Melden van kwetsbaarheden onder de EU-verordening cyberweerbaarheid

Wanneer melding vereist is

De trigger is niet de productcategorie, de CVSS-score of alleen het bestaan van een kwetsbaarheid. Artikel 14 vraagt of de fabrikant kennis heeft gekregen van een meldingsplichtige gebeurtenis bij een product met digitale elementen.

Andere kwetsbaarheden, cyberdreigingen, bijna-incidenten en incidenten met kleinere gevolgen kunnen nog steeds van belang zijn voor kwetsbaarhedenafhandeling of vrijwillige meldingen. Zij leiden niet automatisch tot verplichte meldingen op grond van artikel 14.

Actief uitgebuite kwetsbaarheid

‚actief uitgebuite kwetsbaarheid’: een kwetsbaarheid waarvoor betrouwbaar bewijs bestaat dat een kwaadwillende actor deze in een systeem heeft uitgebuit zonder toestemming van de eigenaar van het systeem;

Verordening (EU) 2024/2847, artikel 3, punt 42

De definitie bevat drie onderdelen. Er moet een kwetsbaarheid zijn, er moet betrouwbaar bewijs van uitbuiting zijn en de uitbuiting moet kwaadwillig en onbevoegd zijn. Een theoretisch aanvalspad of een scanresultaat volstaat op zichzelf niet.

Een zero-daykwetsbaarheid kan meldingsplichtig zijn, maar alleen als de fabrikant betrouwbaar bewijs heeft dat een kwaadwillende actor deze heeft uitgebuit. Een te goeder trouw ingediende bugbountymelding of een bevinding uit een laboratorium zonder bewijs van eerdere kwaadwillige uitbuiting valt niet onder de verplichte trigger van artikel 14, hoewel vrijwillige melding mogelijk kan zijn.

Betrouwbare kennis kan op verschillende manieren ontstaan:

• een klant of partner meldt een inbreuk en levert bewijs dat de kwetsbaarheid in het product is uitgebuit;
• een overheidsinstantie, beveiligingsonderzoeker of dreigingsinformatie meldt uitbuiting in het product;
• de eigen telemetrie, bewaking of het onderzoek van de fabrikant levert bewijs van uitbuiting.

De kwetsbaarheid moet ook aanwezig zijn in het product met digitale elementen. Als een geïntegreerde component een kwetsbaarheid heeft die niet kan worden uitgebuit in het product van de fabrikant, wordt die niet alleen doordat de component elders is getroffen een actief uitgebuite kwetsbaarheid in dat product.

Ernstig incident dat de productbeveiliging aantast

Een ernstig incident moet ook betrekking hebben op het product. Een algemeen IT-incident binnen een onderneming is op zichzelf niet voldoende. Het incident moet gevolgen hebben voor de beveiliging van het product met digitale elementen.

Volgens artikel 14 is een incident ernstig als een van de volgende situaties geldt:

• het tast het vermogen van het product om de beschikbaarheid, authenticiteit, integriteit of vertrouwelijkheid van gevoelige of belangrijke gegevens of functies te beschermen aan of kan dat aantasten;
• het heeft geleid of kan leiden tot de introductie of uitvoering van schadelijke code in het product of in de netwerk- en informatiesystemen van een gebruiker.

24 uur, 72 uur en het eindverslag

Artikel 14 voorziet in meldingen in fasen. De eerste melding is een vroegtijdige waarschuwing en hoeft geen volledig technisch dossier te zijn. Latere fasen voegen informatie toe die beschikbaar komt terwijl de fabrikant het incident onderzoekt en beperkt.

1. Vroegtijdige waarschuwing: zonder onnodige vertraging en binnen 24 uur nadat de fabrikant kennis heeft gekregen.
2. Hoofdkennisgeving: zonder onnodige vertraging en binnen 72 uur na kennisneming, tenzij de relevante informatie al is verstrekt.
3. Eindverslag over een actief uitgebuite kwetsbaarheid: uiterlijk 14 dagen nadat een corrigerende of beperkende maatregel beschikbaar is.
4. Eindverslag over een ernstig incident: binnen één maand na de kennisgeving van het incident binnen 72 uur.

De termijnen van 24 en 72 uur beginnen wanneer de fabrikant kennis krijgt van de meldingsplichtige gebeurtenis. Het zijn geen wachttijden: kennisgevingen moeten zonder onnodige vertraging worden gedaan. De termijnen voor het eindverslag hebben verschillende startpunten: de beschikbaarheid van een corrigerende of beperkende maatregel bij een kwetsbaarheid en de indiening van de incidentmelding bij een ernstig incident.

Single Reporting Platform

Om de meldverplichtingen van fabrikanten te vereenvoudigen, wordt door ENISA één meldplatform ingesteld voor de meldingen in artikel 14, leden 1 en 3, en artikel 15, leden 1 en 2. ENISA beheert en onderhoudt dit Single Reporting Platform dagelijks. De architectuur maakt het mogelijk dat lidstaten en ENISA hun eigen elektronische ontvangstpunten voor meldingen inrichten.

Verordening (EU) 2024/2847, artikel 16, lid 1

Meldingen op grond van artikel 14 worden ingediend via het Single Reporting Platform. ENISA is op 11 september 2026 gestart met de eerste operationele capaciteit; het platform is nu beschikbaar voor verplichte meldingen.

Meldingsgereedheid

Voor tijdige indiening hebben fabrikanten een meldingsroute via de SRP, een coördinerend CSIRT, informatie over de lidstaten waar het product wordt geleverd en toegankelijke interne productgegevens nodig. Op de pagina over meldingsgereedheid worden deze voorbereidingen toegelicht.

Lees Meldingsgereedheid voor artikel 14 nadat de triggerregels duidelijk zijn.

Afbakening van gevallen