU) 2024/2690 van de Commissie en op deel II(A) van de Richtsnoeren 9/2022 inzake de melding van inbreuken in verband met persoonsgegevens onder de AVG". Die afstemming is niet losjes. Overweging 31 van de NIS2-uitvoeringsverordening luidt: wanneer een entiteit "een verdachte gebeurtenis heeft opgemerkt, of nadat een mogelijk incident onder haar aandacht is gebracht door een derde, zoals een individu, een klant, een entiteit, een autoriteit, een mediaorganisatie of een andere bron, moet de betrokken entiteit de verdachte gebeurtenis tijdig beoordelen", en zij "moet daarom worden geacht 'kennis' te hebben gekregen van het significante incident wanneer zij, na een dergelijke eerste beoordeling, een redelijke mate van zekerheid heeft dat een significant incident heeft plaatsgevonden". De richtsnoeren van het EDPB over inbreuken zeggen in punt 31 dat een verwerkingsverantwoordelijke "moet worden geacht 'kennis' te hebben gekregen wanneer hij een redelijke mate van zekerheid heeft dat een beveiligingsincident heeft plaatsgevonden dat ertoe heeft geleid dat persoonsgegevens zijn gecompromitteerd", en punt 34 staat "een korte onderzoeksperiode" toe waarin de verantwoordelijke "niet kan worden geacht 'kennis' te hebben", mits het onderzoek "zo snel mogelijk begint".

Het praktische gevolg is groot voor een bedrijf dat al een AVG-datalekprocedure heeft, en dat is elk bedrijf met klanten. De CRA-trigger is dezelfde trigger, toegepast op productbeveiliging in plaats van op persoonsgegevens. De procedure, de beoordeling, de twee tijdstempels en de persoon die beslist kunnen dezelfde zijn, en een bedrijf dat ook onder NIS2 meldt, heeft drie verplichtingen die op één definitie draaien.

Vijf manieren waarop u het te weten komt, en wat elk in gang zet

De FAQ van de Commissie over de uitvoering, versie 1.4 van 4 september 2026, deel 5.1, somt op hoe een fabrikant kennis kan krijgen zonder hem te verplichten een van die kanalen te bewaken: een klant of partner die ongewone activiteit meldt, dreigingsinformatie, de kennisgeving van een overheidsinstantie, het rapport van een ethische hacker, de eigen telemetrie, scans of honeypots van de fabrikant. Gelezen met de richtsnoeren is elk signaal een "verdachte gebeurtenis" die de beoordeling in gang zet, niet de klok.

Een e-mail van een klant. De beoordeling begint wanneer de e-mail wordt gelezen, en zij moet onmiddellijk zijn. Als het bewijs van de klant is wat de definitie betrouwbaar noemt, kan de beoordeling een uur duren, en dan begint de klok. Een team dat de e-mail tot maandag laat liggen, verschuift de klok niet naar maandag: het "snel handelen" van punt 214 is de maatstaf waaraan een markttoezichtautoriteit de tijdlijn zal toetsen, en het enige verweer is een registratie die laat zien wanneer de beoordeling begon, wie haar uitvoerde en wat zij concludeerde.

Een scannermelding dat de CVE van een component op een lijst van uitgebuite kwetsbaarheden staat. Dit is het geval dat de meeste softwarebedrijven het eerst zullen tegenkomen, en punt 218 beantwoordt het. Een fabrikant meldt een actief uitgebuite kwetsbaarheid "in zijn product". Als hij weet dat een component van een derde een kwetsbaarheid bevat die "ofwel (i) niet kan worden uitgebuit in zijn product met digitale elementen (bijvoorbeeld omdat de kwetsbare code niet bereikbaar is), ofwel (ii) niet is uitgebuit in zijn product met digitale elementen, dan geldt die kwetsbaarheid niet als een actief uitgebuite kwetsbaarheid in zijn product met digitale elementen en valt zij voor die fabrikant dus niet onder de verplichte melding". Een vermelding op een lijst is dus een verdachte gebeurtenis. De beoordeling stelt twee vragen: is de kwetsbare code bereikbaar in ons product, en is er betrouwbaar bewijs dat zij in ons product wordt uitgebuit, en niet alleen in dat van een ander. Redelijke zekerheid over beide start de klok; redelijke zekerheid tegen een van beide beëindigt de zaak als verplichte melding, en laat de vrijwillige weg van artikel 15 over en de plicht van artikel 13(6) om de kwetsbaarheid stroomopwaarts aan de beheerder van de component te melden. Deel 5.4 van de FAQ voegt toe dat de fabrikant van de component zelf, als de component afzonderlijk in de handel is gebracht, haar ook meldt.

