Verordening cyberweerbaarheid II: kwetsbaarheden aanpakken en melden sinds 11-09-2026

Het juridisch kader

De verordening cyberweerbaarheid (Cyber Resilience Act, CRA) is Verordening (EU) 2024/2847. Het grootste deel geldt pas vanaf 11 december 2027, maar de meldplicht van artikel 14 is van toepassing sinds 11 september 2026 (artikel 71, lid 2). Ze geldt voor elk product met digitale elementen binnen het toepassingsgebied, ook voor producten die lang vóór 11 december 2027 in de handel kwamen (artikel 69, lid 3). De klok loopt dus al voor alles wat je ooit verkocht hebt.

Of je product er überhaupt onder valt, lees je in deel I van deze reeks. Dit deel gaat over twee zaken: wat je meldt, en hoe je kwetsbaarheden aanpakt tijdens de levensduur van het product.

Twee meldsporen

Artikel 14 kent twee aanleidingen. Elke melding gaat "tegelijkertijd" naar het als coördinator aangewezen CSIRT en naar Enisa, het EU-agentschap voor cyberbeveiliging.

Spoor 1: een actief uitgebuite kwetsbaarheid (artikel 14, leden 1 en 2). Dat is "een kwetsbaarheid waarvoor betrouwbare bewijzen bestaan dat een kwaadwillige actor die heeft uitgebuit in een systeem zonder toestemming van de systeemeigenaar" (artikel 3, punt 42). Een lek dat je zelf bij het testen vindt, volstaat niet. Je dient in:

• een vroegtijdige waarschuwing, zonder onnodige vertraging en in elk geval binnen 24 uur nadat je er kennis van kreeg, waar nodig met de lidstaten waar het product voor zover je weet beschikbaar is;
• een kwetsbaarheidsmelding binnen 72 uur, met algemene informatie over het product, de aard van de uitbuiting en de kwetsbaarheid, de genomen corrigerende of risicobeperkende maatregelen en wat gebruikers zelf kunnen doen, en hoe gevoelig je de informatie vindt;
• een eindverslag uiterlijk 14 dagen nadat een corrigerende of risicobeperkende maatregel beschikbaar is, met een beschrijving van de kwetsbaarheid, de ernst en de gevolgen, informatie over de kwaadwillige actor als je die hebt, en details over de beveiligingsupdate of andere oplossing.

Spoor 2: een ernstig incident dat gevolgen heeft voor de beveiliging van het product (artikel 14, leden 3 en 4). Een incident is ernstig als het het vermogen van het product aantast of kan aantasten om de beschikbaarheid, authenticiteit, integriteit of vertrouwelijkheid van gevoelige of belangrijke gegevens of functies te beschermen, of als het heeft geleid of kan leiden tot kwaadwillige code in het product of in de netwerk- en informatiesystemen van een gebruiker (artikel 14, lid 5). Denk aan een aanvaller die je updateserver overneemt. Je dient in:

• een vroegtijdige waarschuwing binnen 24 uur, met minstens de vermelding of het incident vermoedelijk door onwettige of kwaadwillige handelingen is veroorzaakt;
• een incidentmelding binnen 72 uur, met een eerste beoordeling en de genomen en beschikbare maatregelen;
• een eindverslag binnen één maand na de incidentmelding, met een gedetailleerde beschrijving, het type dreiging of de grondoorzaak, en de toegepaste en lopende maatregelen.

In beide sporen kan het CSIRT een tussentijds verslag met de stand van zaken vragen (artikel 14, lid 6).

Waar je meldt

Alle meldingen lopen via het centrale meldingsplatform dat Enisa opzet en beheert (artikel 16). Je gebruikt het elektronische meldpunt van het als coördinator aangewezen CSIRT in de lidstaat van je hoofdvestiging in de Unie, en Enisa heeft tegelijk toegang (artikel 14, lid 7). De hoofdvestiging is waar de beslissingen over de cyberbeveiliging van je producten overwegend worden genomen. Lukt dat niet, dan is het de vestiging in de Unie met de meeste werknemers.

Een fabrikant zonder vestiging in de Unie volgt een vaste volgorde: de lidstaat van de gemachtigde vertegenwoordiger die voor de meeste van zijn producten optreedt, dan die van de importeur die de meeste producten in de handel brengt, dan die van de distributeur, en tot slot waar de meeste gebruikers zitten (artikel 14, lid 7, derde alinea).

Het CSIRT dat de melding ontvangt, stuurt ze door naar de CSIRT's van de lidstaten waar het product beschikbaar is. Dat doorsturen kan in uitzonderlijke omstandigheden worden uitgesteld op gerechtvaardigde cyberbeveiligingsgronden, bijvoorbeeld als je aangeeft dat de informatie gevoelig is of als de kwetsbaarheid in een procedure voor gecoördineerde openbaarmaking zit (artikel 16, leden 2 en 6). De CSIRT's geven de markttoezichtautoriteiten ook door wat die nodig hebben (artikel 16, lid 3).

