EU zet 24-uursklok aan: walletmakers krijgen nieuwe beveiligingsplicht
Vierentwintig uur. Zo lang heeft een fabrikant sinds 11 september voor de eerste melding wanneer hij ontdekt dat een kwetsbaarheid actief wordt misbruikt.
De nieuwe Europese Cyber Resilience Act kan ook commerciële cryptowallets raken. Daarmee wordt beveiliging niet alleen een technische belofte, maar steeds meer een proces dat aantoonbaar moet werken wanneer een aanval al loopt.
Niet iedere bug start de Europese klok
De nieuwe meldplicht komt uit artikel 14 van de Cyber Resilience Act.
Die Europese verordening trad eind 2024 in werking. De meeste eisen gelden pas vanaf 11 december 2027, maar de meldregels zijn bewust naar voren gehaald.
Sinds 11 september 2026 moeten fabrikanten bepaalde beveiligingsproblemen via het nieuwe meldplatform van ENISA doorgeven.
Een theoretische fout is daarvoor niet automatisch genoeg.
De CRA spreekt bij kwetsbaarheden over actieve uitbuiting. Daarvoor moet betrouwbaar bewijs bestaan dat een kwaadwillende partij de fout zonder toestemming daadwerkelijk in een systeem heeft misbruikt.
Een onderzoeker die tijdens een audit een nieuwe kwetsbaarheid ontdekt, zet de verplichte 24-uursklok dus niet per definitie aan.
Dat onderscheid telt voor walletmakers. Zij hoeven niet iedere gevonden programmeerfout als lopende aanval bij Europa te melden.
Eerst 24 uur, daarna 72 uur
Wanneer de drempel wel wordt bereikt, begint een trapsgewijs proces.
De Europese Commissie beschrijft drie momenten. Binnen 24 uur moet een eerste waarschuwing worden ingediend.
Binnen 72 uur volgt meer informatie over het betrokken product, de aard van de aanval en mogelijke maatregelen voor gebruikers. Bij een actief uitgebuite kwetsbaarheid moet uiterlijk veertien dagen nadat een oplossing beschikbaar is een eindrapport volgen.
Bij een ernstig beveiligingsincident geldt na de 72-uursmelding een eindtermijn van één maand.
Europa verlangt dus niet dat een walletmaker binnen één dag de volledige aanval heeft gereconstrueerd.
Het bedrijf moet binnen die dag wél herkennen dat de meldgrens is bereikt en weten wie vervolgens handelt.
Walletsoftware kan onder de CRA vallen
De CRA bevat geen aparte categorie voor cryptowallets.
De wet kijkt naar zogenoemde producten met digitale elementen. Daar vallen hardware en software onder die op de Europese markt worden aangeboden en aan de voorwaarden uit de verordening voldoen.
Het Nederlandse NCSC noemt onder meer mobiele apps en bedrijfssoftware als voorbeelden. De omvang van het bedrijf verandert volgens het NCSC niet of iemand als fabrikant onder de meldplicht kan vallen.
Daarmee kunnen commerciële walletapps en hardwarewallets binnen het bereik komen.
Niet omdat ze crypto bewaren, maar omdat het hardware- of softwareproducten zijn die digitaal functioneren en commercieel in Europa worden aangeboden.
Voor een wallet is de inzet alleen uitzonderlijk hoog.
Een softwarefout kan bijvoorbeeld ondertekening beïnvloeden, gevoelige informatie blootleggen of een aanvaller helpen toegang te krijgen tot functies waarmee digitaal vermogen wordt beheerd.
Self-custody stopt niet bij private keys
Crypto heeft self-custody jarenlang samengevat met één bekende regel: not your keys, not your coins.
Dat blijft technisch waar.
Maar bezit van de private key is slechts één deel van de beveiliging. Gebruikers vertrouwen daarnaast op firmware, walletapps, updates, libraries en apparaten die transacties aanmaken en tonen.
Bij Bitcoin of Ethereum kan de onderliggende blockchain normaal functioneren terwijl een fout in walletsoftware toch rechtstreeks gebruikers raakt.
