De meldplicht van de Cyber Resilience Act, artikel 14 van Verordening (EU) 2024/2847, wordt meestal uitgelegd aan de hand van haar klokken: 24 uur, 72 uur en een eindverslag. De klokken beginnen pas te lopen als een van twee dingen gebeurt, en beide zijn in de verordening nauwer gedefinieerd dan de meeste samenvattingen suggereren. Alles melden is evenzeer een mislukking als niets melden: het overspoelt het CSIRT, zegt gebruikers niets en traint de organisatie om haar eigen procedure te negeren.

Hier zijn de twee triggers zoals de tekst ze definieert, en de grens die elk trekt.

Trigger één: een actief uitgebuite kwetsbaarheid

Artikel 14, lid 1, verplicht de fabrikant "elke actief uitgebuite kwetsbaarheid in het product met digitale elementen waarvan hij kennis krijgt" te melden.

Artikel 3, punt 42, definieert de term: een actief uitgebuite kwetsbaarheid is "een kwetsbaarheid waarvoor betrouwbaar bewijs bestaat dat een kwaadwillende actor die zonder toestemming van de systeemeigenaar in een systeem heeft uitgebuit".

Drie woorden dragen de definitie.

"Betrouwbaar bewijs." Niet de ernstscore van een scanner, niet een proof of concept op een beveiligingsblog, niet een CVE met een gerucht "in het wild uitgebuit" eraan. Bewijs dat uitbuiting heeft plaatsgevonden, van een kwaliteit waarop u zou handelen. De richtsnoeren van de Commissie van 27 juli 2026 leggen kennisname bij een redelijke mate van zekerheid: niet het eerste gerucht, niet het afgeronde forensisch onderzoek.

"Een kwaadwillende actor." Uitbuiting door uw eigen penetratietesters, door een onderzoeker die haar verantwoord heeft gemeld, of door een klant die zijn eigen installatie test, is geen uitbuiting door een kwaadwillende actor. De kwetsbaarheid kan ernstig zijn; op dat bewijs alleen is zij geen trigger.

"In een systeem." Elk systeem, niet alleen dat van uw klant. Betrouwbaar bewijs dat de kwetsbaarheid in uw product ergens door een aanvaller is uitgebuit, is genoeg; u wacht niet tot een van uw eigen gebruikers wordt getroffen.

Wat erbuiten valt: theoretische kwetsbaarheden, niet-uitgebuite proofs of concept, kwetsbaarheden die uw eigen tests vonden, en kwetsbaarheden in componenten die bekend zijn en worden verholpen maar waarvoor geen bewijs van uitbuiting bestaat. Dat is werk onder bijlage I, deel II, beheerd en openbaar gemaakt onder de eisen voor kwetsbaarheidsbeheer, geen meldingen onder artikel 14.

Trigger twee: een ernstig incident met gevolgen voor de beveiliging van het product

Artikel 14, lid 3, vereist de melding van "elk ernstig incident met gevolgen voor de beveiliging van het product met digitale elementen". Artikel 14, lid 5, zegt wanneer een incident ernstig is:

a) het heeft negatieve gevolgen, of kan die hebben, voor het vermogen van een product met digitale elementen om de beschikbaarheid, authenticiteit, integriteit of vertrouwelijkheid van gevoelige of belangrijke gegevens of functies te beschermen; of b) het heeft geleid, of kan leiden, tot de introductie of uitvoering van kwaadaardige code in een product met digitale elementen of in de netwerk- en informatiesystemen van een gebruiker van het product.

Twee dingen vallen op.

"Kan." Beide onderdelen dekken incidenten die het effect zouden kunnen hebben, niet alleen die het hadden. Een incident dat werd ingedamd voordat gegevens verloren gingen, is nog steeds ernstig als het tot dat verlies had kunnen leiden.

Het gaat om de beveiliging van het product, niet die van uw bedrijf. Een inbraak in uw bedrijfsmail is een incident, en onder NIS2 kan het meldplichtig zijn, maar het is alleen een trigger onder artikel 14 als het gevolgen heeft voor de beveiliging van het product dat u in de handel brengt: uw buildpipeline, uw updateserver, de ondertekeningssleutel, de cloud-backend waarvan een product afhangt. De toets is of het vermogen van het product om de gegevens of functies van zijn gebruikers te beschermen is aangetast, of dat kwaadaardige code via het incident het product of de systemen van zijn gebruikers zou kunnen bereiken.

De derde plicht die bij beide hoort: uw gebruikers informeren

Artikel 14, lid 8: na kennisname van een van beide triggers "informeert de fabrikant de getroffen gebruikers van het product met digitale elementen, en waar passend alle gebruikers, over die kwetsbaarheid of dat incident en, waar nodig, over risicobeperkende en corrigerende maatregelen die de gebruikers kunnen inzetten om de gevolgen te beperken", waar passend in een gestructureerd, machineleesbaar formaat. Als de fabrikant de gebruikers niet tijdig informeert, kan het CSIRT dat in zijn plaats doen.

Dit is de plicht die de meeste meldprocedures vergeten. Het CSIRT en ENISA zijn de ene ontvanger. De gebruikers zijn de andere, en het mechanisme om hen te bereiken, de bewoording en het machineleesbare formaat zijn dingen om vóór de dag zelf te beslissen.

Niet meldplichtig is nog steeds vast te leggen

Een kwetsbaarheid of incident die aan geen van beide definities voldoet, wordt niet onder artikel 14 gemeld, maar de bepaling dat ze er niet aan voldoet, is een registratie die het bewaren waard is: wat er gebeurde, waarom werd geoordeeld dat het niet onder 3, punt 42, of 14, lid 5, valt, wie dat oordeelde en wanneer. Als het bewijs verandert, begint de kennisname in de zin van artikel 14 dan, en de registratie toont dat de klok in de gaten werd gehouden. Dat is het verschil tussen een bedrijf dat besloot niet te melden en een dat het niet opmerkte.

Wat te doen

Schrijf de twee definities letterlijk in de incidentprocedure, met de drie vragen bij elk: is er betrouwbaar bewijs, van uitbuiting door een kwaadwillende actor, in enig systeem; tast het incident de bescherming van gevoelige gegevens of functies door het product aan of bedreigt het die, of kwaadaardige code in het product of de systemen van een gebruiker. Benoem wie de beslissing neemt, en leg elke beslissing vast, ook het "nee". Dan de klokken, naar uw CSIRT en ENISA, en het bericht aan gebruikers.

Bronnen

  • Verordening (EU) 2024/2847, artikel 3, punt 42 (geciteerd), artikel 14, leden 1, 3, 5 (geciteerd) en 8 (geciteerd). Gelezen in de tekst van het Publicatieblad op EUR-Lex op 11 september 2026.
  • Richtsnoeren van de Europese Commissie C(2026) 5252 van 27 juli 2026, over de betekenis van kennisname.

Dit is geen juridisch advies. De twee definities zijn twee zinnen van de verordening; ze horen in uw procedure zoals geschreven, niet zoals onthouden.