Wanneer beginnen de 24 uur? Het anker van de kennisname
De termijnen van art. 14 lopen niet vanaf het openen van de e-mail door een manager, niet vanaf maandagochtend, niet vanaf het afstemmingsoverleg. Ze lopen vanaf het moment waarop het bedrijf van het feit kennisneemt. Dat ogenblik is het eerste gegeven dat een autoriteit controleert — en het is een organisatorisch probleem vóór het een technisch probleem is.
Het moment van kennisname, en waarom een autoriteit daar het eerst naar kijkt
Art. 14(1) verankert elke termijn aan één ogenblik: het moment waarop de fabrikant kennisneemt van een actief misbruikte kwetsbaarheid of van een ernstig incident met gevolgen voor de productbeveiliging. Vanaf dat ogenblik lopen de 24 uur van de vroegtijdige waarschuwing, en de hele volgende keten hangt eraan. Dit noemen we het moment van kennisname.
Het is het eerste wat een autoriteit controleert, juist omdat het één datum en tijd is, geen interpretatie. Om te beslissen of een termijn is gehaald, hoeft de inspecteur niet in de inhoud van de kwetsbaarheid te duiken: het volstaat twee tijdstempels te vergelijken — het ogenblik van kennisname en dat van indiening. Al het overige volgt uit die aftrekking.
Een technische klok die op de organisatie wordt gewonnen of verloren
Is het anker eenmaal begrepen, dan verschuift het probleem: van het technische naar het organisatorische. De 24 uur gaan niet op aan het begrijpen van de bug — ze gaan op aan het op tijd opmerken dat iemand u heeft geschreven. Om te voorkomen dat dat venster vanzelf dichtvalt, zijn drie dingen nodig: één bemand ontvangstkanaal; een geschreven regel wie de melding beoordeelt en volgens welke criteria; en een bereikbaarheidsketen met uurdrempels en benoemde vervangers.
De bedrijven die we in moeilijkheden zagen, misten geen competentie: hun ingenieurs hadden de kwetsbaarheid in een uur kunnen analyseren. Ze misten beschikbaarheid. De melding kwam binnen op een kanaal dat niemand bekeek, of bereikte iemand die het weekend vrij was zonder vervanger achter zich. De termijn werd niet op de inhoud gemist, maar op het rooster.
Het ogenblik vastleggen en documenteren, zodat het maanden later standhoudt
Weten dat de termijn vanaf de kennisname loopt, is weinig waard als u niet kunt bewijzen wanneer die plaatsvond. Het ogenblik moet worden vastgelegd op het moment dat het gebeurt, niet later uit het geheugen gereconstrueerd. In de praktijk: een ontvangst die elke binnenkomende melding automatisch van een tijdstempel voorziet, en een manipulatiebestendige logregel — die aankomst, tijd, bron en behandelaar vastlegt en die niemand achteraf stil kan bewerken.
Het punt van de manipulatiebestendigheid is verdedigbaarheid. Maanden later, tegenover een inspecteur, wilt u niet twisten over wanneer u het wist: u wilt een op het moment zelf gemaakt record, waarvan de datum niet naar voren of achteren kan zijn geschoven om het verhaal te laten kloppen. Een gestempelde ontvangst en een write-once-logboek maken van een betwistbare herinnering een feit.
23:40 op een zaterdag: de klok doorlopen
Een melding bereikt het openbare adres om 23:40 op een zaterdag: een onderzoeker schrijft dat een kwetsbaarheid in uw product in het wild wordt misbruikt. Die tijdstempel — zaterdag 23:40 — is het ogenblik dat u zult moeten verdedigen. De 24 uur wachten niet tot het kantoor weer opengaat: de vroegtijdige waarschuwing is zondag om 23:40 verschuldigd.
Loop de klok door. Werkt de bereikbaarheidsketen, dan is de melding om 23:45 gestempeld en gelogd; om 00:30 heeft de dienstdoende bevestigd dat er betrouwbaar bewijs van misbruik is; halverwege zondagochtend is de vroegtijdige waarschuwing ingediend, met veertien uur marge. Blijft het bericht daarentegen ongelezen tot maandag 09:00, dan blijft de kennisname vastgelegd op zaterdag 23:40 — de wet verplaatst het anker niet — en zijn er drieëndertig uur verstreken, negen daarvan voorbij de termijn, voordat iemand één regel heeft gelezen.
Het anker en het register zijn dezelfde discipline
Het ogenblik van kennisname is de eerste regel van een bewijsketen die het hele leven van een melding doorloopt: kennisname, kwalificatie, vroegtijdige waarschuwing, 72-uursupdate, eindverslag. Elk daarvan heeft zijn termijn, geteld vanaf het anker of de vorige stap, en elk is alleen verdedigbaar als het werd vastgelegd toen het gebeurde. Het gestempelde logboek is geen bureaucratie — het maakt elke latere termijn bewijsbaar.
De exacte termijnketens — welke geldt voor een misbruikte kwetsbaarheid en welke voor een ernstig incident, en hoe de eindverslagen verschillen — staan in onze pijler over art. 14. Lees het anker en de ketens samen: het eerste zegt wanneer de telling begint, de tweede waarnaar ze aftelt.
Dit artikel beschrijft onze lezing van de verordeningstekst en vormt geen juridisch advies.
Risicoklasse