En een verkeerde cryptotransactie is doorgaans niet simpelweg door een bank terug te draaien.
Daarom raakt de CRA een gevoelig punt: self-custody verplaatst verantwoordelijkheid naar de gebruiker, maar die gebruiker blijft vaak afhankelijk van software die door een bedrijf wordt gebouwd en onderhouden.
Open source krijgt andere behandeling
Voor crypto is de open-source-uitzondering minstens zo belangrijk.
Veel walletsoftware en blockchaincode wordt publiek ontwikkeld. Dat betekent echter niet automatisch dat alle open source buiten de CRA valt.
De Europese Commissie maakt onderscheid tussen software die commercieel op de markt wordt gebracht en niet-commerciële open-sourceontwikkeling.
Een fabrikant die vrije of open-sourcesoftware commercieel aanbiedt, kan als fabrikant onder de normale regels vallen.
Daarnaast bestaat een aparte categorie voor open-source software stewards. Dat zijn rechtspersonen die langdurig een belangrijke rol spelen bij software die voor commerciële activiteiten wordt gebruikt, zonder het product zelf op dezelfde manier op de markt te brengen.
Voor deze stewards gaat de specifieke meldplicht pas op 11 december 2027 in.
Dat onderscheid voorkomt dat iedere vrijwillige ontwikkelaar automatisch dezelfde verplichtingen krijgt als een commerciële walletfabrikant.
Een fout van een leverancier kan jouw probleem worden
Walletmakers krijgen nog een lastige vraag: waar kwam de fout vandaan?
Moderne software bestaat uit veel externe componenten. Een kwetsbaarheid hoeft dus niet door het eigen ontwikkelteam te zijn geschreven.
Dat ontslaat de fabrikant van het eindproduct niet automatisch van zijn meldplicht.
Wanneer een actief misbruikte kwetsbaarheid uit een geïntegreerd onderdeel afkomstig is en binnen het eigen product kan worden uitgebuit, kan ook de fabrikant van het eindproduct moeten melden. Als het losse component zelf commercieel op de markt is gebracht, kan daarnaast de maker daarvan verplichtingen hebben.
Voor walletbedrijven krijgt de softwareketen daarmee meer gewicht.
Niet alleen de eigen code telt. Ook gebruikte libraries, firmwareonderdelen en externe modules moeten snel genoeg kunnen worden onderzocht zodra ergens misbruik verschijnt.
Beveiliging wordt een organisatorische test
Daar ontstaat het mogelijke schaalvoordeel.
Een grote walletmaker kan permanent beveiligingspersoneel, juristen en medewerkers voor incidentrespons beschikbaar houden. Procedures kunnen vooraf worden getest en verantwoordelijkheden kunnen worden verdeeld.
Een kleiner team kan technisch minstens zo goed programmeren.
Maar wanneer op vrijdagavond een actieve aanval wordt ontdekt, moet er plotseling veel tegelijk gebeuren.
Is de kwetsbaarheid werkelijk misbruikt? Welke versies zijn geraakt? Welke gebruikers lopen gevaar? Is een tijdelijke oplossing beschikbaar? Welke informatie kan veilig worden gedeeld?
En wanneer begon precies de 24-uursperiode?
De CRA koppelt die termijn aan het moment waarop de fabrikant zich bewust wordt van het probleem.
Wie dan nog moet bepalen wie de beslissing neemt, verliest kostbare uren.
Kleine bedrijven krijgen wel enige bescherming
De Europese regels houden gedeeltelijk rekening met dat verschil.
Micro- en kleine ondernemingen blijven onder de meldplicht vallen, maar de CRA sluit voor hen administratieve boetes uit die uitsluitend voortkomen uit het missen van de eerste 24-uursdeadline.
Dat is een belangrijke nuance.
De EU zegt dus niet simpelweg: een startup moet dezelfde financiële slagkracht hebben als een multinational.
Tegelijk blijft de praktische opdracht bestaan. Een walletbedrijf wil tijdens een echte aanval niet pas na twee dagen ontdekken welke klanten gevaar liepen.
