Een gedocumenteerd "nee" is evenveel waard als een "ja": hoe een fabrikant zich verdedigt

De asymmetrie: de autoriteit toetst het proces, niet alleen de uitkomst

Wanneer een inspecteur naar een zaak kijkt, vraagt hij niet "hebt u gemeld of niet?". Hij vraagt of u in staat was te beslissen, en of u traceerbaar besliste. Dit is het punt dat bijna iedereen mist: een verdedigbaar dossier met een geschreven "nee" verslaat elke keer een ongedocumenteerd "ja", want het eerste toont een werkend proces en het tweede alleen geluk.

Een fabrikant die uit voorzichtigheid alles meldde, maar niet kan uitleggen waarom, staat zwakker dan een die niets meldde omdat — geval per geval — geen enkele gebeurtenis de drempel haalde, en dat kan bewijzen. De verplichting is niet melden: het is elke gebeurtenis correct kwalificeren en naar de kwalificatie handelen. De meldingsverplichtingen van art. 14 veronderstellen een beoordeling; de beoordeling is wat de autoriteit inspecteert.

Wat een goed record bevat

Een record dat standhoudt is geen lang document. Het is een kort document dat zes vragen zonder omwegen beantwoordt. De gebeurtenis: wat binnenkwam en via welk kanaal. Het moment van kennisname: de tijdstempel waarvanaf elke termijn loopt, vastgelegd toen het gebeurde. De kwalificatie: misbruikt of niet, incident of niet — met het toegepaste artikel ernaast, want dat artikel bepaalt de termijnen.

Dan de redenering: twee of drie zinnen waarom de gebeurtenis zo werd gekwalificeerd. Het bewijs: het logboek, de e-mail, de scanneruitvoer, de notitie van de analist — waar de redenering op steunt. En ten slotte de berekende termijnen: zelfs als de conclusie "geen verplichting" luidt, bewijst het opschrijven van de termijnen waarvoor u had gestaan, dat u wist dat de klok bestond. Sla de kwalificatiestap over en u kunt niets berekenen — het meest voorkomende gebrek in de interne processen die men ons toont.

De autoriteit kan op korte termijn vragen

De markttoezichtautoriteit kan de documentatie opvragen die conformiteit aantoont, en kan dat doen met weinig waarschuwing en zonder verplichting uit te leggen waarom ze vraagt. Een bewijsdossier bestaat precies om te antwoorden met wat al bestaat, in plaats van maanden aan beslissingen onder druk te reconstrueren — een reconstructie die, hoe eerlijk ook, altijd achteraf leest.

Het verschil tussen de twee situaties is niet de kwaliteit van uw engineering. Het is of de beslissing werd vastgelegd op het moment dat ze werd genomen. Een op de dag zelf geschreven record is bewijs; dezelfde inhoud getypt in de week van de inspectie is een verhaal, en inspecteurs kennen het verschil.

Zorgvuldigheid en samenwerking verkleinen de blootstelling

De sancties zijn niet theoretisch. Een inbreuk op de verplichtingen van art. 13 en 14 kan vijftien miljoen euro bereiken of 2,5 % van de wereldwijde jaaromzet, welke hoger is. Maar de verordening vraagt de autoriteiten de aard en ernst van de inbreuk te wegen, of ze nalatig of opzettelijk was, en de getoonde mate van samenwerking. Een gedocumenteerd proces is de concrete vorm die "gepaste zorgvuldigheid" aanneemt.

Twee fabrikanten met dezelfde gemiste melding worden niet gelijk behandeld. Wie kan tonen dat hij de gebeurtenis beoordeelde, te goeder trouw tot een verdedigbare conclusie kwam en meewerkte toen de fout aan het licht kwam, argumenteert vanuit een positie die de ander niet heeft. Het dossier voorkomt niet alleen het verzuim — het vormt het antwoord wanneer er toch iets misgaat.

Een concreet voorbeeld: de als "niet misbruikt" beoordeelde afhankelijkheid

Een scanner markeert een bekende kwetsbaarheid in een meegeleverde bibliotheek van derden in uw product. De ingenieur bekijkt haar en concludeert dat ze in uw configuratie niet misbruikbaar is: het kwetsbare codepad wordt nooit bereikt. De conclusie is waarschijnlijk juist. Nergens vastgelegd, is ze over zes maanden niets waard.

Hier is de ene alinea die zou standhouden. "CVE-XXXX-NNNN gemeld door de SBOM-scan op 5 augustus 2026, 09:12, in bibliotheek X v2.3, component van product Y. Dezelfde dag beoordeeld: geen betrouwbaar bewijs van misbruik in het wild; de getroffen functie wordt in onze build niet aangeroepen (aanroepgraaf bijgevoegd). Gekwalificeerd als niet-misbruikte kwetsbaarheid volgens art. 3(42): vroegtijdige-waarschuwingsplicht van art. 14 niet geactiveerd. Patch gepland voor de volgende onderhoudsrelease. Beoordelaar: [naam]." Dat volstaat. Het benoemt de gebeurtenis, de gestempelde kennisname, de kwalificatie met haar artikel, de redenering, het bewijs, en het feit dat de termijnklok bewust is gecontroleerd en niet gestart bleek.

Vermenigvuldig die alinea met het handjevol gebeurtenissen dat maandelijks uw kanaal kruist en u hebt een bewijsdossier dat minuten kost om bij te houden en een inspectie beantwoordt zonder één reconstructie. Het "nee" is gedocumenteerd, en een gedocumenteerd "nee" is evenveel waard als een "ja".