Nieuwe EU-meldplicht kan ook crypto-wallets raken: 24 uur voor eerste melding
Een actief uitgebuite kwetsbaarheid kan fabrikanten vanaf vandaag een klok van 24 uur opleveren. De Cyber Resilience Act activeert op 11 september zijn nieuwe meldplicht, terwijl in Nederland het NCSC de nationale meldroute vormt.
Dat kan ook makers van wallets, beveiligingssoftware en andere cryptogerelateerde digitale producten raken. Niet iedere crypto-app valt automatisch onder dezelfde regels, maar hardware en software worden door de Europese verordening breed behandeld.
Eerste melding moet binnen 24 uur binnen zijn
De meeste eisen uit de Cyber Resilience Act gelden pas vanaf 11 december 2027.
De meldplicht loopt daar ruim een jaar op vooruit.
Vanaf vandaag moeten fabrikanten een actief uitgebuite kwetsbaarheid of een ernstig beveiligingsincident zonder onnodige vertraging melden. De eerste waarschuwing moet uiterlijk 24 uur nadat de fabrikant ervan kennis krijgt worden ingediend.
Het NCSC bevestigt dat Nederlandse meldingen vanaf 11 september via het nationale meldpunt lopen.
Daarmee ontstaat een harde termijn waar bedrijven vooraf processen voor moeten hebben ingericht.
Een beveiligingsteam kan niet eerst wekenlang intern onderzoeken en pas daarna besluiten of de autoriteiten worden geïnformeerd.
Na 24 uur volgen nog twee stappen
Die eerste waarschuwing is niet het volledige rapport.
De Cyber Resilience Act werkt met meerdere fases.
Binnen 72 uur moet meer informatie volgen over de kwetsbaarheid of het incident. Daarbij gaat het bijvoorbeeld om de aard van het probleem, getroffen producten en maatregelen die al zijn genomen.
Bij een actief uitgebuite kwetsbaarheid volgt daarna uiterlijk veertien dagen nadat een oplossing of beperkende maatregel beschikbaar is een eindrapport.
Voor ernstige beveiligingsincidenten geldt een andere eindtermijn: uiterlijk één maand na de 72-uursmelding.
Dat verschil is belangrijk.
Een kwetsbaarheid en een incident kunnen aan elkaar gekoppeld zijn, maar de verordening behandelt hun rapportage niet volledig hetzelfde.
ENISA bouwt één Europees meldpunt
De technische meldroute loopt via het Single Reporting Platform van ENISA.
Het Europese cyberagentschap heeft dat platform vandaag operationeel gemaakt. Fabrikanten hoeven daarmee niet voor dezelfde zaak afzonderlijk bij allerlei Europese instanties hetzelfde rapport in te dienen.
ENISA legt uit dat één melding via het platform vervolgens beschikbaar wordt voor de relevante nationale cyberautoriteiten.
Voor Nederland is het NCSC aangewezen als betrokken nationale partij.
De opzet moet vooral belangrijk worden wanneer één softwarefout gebruikers in meerdere EU-landen tegelijk raakt.
Een kwetsbare walletapp stopt immers niet bij de Nederlandse grens.
Niet alleen slimme apparaten vallen onder de regels
De naam Cyber Resilience Act doet gemakkelijk denken aan routers, camera's en andere verbonden apparaten.
De reikwijdte is breder.
De Europese Commissie omschrijft een product met digitale elementen als hardware of software, inclusief afzonderlijk op de markt gebrachte componenten.
De Nederlandse Rijksinspectie Digitale Infrastructuur noemt naast apparaten ook mobiele apps, besturingssystemen, videogames en softwarelibraries.
Daar komt crypto in beeld.
Een hardwarewallet is een digitaal product. Een commerciële mobiele walletapp kan dat eveneens zijn. Hetzelfde kan gelden voor beveiligingssoftware of commerciële componenten waarop zulke producten draaien.
Maar het etiket ‘crypto’ bepaalt niet of de CRA geldt.
De technische functie, aanbieder en manier waarop het product op de Europese markt komt, doen dat.
Gratis opensourcecode krijgt een aparte behandeling
Voor crypto is nog een uitzondering belangrijk.
Veel wallet-, node- en blockchain-software is opensource.
De CRA trekt daar niet simpelweg een streep doorheen.
De Europese Commissie stelt dat gratis opensourcesoftware die niet commercieel op de markt wordt gebracht in beginsel anders wordt behandeld. Een individuele ontwikkelaar die vrijwillig code bijdraagt aan software waarvoor hij niet verantwoordelijk is, wordt daardoor niet automatisch fabrikant onder de CRA.
Voor organisaties die structureel opensourceprojecten ondersteunen bestaat bovendien een aparte categorie: de open-source software steward.
Voor die partijen gelden eigen regels.
Hun CRA-meldplicht begint volgens ENISA pas op 11 december 2027.
Dat maakt uitspraken als “alle cryptosoftware moet vanaf vandaag binnen 24 uur melden” te breed.
Waarom walletmakers hier wél aandacht aan moeten geven
Waar de CRA van toepassing is, kan de impact voor walletmakers groot zijn.