Daarom kan professionele incidentrespons alsnog een concurrentievoordeel worden, ook wanneer een gemiste deadline niet direct tot dezelfde boete leidt.
Nederland en België hebben eigen coördinator
Meldingen lopen via het Single Reporting Platform dat ENISA op 11 september heeft geopend.
Bedrijven melden daar één keer. Het systeem zorgt vervolgens dat de relevante Europese partijen toegang krijgen tot de benodigde informatie.
Voor Nederland is het Nationaal Cyber Security Centrum de aangewezen coördinator.
Voor België vermeldt ENISA het Centre for Cybersecurity Belgium.
Dat maakt de regel direct relevant voor commerciële walletbedrijven in de Benelux.
Ook oude wallets vallen niet automatisch buiten beeld
Opvallend is dat de meldplicht niet alleen geldt voor nieuwe producten die vanaf eind 2027 verschijnen.
De Europese Commissie stelt dat artikel 14 ook geldt voor producten die al vóór 11 december 2027 op de EU-markt zijn gebracht, zolang ze verder binnen het bereik van de CRA vallen.
Voor hardwarewallets kan dat zwaar wegen.
Zo'n apparaat kan jaren in een kluis liggen voordat de eigenaar het weer aansluit. Oude firmware en historische productversies verdwijnen daardoor niet vanzelf uit beeld.
Een fabrikant kan dan moeten reageren op software waarvoor de oorspronkelijke ontwikkelomgeving nauwelijks nog bestaat.
De Commissie erkent dat oudere producten zulke praktische problemen kunnen opleveren. De meldregel blijft desondanks gelden.
De 24-uursmelding wordt geen openbare exploitgids
Een terechte zorg is dat snelle meldingen aanvallers juist kunnen helpen.
Als technische details over een walletfout direct openbaar worden, kunnen nieuwe daders toeslaan voordat gebruikers hun software hebben bijgewerkt.
De CRA verlangt dat niet.
Het meldplatform is gebouwd om vertrouwelijke informatie te beschermen. Wanneer nog geen oplossing bestaat, schrijft de verordening bovendien strikte beveiligingsprocedures en delen op basis van noodzaak voor.
De eerste melding betekent dus niet dat een fabrikant binnen 24 uur publiek moet uitleggen hoe de aanval werkt.
Het doel is dat de bevoegde partijen weten dat een serieus probleem loopt en dat de fabrikant formeel met de respons is begonnen.
Europa reguleert nu ook de software rond crypto
Daarmee raakt de CRA een andere laag dan MiCA.
MiCA richt zich vooral op cryptoactiva, uitgevers en aanbieders van cryptodiensten. De CRA legt eisen op aan digitale producten zelf.
Voor een commerciële self-custodywallet kan juist dat verschil belangrijk worden.
Een bedrijf kan buiten bepaalde financiële rollen vallen en toch verplichtingen krijgen vanwege de software of hardware die het verkoopt.
Europa maakt self-custody daarmee niet centraal beheerd.
Het maakt de organisatie achter commerciële walletsoftware wel beter aanspreekbaar wanneer die software onder aanval komt.
De winnaar hoeft daardoor niet alleen de wallet met de beste cryptografie te zijn. Ook het bedrijf dat een aanval snel herkent, gebruikers bereikt en binnen uren weet wat het moet doen, krijgt een meetbaar voordeel.
Sinds 11 september begint die test niet meer alleen bij de gebruiker die zijn private key bewaart.
Voor veel commerciële walletmakers loopt er nu ook een Europese klok.
Stop met te veel betalen voor je crypto. Bij de Amsterdamse exchange Finst handel je tegen de laagste tarieven van Nederland, zonder verborgen kosten.
👀 Bekijk Finst nu ›Let op: Beleggen in crypto brengt risico’s met zich mee. Handel alleen met geld dat u kunt missen.
Ga verder met lezen
Dit vind je misschien ook leuk
Laat mensen jouw mening weten
Lees ook
Populair Nieuws
Loading
