Fabrikanten van producten met digitale componenten krijgen vanaf morgen te maken met een nieuwe Europese meldplicht voor cybersecurity. De Cyber Resilience Act (CRA) verplicht hen om actief uitgebuite kwetsbaarheden en ernstige beveiligingsincidenten met hun producten snel te melden. De belangrijkste verplichtingen van de verordening gaan pas eind 2027 in, maar deze meldplicht loopt daarop vooruit.
De CRA geldt voor een breed scala aan hard- en software, waaronder iot-apparaten en andere producten met digitale elementen. Fabrikanten moeten een incident of kwetsbaarheid binnen 24 uur melden nadat zij daarvan kennis hebben genomen. Binnen 72 uur moet een uitgebreidere melding volgen. Voor een actief uitgebuite kwetsbaarheid is uiterlijk veertien dagen nadat een corrigerende maatregel beschikbaar is een eindrapport vereist. Bij een ernstig beveiligingsincident geldt daarvoor een termijn van een maand.
De meldplicht geldt niet alleen voor nieuwe producten. Volgens de Europese Commissie vallen vanaf 11 september ook producten die al eerder op de Europese markt zijn gebracht onder de rapportageverplichtingen.
In Nederland moeten fabrikanten met hun hoofdvestiging in eerste instantie melden bij het Nationaal Cyber Security Centrum (NCSC). De melding loopt via het Europese CRA Single Reporting Platform (SRP), dat door het Europese cybersecurityagentschap Emisa wordt beheerd. Eén melding wordt vervolgens beschikbaar gesteld aan de relevante Europese CSIRT’s.
Kwaadwillende partij
Niet elke gevonden kwetsbaarheid valt onder de nieuwe meldplicht. Het moet gaan om een kwetsbaarheid waarvan betrouwbare aanwijzingen bestaan dat die daadwerkelijk door een kwaadwillende partij wordt uitgebuit. Ook ernstige incidenten die de beschikbaarheid, authenticiteit, integriteit of vertrouwelijkheid van gegevens of functies van een product aantasten, vallen eronder.
De CRA is eind 2024 in werking getreden. De meeste verplichtingen worden vanaf 11 december volgend jaar van toepassing. De Europese Commissie publiceerde eind juli al praktische richtlijnen om fabrikanten op de nieuwe regels voor te bereiden. Meer informatie op de CRA-pagina van het NCSC.
