De vragen die men ons stelt vóór het tekenen

De meldingsverplichtingen van art. 14 gelden vanaf 11 september 2026. De overige fabrikantverplichtingen en de essentiële vereisten van bijlage I gelden vanaf 11 december 2027. Wie al producten op de markt heeft, valt vanaf de eerste datum onder de melding van misbruikte kwetsbaarheden, ongeacht wanneer het product in de handel is gebracht.

Twee categorieën: actief misbruikte kwetsbaarheden in het product en ernstige incidenten met gevolgen voor de beveiliging van het product. Kwetsbaarheden die slechts ontdekt of bekendgemaakt zijn zonder bewijs van misbruik hoeven niet gemeld te worden, evenmin storingen zonder beveiligingsrelevantie. Het verschil moet gedocumenteerd worden: een gemotiveerd „nee” telt als zorgvuldigheid, een stil „nee” niet.

Betrouwbare aanwijzingen dat iemand de kwetsbaarheid zonder toestemming in een systeem heeft misbruikt: logboeken van ongeautoriseerde uitvoering, een werkende exploit in omloop, bevestiging van een CSIRT of van een klant met bewijs. Theoretisch vermoeden volstaat niet; bevestiging van één echt geval wel.

Ja. Na de melding aan de autoriteiten informeert de fabrikant de gebruikers van het getroffen product zonder onnodige vertraging en vermeldt, waar passend, de corrigerende of mitigerende maatregelen die zij kunnen nemen. Het bericht moet bewaard worden: het is het bewijs dat de markt is geïnformeerd.

Ze moet aan de beheerder van de component worden gemeld, naast de verplichtingen jegens de autoriteiten als aan de misbruikvoorwaarde is voldaan. In de applicatie verschijnt de taak automatisch wanneer de SBOM van het product componenten van derden bevat, met het contact van de beheerder al beschikbaar.

Nee, en dat is bewust. Het indienen op het Single Reporting Platform van ENISA is een handeling van de fabrikant, met eigen EU Login-inloggegevens en eigen handtekening. De applicatie bereidt de definitieve tekst voor, vergrendelt hem met een tijdstempel, leidt u veld voor veld door het formulier en bewaart het ontvangstbewijs dat u uploadt. Geen tussenpersoon komt tussen u en de autoriteit.

Een halve dag. U registreert de producten, ook via CSV-import; u wijst de contacten aan met escalatieniveaus en waarschuwingsdrempels; u publiceert het openbare meldingsformulier; u maakt de EU Login-inloggegevens aan. De oefenmodus laat u de hele flow proberen zonder handelingen met rechtsgevolg.

De termijn loopt vanaf het moment van kennisname, dat in de triage met exacte datum en tijd wordt vastgelegd. Vanaf dat moment toont het dossier de resterende tijd, de balk van de verstreken tijd en de herinneringen op −12, −8, −4 en −1 uur, verzonden naar het contact van het bijbehorende niveau via Slack, Teams of e-mail.

Eén geordende PDF: dossier- en productfiche, de melding zoals ontvangen met bijlagen, het triagetraject met de toegepaste rechtsgrond, de opgestelde en ingediende communicatie, ontvangstbewijzen en bevestigingen, verwante verplichtingen (art. 14(8) en 13(6)) en de volledige chronologie met de integriteitscontrole-identificaties van elke regel.

Ja. Elke vennootschap heeft een eigen register, eigen producten en gebruikers; dezelfde gebruiker wisselt ertussen via de kiezer, en elke wissel wordt vastgelegd. Elke vennootschap telt haar eigen beheerde Producten, en de scheiding kan met een enterpriseovereenkomst ook contractueel worden gemaakt.

De kwalificatie blijft de uwe, maar ze blijft niet impliciet. Elke stap legt het antwoord, het toegepaste artikel, de auteur en het tijdstip vast: besluit u dat de verplichting niet ontstaat, dan is de redenering geschreven en verdedigbaar. Het is het tegendeel van stilte, die bij inspectie niet uit te leggen valt.

Nee. De SBOM-integraties en de API's zijn optioneel. Wie al Dependency-Track, Syft, Snyk, Black Duck, FOSSA, JFrog Xray, Mend of de dependency-graph van GitHub gebruikt, koppelt ze en ziet componenten van derden in de dossiers verschijnen; wie ze niet gebruikt, werkt met het productregister, met de hand of via CSV gevuld.

Ja, met een te plakken iframe: configureerbare velden (product en versie, bijlagen, PGP-sleutel, anonieme melding), bewerkbare inleidende tekst, een eigen e-mailalias en een white-label uiterlijk. Elke inzending opent een dossier met tijdstempel en geeft de melder een volgnummer terug.

Ja: endpoints voor dossiers, triage, meldingen en het register, plus met HMAC-SHA256 ondertekende webhooks voor gebeurtenissen (dossier aangemaakt, triage afgerond, termijn nadert, melding ingediend). Elke sleutel heeft kiesbare rechten en kan met 24 uur overlap worden geroteerd.

Rollen (beheerder, beoordelaar, alleen facturering, alleen lezen), toegangsverzoeken met goedkeuring van de beheerder, verificatie in twee stappen met herstelcodes, beheer van actieve sessies en een logboek van elke rechtenwijziging.

In de Europese Unie. Het activiteitenregister wordt vijf jaar bewaard, in lijn met de noodzaak zorgvuldigheid aan te tonen. De verwerking wordt geregeld door een overeenkomst op grond van art. 28 AVG, met een openbare lijst van subverwerkers.

Ja. Elke regel draagt een identificatie berekend uit tijdstempel, inhoud en verwijzingen: één teken wijzigen levert een andere identificatie op, zodat elke wijziging bij vergelijking zichtbaar is. Het register is naar CSV te exporteren en wordt integraal in het bewijsdossier weergegeven.

Alleen om het beschrijvende concept van het voorval voor te stellen op basis van de ontvangen melding, en de tekst moet altijd door een persoon worden gevalideerd. De kwalificatie, de termijnberekening en de indiening worden niet aan generatieve modellen toevertrouwd. De details staan op de pagina over het gebruik van AI.

Inbreuken op de verplichtingen van de artikelen 13 en 14 van de Cyber Resilience Act kunnen leiden tot boetes tot 15 miljoen euro of 2,5 % van de totale wereldwijde jaaromzet, afhankelijk van de inbreuk, de partij en de in de verordening genoemde omstandigheden. Daar komen maatregelen tot terugtrekking van de markt bij en de commerciële schade jegens klanten die conformiteit in aanbestedingen eisen.

Maandelijks of jaarlijks abonnement met twee maanden inbegrepen, kaartbetaling via Stripe; op verzoek overschrijving, factuur op 30 dagen, SEPA-incasso of bestellingen per overheidsbesluit. Geen meerjarige verbintenis: opzegging gaat in aan het einde van de betaalde periode en u exporteert het register en de dossiers.

Ja, met een ander gebruik: zij volgen de ontvangen meldingen, sturen ze door naar de fabrikant en documenteren dat ze dat hebben gedaan. De prijs volgt de beheerde Producten die u opgeeft, dus een kleine catalogus kost weinig; verkoopt u producten van derden onder eigen merk, dan gelden de fabrikantverplichtingen.

We voeren begeleide oefeningen uit op uw proces en ondersteunen het team bij de eerste echte meldingen. We zijn geen advocatenkantoor en geven geen juridisch advies: over de kwalificatie van grensgevallen werken we samen met uw adviseur.