Vanaf 11 september geldt de eerste verplichting uit de Cyberweerbaarheidsverordening: fabrikanten van producten met digitale elementen moeten actief uitgebuite kwetsbaarheden en ernstige incidenten melden. Ook moeten zij getroffen gebruikers informeren. Dat versterkt de informatiepositie van decentrale overheden, die deze producten dagelijks inkopen en gebruiken.
Wat regelt de verordening?
De Cyberweerbaarheidsverordening (Verordening (EU) 2024/2847, ook bekend als de Cyber Resilience Act) stelt beveiligingseisen aan vrijwel alle hard- en software die in de EU op de markt komt, van kantoorsoftware tot slimme sensoren. Fabrikanten moeten hun producten veilig ontwerpen en gedurende de verwachte levensduur beveiligingsupdates leveren. Die hoofdverplichtingen gelden vanaf december 2027. De meldplicht gaat als eerste onderdeel in.
Wat houdt de meldplicht in?
Een fabrikant die een actief uitgebuite kwetsbaarheid of een ernstig incident in zijn product ontdekt, meldt dit direct aan het aangewezen nationale CSIRT en aan ENISA, het EU-agentschap voor cyberbeveiliging (artikel 14 van de Verordening). Daarbij gelden vaste termijnen:
- een vroegtijdige waarschuwing binnen 24 uur na kennisname;
- een volledige melding binnen 72 uur;
- een eindverslag binnen 14 dagen (kwetsbaarheid) of 1 maand (incident).
In Nederland loopt de melding via het meldsysteem bij het Nationaal Cyber Security Centrum. De Rijksinspectie Digitale Infrastructuur krijgt via de Uitvoeringswet verordening cyberweerbaarheid een rol in het toezicht.
Wat merken decentrale overheden hiervan?
Gemeenten, provincies en waterschappen zijn zelden fabrikant, maar wel grootverbruiker van producten met digitale elementen. De meldplicht raakt hen op drie punten. Ten eerste moeten fabrikanten getroffen gebruikers onverwijld informeren over kwetsbaarheden en over maatregelen die het risico beperken. Uw organisatie hoort dus eerder van een leverancier dat er iets mis is. Ten tweede sluit die informatie aan op de eigen zorg- en meldplicht die decentrale overheden als essentiële entiteit hebben onder de Cyberbeveiligingswet, de Nederlandse uitvoering van de NIS2-richtlijn. Een melding van een fabrikant kan aanleiding zijn om zelf maatregelen te treffen of een eigen melding te doen. Ten derde biedt de verordening houvast bij inkoop: contractuele afspraken over updates en kwetsbaarhedenbeheer krijgen een wettelijke ondergrond.
Vooruitblik
De meldplicht is de opmaat naar het volledige stelsel van de Cyberweerbaarheidsverordening, dat vanaf december 2027 geldt. Decentrale overheden doen er goed aan de verordening nu al mee te nemen in inkoopvoorwaarden en contractmanagement voor ICT, en intern af te spreken hoe zij omgaan met kwetsbaarheidsinformatie van leveranciers. Meer over de verplichtingen voor decentrale overheden zelf leest u op de onderwerppagina Cyberweerbaarheidsverordening van Kenniscentrum Europa Decentraal.
Bron
Cyber Resilience Act, Europese Commissie
Cyber Resilience Act (CRA), Rijksinspectie Digitale Infrastructuur
Cyberweerbaarheidsverordening, Kenniscentrum Europa Decentraal
NIS2-richtlijn, Kenniscentrum Europa Decentraal