Voorbereid zijn op meldingen volgens CRA-artikel 14

Voorbereid zijn voordat u meldt

Voordat zich een incident voordoet, moet de fabrikant weten welke producten binnen de scope vallen, wie meldingen mag indienen, welk coördinerend CSIRT deze ontvangt en in welke lidstaten de producten zijn aangeboden.

Coördinerend CSIRT

De melding wordt ingediend via het elektronische meldpunt van het CSIRT dat is aangewezen als coördinator van de lidstaat waar de fabrikant zijn hoofdvestiging in de Unie heeft; de melding moet tegelijkertijd toegankelijk zijn voor ENISA.

Verordening (EU) 2024/2847, artikel 14, lid 7

Voor een fabrikant in de EU is de hoofdvestiging de lidstaat waar de cyberbeveiligingsbesluiten voor het product voornamelijk worden genomen. Als dat niet kan worden bepaald, geldt als terugvaloptie de lidstaat waar de vestiging van de fabrikant in de Unie met het grootste aantal werknemers is gevestigd.

Voor een fabrikant zonder hoofdvestiging in de Unie vereist artikel 14, lid 7, dat de lidstaat van het coördinerende CSIRT in de onderstaande volgorde wordt bepaald met behulp van de informatie waarover de fabrikant beschikt:

1. De lidstaat waar de gemachtigde is gevestigd die optreedt voor het grootste aantal producten van die fabrikant.
2. De lidstaat waar de importeur is gevestigd die het grootste aantal producten van die fabrikant op de markt brengt.
3. De lidstaat waar de distributeur is gevestigd die het grootste aantal producten van die fabrikant op de markt aanbiedt.
4. De lidstaat waar het grootste aantal gebruikers van de producten van die fabrikant zich bevindt.

Producten geleverd per lidstaat

De vroege waarschuwing binnen 24 uur vraagt om de lidstaten waar het getroffen product volgens de fabrikant is aangeboden. Het SRP stuurt informatie ook door naar andere CSIRT’s voor lidstaten waar het product beschikbaar is.

• directe verkoop en distributiekanalen in de EU;
• marktplaatsen, appstores en downloadkanalen die EU-gebruikers gebruiken;
• importeurs en distributeurs die het product in specifieke lidstaten op de markt brengen of aanbieden;
• productversies, firmware-releases, cloudafhankelijke functies of modelvarianten die van belang zijn voor de melding.

Meldgegevens gereedmaken

ENISA beschrijft het SRP als één toegangspunt. De fabrikant dient de melding eenmaal in en het platform stuurt deze door naar het coördinerende CSIRT en ENISA. De melding blijft afhankelijk van de beschikbaarheid van interne product- en beveiligingsgegevens.

• wie bevoegd is om de melding in te dienen;
• welk product, welke versie, component of dienstfunctie is getroffen;
• of de gebeurtenis geldt als een actief uitgebuite kwetsbaarheid of een ernstig incident;
• wat bekend is, wat nog wordt onderzocht en welke beperkende maatregel beschikbaar is;
• welke gebruikers of lidstaten mogelijk zijn getroffen;
• hoe de fabrikant getroffen gebruikers informeert wanneer artikel 14 dit vereist.

Meldingsplichtige gebeurtenissen herkennen

De voorwaarden die een melding verplicht maken, worden uitgelegd in Melden van kwetsbaarheden. De fabrikant moet zulke gebeurtenissen snel genoeg herkennen om de termijnen van 24 en 72 uur te halen.