Een waarschuwing binnen 24 uur, gevolgd door een rapport binnen 72 uur
Fabrikanten van digitale producten moeten binnen 24 uur melding maken van actief misbruikte kwetsbaarheden en ernstige incidenten die de veiligheid van hun producten in gevaar brengen. Het tijdschema van de Cyber Resilience Act begint zijn eerste concrete effecten te sorteren.
Meldingsplicht. 11 september 2026 markeert een belangrijke mijlpaal. Fabrikanten moeten elke actief misbruikte kwetsbaarheid en elk ernstig incident melden. Een eerste melding moet onmiddellijk en uiterlijk 24 uur nadat het incident bekend is geworden, worden doorgegeven. Vervolgens moet binnen 72 uur een meer gedetailleerde melding volgen, met een eerste beoordeling van de kwetsbaarheid of het incident.
Dit is een uiterst strategisch punt, want door de digitale toeleveringsketen op deze manier af te schermen, draagt de Cyber Resilience Act bij aan het zoveel mogelijk beperken van inbraakpogingen, laterale bewegingen en andere escalaties van privileges waarbij misbruik wordt gemaakt van de kwetsbaarheden in deze producten.
De CRA bevat twee belangrijke vereisten. Ten eerste: cyberbeveiliging al vanaf de ontwerpfase van digitale producten integreren; in dit geval spreken we van „Security by Design“. Ten tweede: zorgen voor een veel transparantere en reactievere communicatie in geval van een ernstig incident of een ontdekte kwetsbaarheid die actief wordt uitgebuit.
„Fabrikanten“, een breed begrip
Het toepassingsgebied is breed: software, hardware en bijbehorende oplossingen voor gegevensverwerking op afstand, zodra deze in het kader van een commerciële activiteit op de markt van de Europese Unie worden aangeboden. De verplichting rust op de fabrikant, dat wil zeggen de entiteit die het product ontwikkelt of laat ontwikkelen en het onder eigen naam op de markt brengt.
Onder „fabrikanten“ vallen softwareontwikkelaars, fabrikanten van verbonden apparatuur, maar ook bureaus en studio’s die onder hun eigen merk een product distribueren dat zij hebben ontwikkeld of laten ontwikkelen, en importeurs en distributeurs die hun merk op een product aanbrengen of het wijzigen voordat zij het opnieuw op de markt brengen. Het spectrum is dus breed.
Wie gebruikt het product? Een terechte vraag…
Wat de gebruikers betreft, geldt de verplichting voor de leverancier, niet voor het bedrijf dat het product exploiteert. Een klant kan daarentegen van zijn fabrikant eisen dat deze gedurende de gehele ondersteuningsperiode van het product beveiligingsupdates ter beschikking stelt.
Vierentwintig uur is voldoende om een formulier in te vullen. Maar het wordt een probleem wanneer niemand onmiddellijk weet welke klanten het betreffende product nog gebruiken, welke versies in omloop zijn, wie daarvoor verantwoordelijk is, of dat de kwetsbare component ook in drie andere producten van de groep voorkomt.
De echte moeilijkheid zit hem dus in één eenvoudig punt: precies weten wat het bedrijf verkoopt, wat het onderhoudt en wie beslist wanneer er een probleem ontstaat.
