CRA-meldtermijnen en meldingsopsteller

Artikel 14, lid 5, noemt een incident ernstig wanneer het het vermogen van het product om de beschikbaarheid, authenticiteit, integriteit of vertrouwelijkheid van gevoelige of belangrijke gegevens of functies te beschermen negatief beïnvloedt of kan beïnvloeden — of wanneer het ertoe heeft geleid of kan leiden dat kwaadaardige code in het product of in de netwerk- en informatiesystemen van een gebruiker wordt geïntroduceerd of uitgevoerd.

Dat is uw oordeel. Dit hulpmiddel zet de toets uiteen en beantwoordt die niet, want een fout antwoord richting „niet ernstig” onderdrukt een melding waarvan de 24-uursklok al loopt.

Dit stelt inhoud op. Het dient niets in. Artikel 14, lid 7, vereist dat meldingen via het centrale meldingsplatform van artikel 16 gaan, naar het elektronische meldpunt van het als coördinator aangewezen CSIRT in de lidstaat van uw hoofdvestiging, en tegelijk toegankelijk zijn voor ENISA — en welk CSIRT dat is hangt af van feiten die alleen u kent. Artikel 14, lid 6, laat dat CSIRT u om een tussentijds verslag vragen, dus drie fasen zijn de ondergrens en niet de bovengrens. Artikel 14, lid 8, is een afzonderlijke plicht om getroffen gebruikers te informeren. Artikel 14, lid 10, laat de Commissie het formaat bij uitvoeringshandeling vaststellen; geen enkele is hier verwerkt, dus dit volgt de bewoordingen van het artikel zelf. Uitsluitend informatief, geen juridisch advies.