Hoe u onder de CRA meldt bij CERT-Bund

1. Wie uw melding ontvangt: BSI en CERT-Bund

Het Bundesamt für Sicherheit in der Informationstechnik (BSI) is de federale autoriteit voor informatiebeveiliging, en CERT-Bund is het team dat daarbinnen werkt. Het BSI zetelt in Bonn, telt ruim duizend medewerkers en is tevens certificatie-instantie.

De keten is precies deze: de autoriteit als instelling, CERT-Bund als operationeel team dat uw melding leest en dat samen met ENISA de in art. 14 bedoelde ontvanger vormt.

Het BSI is een federale autoriteit in Bonn met het grootste technische apparaat onder de Europese cyberbeveiligingsagentschappen. CERT-Bund is het operationele team: het ontvangt meldingen, correleert ze en geeft waarschuwingen uit. Voor een fabrikant is het BSI de instelling en CERT-Bund degene die uw tekst daadwerkelijk leest.

2. Het nationale kanaal in de praktijk

De taal van de melding is Duits. Het BSI publiceert waarschuwingen en bulletins in het Duits en houdt gescheiden kanalen aan voor exploitanten in gereguleerde sectoren en voor fabrikanten: welk kanaal voor de CRA geldt, volgt uit de nationale uitvoering.

Wie al meldt als NIS-entiteit kent die route. De CRA vervangt haar niet en gaat er niet in op: twee afzonderlijke verplichtingen met verschillende aanleidingen, die tegelijk uit dezelfde gebeurtenis kunnen ontstaan.

CERT-Bund · officiële website

3. Het landschap eromheen

Duitsland bevestigde het BSI als centrale nationale autoriteit in zijn NIS2-uitvoeringswet. Het resultaat is een ecosysteem waarin CERT-Bund het operationele loket is voor het grootste deel van de cybermeldplichten.

Voor de CRA is dat geen automatisch antwoord: de aanwijzing van het CSIRT dat fabrikantenmeldingen ontvangt volgt de nationale uitvoering van de verordening. Controleer de geldende aanwijzing voordat u indient; leid haar niet af uit NIS2.

Nog één praktisch punt: het BSI is tevens certificatie-instantie en onderhoudt naast zijn rol in het Europese kader langlopende nationale schema's. Valt uw product onder de kritieke en is certificering nodig, dan is de gesprekspartner dezelfde instantie die uw meldingen ontvangt. In Duitsland is die bundeling sterker dan elders.

4. Hoe indienen werkt, kort

Indienen is geen e-mail aan de autoriteit: het loopt via het centraal meldingsplatform van art. 16, en toegang vraagt vooraf gevalideerde EU Login-inloggegevens.

De keten van termijnen — 24 uur, 72 uur, eindverslag — is in de hele Unie dezelfde en staat volledig op de pagina over art. 14. Bij de andere trigger van het artikel verandert de slottermijn: die staat op de pagina over het ernstige incident.

5. Wat vóór een incident voor te bereiden

Vijf dingen, rustig geregeld, maken het verschil tussen een tijdig ingediende melding en een te late. Het eerste is het contactpunt bij CERT-Bund, aangewezen en gevalideerd, met een benoemde vervanger: op de dag van het geval zoekt u niet wie de inloggegevens heeft.

In Duitsland loont het vroeg vast te stellen of uw onderneming al bij het BSI geregistreerd is voor andere verplichtingen: contactpunt en inloggegevens kunnen deels samenvallen, en dat rustig regelen is beter dan het op de dag van de zaak ontdekken.

En een noot over tijd: Duitsland zit op CET/CEST en de deelstaten kennen verschillende feestdagen. De vierentwintig uur van art. 14 kennen geen feestdagen, regionaal noch landelijk. Volgt uw piket een lokale kalender, controleer dan of het ook de dagen dekt waarop het kantoor in slechts één deelstaat dicht is.

Deze gids geeft onze lezing van de verordeningstekst en de openbare procedures weer; hij vormt geen juridisch advies, en de operationele details van het platform kunnen veranderen.