Een kwetsbaarheid in firmware of een mobiele wallet kan rechtstreeks raken aan toegang tot digitale bezittingen.
Denk aan een fout waardoor private informatie kan uitlekken, transacties verkeerd worden weergegeven of een aanvaller rechten krijgt die hij niet hoort te hebben.
De CRA voorkomt zo'n fout niet.
De verordening probeert wel af te dwingen dat fabrikanten kwetsbaarheden structureel behandelen en bij actief misbruik sneller rapporteren.
Voor gebruikers kan daardoor eerder duidelijk worden dat een product een ernstig beveiligingsprobleem heeft.
Een gevonden bug is niet automatisch meldplichtig
Ook hier geldt een grens.
De 24-uursmeldplicht betekent niet dat iedere normale softwarebug meteen naar ENISA moet.
Voor kwetsbaarheden gaat het specifiek om actief uitgebuite problemen.
De verordening spreekt van betrouwbaar bewijs dat een kwaadwillende partij misbruik heeft gemaakt van een kwetsbaarheid.
Daarnaast geldt de meldplicht voor ernstige incidenten die invloed hebben op de beveiliging van het digitale product.
Een onderzoeker die tijdens een normale audit een fout ontdekt die nog nergens wordt misbruikt, bevindt zich dus niet automatisch in dezelfde rapportagecategorie.
Dat onderscheid voorkomt dat het meldsysteem wordt overspoeld met iedere theoretische softwarefout.
Volledige producteisen volgen pas eind 2027
De grotere verandering komt op 11 december 2027.
Vanaf die datum worden de meeste andere CRA-eisen van toepassing.
Fabrikanten moeten dan onder meer aantonen dat cybersecurity tijdens ontwerp, ontwikkeling en onderhoud is meegenomen. Ook regels rond kwetsbaarheden, beveiligingsupdates en conformiteitsbeoordeling gaan dan breed gelden.
De ondersteuning duurt in beginsel minimaal vijf jaar.
Daar zit wel een uitzondering bij. Wanneer een digitaal product redelijkerwijs korter dan vijf jaar wordt gebruikt, mag de ondersteuningsperiode volgens de Europese verordening aansluiten bij die kortere levensduur.
Bij producten die veel langer gebruikt worden, kan juist een langere periode nodig zijn.
Een hardwarewallet die jaren in een kluis ligt vraagt dus een andere rekensom dan een tijdelijke softwaredienst.
Ook verkopers krijgen later meer verantwoordelijkheid
De CRA legt de zwaarste last bij fabrikanten, maar daar blijft het niet bij.
Importeurs moeten controleren of producten aan de Europese eisen voldoen. Wie een product onder een eigen merk verkoopt, kan zelfs als fabrikant worden behandeld.
Distributeurs krijgen eveneens controleplichten.
De RDI noemt onder meer de aanwezigheid van CE-markering. Als een distributeur reden heeft om te denken dat een product niet aan de regels voldoet, mag het niet zomaar verder op de markt worden gebracht.
Dat kan uiteindelijk ook Europese verkopers van hardwarewallets raken.
Een fabrikant buiten Europa ontloopt de regels dus niet automatisch doordat het apparaat via een Nederlandse of Belgische verkoper bij de consument terechtkomt.
CRA en MiCA pakken twee verschillende problemen aan
Voor crypto ontstaat daarmee een tweede Europese regelroute naast MiCA.
MiCA gaat onder meer over cryptoactiva, uitgevers en aanbieders van cryptodiensten.
De CRA kijkt naar de cyberveiligheid van digitale producten.
Een bedrijf kan daardoor met beide kaders te maken krijgen, maar om verschillende redenen.
Een aanbieder kan bijvoorbeeld cryptodiensten leveren waarvoor MiCA relevant is en tegelijk software aanbieden die onder de CRA valt.
Dat maakt Europa's aanpak breder dan toezicht op tokens en exchanges alleen.
Ook de software waarmee gebruikers daadwerkelijk bij hun bezittingen komen, krijgt eigen eisen.
Vanaf vandaag begint vooral de meldklok
Voor cryptogebruikers verandert op 11 september niet ineens iedere wallet.
De belangrijkste directe verandering zit bij de makers.
Wanneer een fabrikant vanaf vandaag ontdekt dat een kwetsbaarheid in een onder de CRA vallend product actief wordt uitgebuit, begint de tijd te lopen.
24 uur voor de eerste waarschuwing.
72 uur voor verdere informatie.
Daarna volgt het eindrapport.
De rest van het Europese cyberregime voor deze producten komt pas eind 2027.
Voor walletmakers en beveiligingsbedrijven is vandaag daardoor geen eindpunt. Het is het moment waarop een ernstige kwetsbaarheid niet meer alleen een technisch probleem is, maar ook een Europese meldzaak.
Stop met te veel betalen voor je crypto. Bij de Amsterdamse exchange Finst handel je tegen de laagste tarieven van Nederland, zonder verborgen kosten.
👀 Bekijk Finst nu ›Let op: Beleggen in crypto brengt risico’s met zich mee. Handel alleen met geld dat u kunt missen.
Ga verder met lezen
Dit vind je misschien ook leuk
Laat mensen jouw mening weten
Lees ook
Populair Nieuws
Loading
