Ernstig incident met gevolgen voor de beveiliging: wanneer art. 14 geldt

1. Wat een ernstig incident is volgens de verordening

Geen „ernstig probleem”, maar een gedefinieerde categorie: een incident dat het vermogen van het product met digitale elementen om de beschikbaarheid, authenticiteit, integriteit of vertrouwelijkheid van gegevens en functies te beschermen negatief beïnvloedt, of dat heeft geleid tot de uitvoering van schadelijke code. Twee alternatieve voorwaarden: één volstaat.

Het praktische verschil met de misbruikte kwetsbaarheid zit in het vertrekpunt. Daar begint u bij een productfout die iemand heeft gebruikt. Hier begint u bij een gebeurtenis — onbevoegde toegang tot de update-infrastructuur, een gecompromitteerde ondertekeningssleutel, een schadelijk pakket in de distributieketen — die de beveiligingseigenschappen van het product heeft aangetast. Een fout hoeft er nooit te zijn geweest.

2. Twee ketens, niet één

Art. 14 houdt beide ketens gescheiden, en wie ze door elkaar haalt, mist termijnen. Twee feiten activeren de plicht:

• een actief misbruikte kwetsbaarheid van het product, dus met bewijs dat iemand die zonder toestemming heeft gebruikt;
• een ernstig incident met gevolgen voor de beveiliging van het product, ook zonder misbruikte kwetsbaarheid.

De eerste twee termijnen zijn identiek — 24 en 72 uur —, de laatste niet, en de inhoud van elke melding evenmin. Het onderscheid tussen een gemelde en een misbruikte kwetsbaarheid helpt niet bij het kwalificeren van een incident: het zijn twee verschillende assen.

3. Vanaf wanneer de uren lopen

Vanaf het moment van kennisname. Niet vanaf het openen van de zaak, niet vanaf de bijeenkomst van het crisisteam, niet vanaf het moment waarop u de omvang doorhad. Vanaf het ogenblik waarop de fabrikant kennis krijgt van het incident: de melding op het openbare adres, het monitoringalarm dat iemand las, het telefoontje van de klant.

Het is het ogenblik dat u aan een autoriteit moet kunnen aanwijzen, met bewijs van wanneer u het hebt vastgelegd. Het laat vastleggen verlengt de termijnen niet: het verschuift ze alleen op papier — en juist dat papier wordt bekeken.

4. De drie meldingen, en de termijn die verandert

De keten is die van art. 14, met één verschil bij het eindverslag:

• vroegtijdige waarschuwing binnen 24 uur na kennisname: u verklaart dat er een ernstig incident is, met wat u weet;
• bijwerkingsmelding binnen 72 uur: eerste beoordeling, ernst, gevolgen en de genomen corrigerende of mitigerende maatregelen;
• eindverslag binnen één maand na de bijwerkingsmelding: beschrijving van het incident, ernst en gevolgen, oorzaken, toegepaste maatregelen.

Hier lopen de twee ketens uiteen. Bij de misbruikte kwetsbaarheid is het eindverslag verankerd aan de datum waarop de corrigerende maatregel beschikbaar komt, plus veertien dagen. Bij het ernstige incident is het verankerd aan de bijwerkingsmelding, plus één maand. Wie een incident volgens de kwetsbaarhedenkalender behandelt, mist de termijn met weken.

5. Bij wie u indient

Bij de twee ontvangers uit de verordening: het door de lidstaat aangewezen CSIRT en ENISA. Indienen gaat via het centraal meldingsplatform van art. 16, met EU Login-inloggegevens: administratieve stappen die u vooraf regelt, niet binnen de vierentwintig uur.

De termen uit de verordening die hier voorkomen — ernstig incident, moment van kennisname, corrigerende maatregel, centraal meldingsplatform — staan in de woordenlijst, elk met het bijbehorende artikel.

6. Wat u vooraf klaarlegt

Een ernstig incident wordt onder druk gekwalificeerd, en die kwalificatie legt u vast terwijl u haar maakt, niet achteraf. Vier dingen maken het verschil:

• één kanaal waar externe meldingen binnenkomen, met een tijdstempel op elke inzending;
• een geschreven criterium om een storing te onderscheiden van een incident met beveiligingsgevolgen;
• het contactpunt bij het aangewezen CSIRT en de EU Login-inloggegevens, al gevalideerd;
• een besluitenregister: ook een gemotiveerd „nee, dit is geen ernstig incident” telt als zorgvuldigheid, terwijl een stil „nee” niets waard is.

Geen van deze vier dingen bouwt u op de dag van de zaak.

Deze pagina beschrijft de verordening in algemene termen; zij is geen juridisch advies en geen beoordeling van uw concrete geval. Het kwalificeren van een gebeurtenis en de termijnen die daaruit volgen blijven de verantwoordelijkheid van de fabrikant.