Een zero-day uit een bugbounty of een testlaboratorium. Geen actief uitgebuite kwetsbaarheid, en geen verplichte melding. FAQ 5.2: een zero-day "ontdekt door ethische hackers, waarvoor geen bewijs van eerdere kwaadwillige uitbuiting bestaat, en die aan de fabrikant van het product wordt bekendgemaakt in het kader van zijn bugbountyprogramma" valt niet onder de verplichte melding, en evenmin een die is gevonden door "een cyberbeveiligingsbeoordelingslaboratorium dat tests uitvoert namens de fabrikant". Overweging 68 zegt hetzelfde over onderzoek te goeder trouw. De plichten inzake de behandeling van kwetsbaarheden van bijlage I, deel II, blijven volledig gelden; de melding niet.

Een kwetsbaarheid die u al vóór 11 september 2026 kende. Punt 217 trekt de grens bij de uitbuiting, niet bij de kwetsbaarheid. Een fabrikant "is niet verplicht kwetsbaarheden te melden waarvan hij al vóór 11 september 2026 kennis had gekregen van de actieve uitbuiting". Maar "de verplichting geldt wel wanneer de fabrikant vóór 11 september 2026 op de hoogte was van een kwetsbaarheid maar op dat moment geen kennis had van enige actieve uitbuiting ervan". Als de uitbuiting plaatsvindt, of u ervan hoort, na die datum, begint de klok op de dag waarop u het verneemt. Een oude kwetsbaarheid is geen verweer; oude kennis van de uitbuiting ervan wel.

Een ernstig incident. Het tweede lid van punt 213: redelijke zekerheid dat "een ernstig incident heeft plaatsgevonden dat ertoe heeft geleid dat de beveiliging van zijn product met digitale elementen is aangetast". Of een incident ernstig is, bepaalt artikel 14(5): het tast het vermogen van het product aan, of kan dat aantasten, om de beschikbaarheid, authenticiteit, integriteit of vertrouwelijkheid van gevoelige of belangrijke gegevens of functies te beschermen, of het heeft geleid, of kan leiden, tot het invoeren of uitvoeren van kwaadaardige code in het product of in de systemen van een gebruiker. Een storing die aan geen van beide raakt, is een incident maar geen melding. De beoordeling heeft bij incidenten dus een derde vraag: welk van de twee leden van artikel 14(5) is vervuld, en het antwoord hoort in het veld eerste beoordeling van de 72-uursmelding.

De reikwijdte van de plicht is ruimer dan de rest van de verordening

Punt 210 maakt twee opmerkingen die verrassen. Artikel 14 geldt vanaf 11 september 2026 voor elk product met digitale elementen binnen het toepassingsgebied, "met inbegrip van producten met digitale elementen die vóór 11 december 2027 in de handel zijn gebracht". En de meldplicht overleeft de ondersteuningsperiode: "anders dan de verplichtingen inzake de behandeling van kwetsbaarheden, die alleen voortduren zolang de ondersteuningsperiode van een product loopt, blijven de meldplichten gelden nadat een product met digitale elementen niet langer wordt ondersteund". Voor een product dat vóór december 2027 in de handel is gebracht of waarvan de ondersteuningsperiode is verstreken, moet de fabrikant nog steeds melden, maar "is hij niet verplicht te voldoen aan de verplichtingen inzake de behandeling van kwetsbaarheden van bijlage I, deel II". De FAQ, 5.3, erkent dat de fabrikant bij oude producten "die kwetsbaarheden mogelijk niet kan onderzoeken" omdat bouwomgevingen en personeel verdwenen zijn, en zegt dat de melding toch verschuldigd is.