Je gebruikers informeren

Nadat je kennis kreeg van een actief uitgebuite kwetsbaarheid of een ernstig incident, informeer je de getroffen gebruikers, en waar passend alle gebruikers, over het probleem en over de maatregelen die ze zelf kunnen nemen, waar passend in een gestructureerd, machineleesbaar formaat (artikel 14, lid 8). Doe je dat niet tijdig, dan kunnen de CSIRT's de gebruikers zelf inlichten. Het CSIRT kan, na overleg met jou, ook het publiek informeren of jou dat laten doen als dat nodig is (artikel 17, lid 2).

Bescherming voor wie meldt

De loutere melding verhoogt je aansprakelijkheid niet (artikel 17, lid 4). Fabrikanten en anderen kunnen ook vrijwillig andere kwetsbaarheden, cyberdreigingen, incidenten en bijna-incidenten melden (artikel 15). Zodra er een oplossing is, kan Enisa de kwetsbaarheid in overleg met de fabrikant opnemen in de Europese kwetsbaarhedendatabank (artikel 17, lid 5). De CSIRT's bieden helpdeskondersteuning bij de meldplicht, vooral aan kleine en middelgrote fabrikanten (artikel 17, lid 6).

De administratieve geldboetes van de CRA voor het missen van de vroegtijdige waarschuwing binnen 24 uur gelden niet voor fabrikanten die een micro- of kleine onderneming zijn (artikel 64, lid 10). De plicht zelf geldt voor hen wel. Voor alle anderen kan een inbreuk op artikel 14 leiden tot boetes tot 15 miljoen euro of 2,5% van de wereldwijde jaaromzet, als dat hoger is (artikel 64, lid 2).

Kwetsbaarheden aanpakken vanaf 11 december 2027

Vanaf 11 december 2027 mogen producten alleen op de markt worden aangeboden als de processen van de fabrikant voldoen aan bijlage I, deel II (artikel 6). De acht vereisten:

1. kwetsbaarheden en componenten vaststellen en documenteren, met een softwarestuklijst in een gangbaar, machineleesbaar formaat die minstens de afhankelijkheden op het hoogste niveau dekt;
2. kwetsbaarheden onverwijld aanpakken en verhelpen, ook met beveiligingsupdates, en die waar technisch haalbaar los van functionaliteitsupdates uitbrengen;
3. de beveiliging van het product doeltreffend en regelmatig testen en evalueren;
4. zodra een update beschikbaar is, informatie over verholpen kwetsbaarheden openbaar maken, met een beschrijving, de betrokken producten, gevolgen, ernst en hulp om het probleem te verhelpen (uitstel kan in naar behoren gemotiveerde gevallen, tot gebruikers konden patchen);
5. een beleid voor gecoördineerde openbaarmaking van kwetsbaarheden invoeren en handhaven;
6. het delen van informatie over kwetsbaarheden vergemakkelijken, ook in componenten van derden, met een contactadres voor meldingen;
7. voorzien in mechanismen om updates veilig te verspreiden, voor beveiligingsupdates waar van toepassing automatisch;
8. beveiligingsupdates onverwijld en kosteloos verspreiden, met adviesberichten, tenzij anders afgesproken met een zakelijke gebruiker voor een product op maat.

Artikel 13 zet daar het kader rond:

• kwetsbaarheden moeten doeltreffend worden aangepakt tijdens de ondersteuningsperiode, die de verwachte gebruiksduur weerspiegelt en minstens vijf jaar bedraagt, tenzij het product naar verwachting korter wordt gebruikt (artikel 13, lid 8);
• elke beveiligingsupdate blijft na de uitgifte minstens tien jaar beschikbaar, of voor de rest van de ondersteuningsperiode als die langer is (artikel 13, lid 9);
• vind je een kwetsbaarheid in een ingebouwd component, ook open source, dan meld je ze aan wie dat component maakt of onderhoudt, verhelp je ze en deel je waar passend je oplossing (artikel 13, lid 6);
• er is een centraal contactpunt voor gebruikers, ook voor het melden van kwetsbaarheden, en dat mag niet beperkt blijven tot geautomatiseerde tools (artikel 13, lid 17);
• de einddatum van de ondersteuningsperiode, minstens maand en jaar, moet bij aankoop duidelijk zijn (artikel 13, lid 19).

Naast NIS2 en de AVG

De CRA neemt het ritme van 24 uur, 72 uur en één maand over van NIS2. Beide kunnen op hetzelfde bedrijf van toepassing zijn: NIS2 op het eigen netwerk en de eigen diensten, de CRA op de producten die het verkoopt. Zijn er persoonsgegevens getroffen, dan komt er onder de AVG een derde melding bij de gegevensbeschermingsautoriteit binnen 72 uur bij (zie de 72-urenregel). Bereid ze allemaal voor vanuit één set feiten.

