Fabrikanten van commerciële crypto-wallets die onder de wet vallen, moeten op grond van de Cyber Resilience Act van de Europese Unie binnen 24 uur nadat zij zich ervan bewust zijn geworden dat een kwetsbaarheid in hun product actief wordt uitgebuit, een eerste waarschuwing indienen. Dit is een meldingsplicht en geen verplichting om het probleem binnen één dag te herstellen. De regel geldt alleen voor wallets die binnen het commerciële toepassingsgebied van de wet vallen.

De maatregel maakt deel uit van de EU-wet inzake cyberweerbaarheid, formeel Verordening (EU) 2024/2847. De verordening stelt cyberbeveiligingsvereisten vast voor producten met digitale elementen die verbinding maken met apparaten of netwerken. De Europese Commissie verstrekt meer informatie in haar richtsnoeren voor meldingen onder de Cyber Resilience Act en samenvatting van de CRA.

Voor fabrikanten van crypto-wallets is de meest directe verandering de korte meldtermijn, die begint zodra de fabrikant weet dat er een aanval gaande is.

Wat start de meldtermijn van 24 uur?

De termijn begint wanneer een fabrikant kennis krijgt van een actief uitgebuite kwetsbaarheid of een ernstig incident dat zijn product raakt. Vanaf dat moment heeft de fabrikant 24 uur om een eerste waarschuwing in te dienen.

De aanleiding is nauw omschreven. Het gaat om kwetsbaarheden die aanvallers daadwerkelijk uitbuiten, en niet om elk gebrek dat tijdens reguliere ontwikkeling of tests wordt vastgesteld. Juridische experts van Freshfields hebben uitgelegd dat voor actieve uitbuiting betrouwbaar bewijs nodig is dat een kwaadwillende actor de kwetsbaarheid zonder toestemming van de systeemeigenaar uitbuit.

De periode van 24 uur is daarom een verplichting om toezichthouders te waarschuwen, niet een vereiste om al een patch gereed te hebben. Een walletfabrikant kan een lopende aanval melden terwijl het incident verder wordt onderzocht en een corrigerende maatregel wordt ontwikkeld.

De eerste waarschuwing is slechts de eerste meldingsfase. Binnen 72 uur nadat de fabrikant kennis heeft gekregen van het incident, moet een volledige melding worden ingediend. Dit staat los van de eerste waarschuwing binnen 24 uur.

Voor een actief uitgebuite kwetsbaarheid moet het eindrapport uiterlijk 14 dagen nadat een corrigerende maatregel beschikbaar is geworden, worden ingediend. Voor een ernstig incident moet het eindrapport binnen één maand na de melding binnen 72 uur worden ingediend.

Deze meldingsplichten zijn op 11 september 2026 ingegaan. De bredere verplichtingen uit de Cyber Resilience Act gaan vanaf 11 december 2027 gelden. De verordening is op 10 december 2024 in werking getreden.

Welke fabrikanten van crypto-wallets vallen eronder?

De regel geldt voor producten met digitale elementen die op de EU-markt beschikbaar worden gesteld. Daaronder vallen producten waarvan het beoogde of redelijkerwijs te voorziene gebruik een dataverbinding met een apparaat of netwerk omvat. Dat omschrijft de meeste software- en hardwarewallets voor crypto.

De term “commercieel” is van belang. Een product op de markt beschikbaar stellen betekent dat het wordt geleverd in het kader van een commerciële activiteit, ongeacht of ervoor wordt betaald of dat het gratis wordt verstrekt. Software die kosteloos wordt verspreid, kan dus toch binnen het toepassingsgebied vallen als deze als onderdeel van een commerciële activiteit wordt geleverd.

Producten die niet in het kader van een commerciële activiteit worden geleverd, vallen buiten dit specifieke toepassingsgebied. Of de regel op een afzonderlijke wallet van toepassing is, blijft een kwestie die per geval moet worden beoordeeld. Materiaal van de Commissie deelt specifieke walletproducten niet in, en geen van de aangehaalde bronnen bevestigt of een genoemde hardwarewallet, softwarewallet of gehoste dienst onder de wet valt of daarvan is vrijgesteld.

Open-sourceprojecten worden afzonderlijk behandeld. Beheerders van open-sourcesoftware vallen vanaf 11 december 2027 onder hun eigen meldplichten op grond van Artikel 24(3). Deze beheerders vallen niet onder de sancties voor inbreuken op de Cyber Resilience Act.

De verordening bevat ook een op omvang gebaseerde regeling. Volgens de samenvatting van de Commissie krijgen fabrikanten die als micro-onderneming of kleine onderneming kwalificeren mogelijk geen boete wanneer zij de termijn van 24 uur missen. Dat neemt hun meldplicht niet weg.

De regel geldt ook voor producten die vóór 11 december 2027 al op de EU-markt waren gebracht.

Operationele gevolgen voor walletfabrikanten

Een termijn van 24 uur laat een bedrijf weinig tijd om na het begin van een aanval een proces voor incidentrespons op te zetten. Analisten van Freshfields hebben opgemerkt dat de korte meldtermijnen weinig ruimte bieden om na een incident procedures in te voeren.

De termijn loopt door tijdens weekenden en officiële feestdagen. Freshfields heeft uitgelegd dat deze dagen de meldtermijn niet opschorten.

Walletteams zullen daarom mogelijk vooraf procedures moeten vastleggen voor het registreren van het precieze moment waarop zij kennis krijgen van het incident, het escaleren van de kwestie naar een verantwoordelijk team en het snel verzamelen van de vereiste incidentinformatie.

Melden aan toezichthouders, het onderzoeken van het incident en het herstellen van de kwetsbaarheid zijn afzonderlijke taken. Een fabrikant kan toezichthouders informeren terwijl het de omvang van de aanval verder vaststelt en een oplossing ontwikkelt of uitrolt. De meldprocedure zelf stelt geen termijn vast waarbinnen het herstel binnen 24 uur moet zijn voltooid.

Fabrikanten dienen meldingen in via het Single Reporting Platform van de Cyber Resilience Act. De melding wordt gericht aan het relevante nationale computer security incident response team, of CSIRT, en de informatie wordt tegelijkertijd beschikbaar gesteld aan het Agentschap van de Europese Unie voor cyberbeveiliging, of ENISA, behalve in bijzonder uitzonderlijke omstandigheden.

Voor walletgebruikers biedt het indienen van een melding geen garantie dat een wallet veilig is of dat tegoeden van gebruikers beschermd zijn. Het geeft autoriteiten vroegtijdig kennis van een actieve aanval. De vereiste meldingsvelden, indieningsprocedures en eventuele verplichtingen om klanten te informeren moeten aan de hand van officiële richtsnoeren worden gecontroleerd voordat ze als definitief worden beschouwd.

Voor een cryptohouder die een wallet gebruikt van een bedrijf dat in de EU actief is, betekent dit in de praktijk dat de fabrikant toezichthouders mogelijk snel moet informeren wanneer aanvallers een kwetsbaarheid in het product uitbuiten. Deze extra meldingslaag geldt sinds 11 september 2026.

Dit artikel is uitsluitend bedoeld ter informatie en vormt geen financieel of beleggingsadvies. Cryptocurrency- en digitale-activamarkten brengen aanzienlijke risico’s met zich mee. Doe altijd zelf onderzoek voordat u beslissingen neemt.