Na de melding: gebruikers, en wat niet te publiceren

De punten 219 tot 221 gaan over artikel 14(8), de plicht om getroffen gebruikers "en, in voorkomend geval, alle gebruikers" te informeren. De richtsnoeren lezen die risicogebaseerd: gebruikers informeren "betekent niet dat die informatie openbaar moet worden gemaakt of ongedifferentieerd moet worden verspreid", en fabrikanten "kunnen de bekendmaking van gedetailleerde informatie beperken tot de betrokken gebruikers of klanten", met name voor producten "die worden gebruikt in gevoelige of essentiële omgevingen, waar openbaarmaking van technische details zelf de cyberbeveiligingsrisico's zou kunnen vergroten". Ruimere bekendmaking "kan passend zijn" zodra de kwetsbaarheid is gemitigeerd, en bijlage I, deel II, punt 4, vereist openbaarmaking van verholpen kwetsbaarheden zodra de beveiligingsupdate beschikbaar is. Het CSIRT dat de melding ontving, mag de gebruikers zelf informeren als de fabrikant dat niet tijdig doet.

Wat u opschrijft voordat u het nodig hebt

De richtsnoeren maken van "kennis gekregen" een vaststelling in plaats van een feit, en vaststellingen vragen een procedure. Eén pagina is genoeg.

  1. Wat telt als verdachte gebeurtenis. De lijst van de FAQ, plus uw eigen kanalen: het beveiligingscontactadres dat bijlage I vereist, de scanner, de wachtrij van de klantenservice, het nieuws.
  2. Wie de eerste beoordeling uitvoert, en wanneer die klaar moet zijn. Een benoemde persoon en een plaatsvervanger, en een plafond voor de beoordeling in uren. "Onmiddellijk" en "snel" zijn de woorden van de Commissie; een plafond dat u stelt en nakomt, is hoe u laat zien dat u eraan hebt voldaan.
  3. De twee vragen, in de bewoordingen van de Commissie. Bij een kwetsbaarheid: zit zij in ons product en is zij bereikbaar, en is er betrouwbaar bewijs van uitbuiting in ons product. Bij een incident: heeft het plaatsgevonden, heeft het de beveiliging van het product aangetast, en welk lid van artikel 14(5) is van toepassing.
  4. Twee tijdstempels, beide in UTC. Wanneer de verdachte gebeurtenis werd opgemerkt of ontvangen, en wanneer de beoordeling redelijke zekerheid bereikte. De tweede is "kennis gekregen" en start de klok; de eerste, en het verschil tussen beide, laat zien dat de beoordeling snel was. Het meldplatform vraagt om de tweede en krijgt het veld voor een kwetsbaarheid pas in een latere release, zodat uw eigen registratie de enige is die op de dag zelf bestaat.
  5. Wie de vaststelling tekent, en waar zij wordt bewaard. De persoon die beslist dat redelijke zekerheid is bereikt, en de registratie die de markttoezichtautoriteit zal lezen als de tijdlijn ooit in twijfel wordt getrokken.

Die registratie is wat de CRA-meldingsgebeurtenis van StandardOS is: een toepassingsbepaling, de benoemde melder en plaatsvervanger, de te kiezen coördinator, een tijdstempel van kennisname met de redenering ernaast, en de drie termijnen die daaruit worden berekend in de termen van de verordening in plaats van die van het platform. De pagina met termijnen berekent ze voor iedereen; hoe het platform de melding vervolgens aanneemt is het volgende artikel, en welke coördinator haar ontvangt het vorige.

Bronnen

  • Verordening (EU) 2024/2847, artikel 3(42), artikel 13(6), artikel 14(1) tot (5) en (8), artikel 15, artikel 69(3), overweging 68.
  • Europese Commissie, richtsnoeren van de Commissie over de toepassing van Verordening (EU) 2024/2847, C(2026) 5252 final van 27 juli 2026, bijlage, deel 9.1 punten 209 tot 221 en deel 9.2.
  • Europese Commissie, FAQ over de Cyber Resilience Act, versie 1.4 van 4 september 2026, delen 5.1 tot 5.5.
  • Uitvoeringsverordening (EU) 2024/2690 van de Commissie, overweging 31.
  • Europees Comité voor gegevensbescherming, Richtsnoeren 9/2022 inzake de melding van inbreuken in verband met persoonsgegevens onder de AVG, versie 2.0, punten 31 tot 34.

Dit is geen juridisch advies. De acht punten van de richtsnoeren lezen in tien minuten, en de artikelnummers hierboven staan er zodat u dat kunt doen.