In de praktijk

Een Belgische maker van toegangscontrollers voor gebouwen hoort op vrijdagavond van een klant dat zijn lezers met een gemanipuleerde badge worden geopend, en de logs bevestigen het. Dat is betrouwbaar bewijs van uitbuiting. Tegen zaterdagavond gaat de vroegtijdige waarschuwing via het centrale meldingsplatform naar het als coördinator aangewezen CSIRT in België, de hoofdvestiging, met de landen waar de lezers verkocht worden. Tegen maandagavond volgt de kwetsbaarheidsmelding, met het tijdelijke advies om pincode plus badge te gebruiken. De firmware-update komt drie weken later. Het eindverslag is 14 dagen daarna verschuldigd. Intussen informeert het bedrijf installateurs en klanten over de maatregelen.

Een softwarebedrijf ontdekt dat zijn buildserver gehackt is en dat een ondertekende update kwaadwillige code kan hebben bevat. Dat is een ernstig incident in de zin van artikel 14, lid 5, b). De vroegtijdige waarschuwing binnen 24 uur vermeldt dat een kwaadwillige handeling wordt vermoed. Valt het bedrijf ook onder NIS2, dan gaat het na of hetzelfde voorval een significant incident is voor de eigen diensten.

Een onderzoeker meldt een lek in een slimme camera dat niemand heeft uitgebuit. Dat hoeft niet verplicht gemeld te worden. De fabrikant behandelt het volgens zijn openbaarmakingsbeleid, verhelpt het en publiceert vanaf 11 december 2027 een advies zodra de update er is. Vrijwillig melden onder artikel 15 kan.

Praktische stappen

1. Wijs een verantwoordelijke voor CRA-meldingen aan die ook 's nachts en in het weekend mag melden.
2. Bepaal je hoofdvestiging, en zo je CSIRT, en zoek uit hoe het meldpunt op het platform werkt.
3. Schrijf een draaiboek met de twee sporen, de termijnen en sjablonen voor elke melding.
4. Richt het centrale contactpunt in en publiceer nu al een beleid voor gecoördineerde openbaarmaking, ook al geldt bijlage I pas vanaf 11 december 2027.
5. Maak bij elke release een softwarestuklijst.
6. Leg je ondersteuningsperiodes vast en maak ze bekend.

Contracten

Leveranciers, integratoren en wederverkopers horen vaak als eersten van een probleem. Neem in je contracten de plicht op om je zonder vertraging te verwittigen van elke uitbuiting of elk incident met je producten, met de informatie die je nodig hebt voor de waarschuwing binnen 24 uur. Spreek af hoe beveiligingsupdates via distributeurs bij eindgebruikers terechtkomen. Eis in aankoopcontracten voor componenten dat de maker je informeert over kwetsbaarheden en oplossingen en je eigen meldingen ondersteunt.

Veelgestelde vragen

Geldt artikel 14 ook voor producten die we jaren geleden verkochten?

Ja, als ze binnen het toepassingsgebied van de CRA vallen. Artikel 69, lid 3, past artikel 14 toe op alle producten die vóór 11 december 2027 in de handel zijn gebracht.

Wanneer begint de termijn van 24 uur?

Wanneer de fabrikant kennis krijgt van de actief uitgebuite kwetsbaarheid of het ernstige incident (artikel 14, lid 2, a), en lid 4, a)). Zorg dus dat die kennis snel bij de juiste persoon terechtkomt.

We zijn een klein bedrijf. Moeten we melden?

Ja. Micro- en kleine ondernemingen kunnen geen boete krijgen voor het missen van de vroegtijdige waarschuwing binnen 24 uur (artikel 64, lid 10, a)), maar de meldplicht zelf, met de melding binnen 72 uur en het eindverslag, blijft gelden.

Wordt de kwetsbaarheid openbaar als we ze aan het CSIRT melden?

Niet automatisch. Het CSIRT deelt ze met andere CSIRT's en autoriteiten, en dat delen kan op gerechtvaardigde gronden worden uitgesteld. Enisa neemt ze pas op in de Europese kwetsbaarhedendatabank als er een oplossing is, en in overleg met jou.

Hoe dit samenhangt

Ons team datalekken beheert de meldingen onder de CRA, NIS2 en de AVG vanuit één tijdlijn, en de workflow voor datalekken bewaart elke termijn en elk verslag in één dossier. De meldplichten van je leveranciers en distributeurs horen in je contracten; ons team handelscontracten stelt ze op, en het register van rechten en verplichtingen volgt ondersteuningsperiodes en meldplichten na de ondertekening op.

In één oogopslag

Aangehaalde bepalingen: Verordening (EU) 2024/2847, artikelen 3, punt 42, 6, 13, leden 6, 8, 9, 17 en 19, 14, 15, 16, 17, 64, leden 2 en 10, 69, lid 3, en 71; bijlage I, deel II.

Belangrijke data: meldplicht onder artikel 14 sinds 11 september 2026, voor alle producten binnen het toepassingsgebied; vereisten voor de aanpak van kwetsbaarheden (bijlage I, deel II) vanaf 11 december 2027.

De reeks: deel I, producten en klassen, deel III, importeurs, distributeurs, open source en contracten en het cyberbeveiligingspakket van 2026. Verwant: de NIS2-richtlijn en de 72-urenregel bij datalekken.