Sinds 11 september tikt de CRA-klok. De Product Security Director moet binnen 24 uur feiten organiseren.

De meldplicht is al begonnen

De CRA trad in december 2024 in werking. De meeste productverplichtingen gelden vanaf 11 december 2027, maar de rapportageplicht geldt sinds 11 september 2026. Fabrikanten moeten actief uitgebuite kwetsbaarheden en ernstige incidenten melden via de Single Reporting Platform van ENISA.

De termijn start zodra de fabrikant zich bewust wordt van het relevante feit. Binnen 24 uur volgt een early warning en binnen 72 uur een melding met algemene informatie en een eerste beoordeling. Voor een actief uitgebuite kwetsbaarheid volgt het eindrapport uiterlijk veertien dagen nadat een corrigerende of mitigerende maatregel beschikbaar is; bij een ernstig incident binnen een maand na de 72-uursmelding.

Dat ritme past niet bij een organisatie waarin cybersecurity uitsluitend als periodieke compliancecontrole is ingericht. Detectie, technische duiding, juridische beoordeling, klantcommunicatie en bestuurlijke escalatie moeten vooraf op elkaar aansluiten.

Product security is een ketenfunctie

Een kwetsbaarheid zit zelden netjes binnen één afdeling. Zij kan ontstaan in eigen firmware, een opensourcebibliotheek, een chipset, cloudcomponent, onderhoudstool of software van een leverancier. Tegelijk bepaalt de configuratie bij de klant of misbruik werkelijk mogelijk en impactvol is.

De Product Security Director heeft daarom zicht nodig op productarchitectuur, versies, softwarebill-of-materials, leverancierscontacten en installed base. Zonder die basis gaat kostbare tijd verloren aan de vraag welk product eigenlijk geraakt wordt en wie informatie mag vrijgeven.

De rol verbindt engineering, quality, IT/OT-security, legal, service, communicatie en supply chain. Niet als coördinator zonder gezag, maar als eigenaar van het beslisproces waarmee onvolledige feiten toch binnen wettelijke termijnen verantwoord worden gemeld.

Vierentwintig uur vraagt om vooraf toegewezen beslisrechten

ENISA verlangt één melding via de SRP aan de relevante nationale CSIRT. De organisatie moet vooraf weten wie als Assigned Representative kan indienen, wie een early warning autoriseert en wie bij afwezigheid overneemt. Registratie en techniek zijn het eenvoudige deel; besluitvorming onder onzekerheid is moeilijker.

Een werkend draaiboek benoemt welke minimuminformatie binnen 24 uur beschikbaar moet zijn, wanneer een vermoedelijk geval naar directieniveau gaat en hoe bewijs wordt bewaard. Ook moet duidelijk zijn wie klanten informeert wanneer mitigatie nodig is voordat de analyse volledig is.

De Product Security Director bewaakt dat de early warning niet wordt vertraagd door de wens naar perfecte zekerheid. De 72-uursfase is juist bedoeld voor een eerste inhoudelijke beoordeling; latere rapportages bieden ruimte om nieuwe feiten toe te voegen.

De ENISA-dreigingsanalyse maakt afhankelijkheden zichtbaar

ENISA publiceerde op 22 september zijn Threat Landscape 2026. Daarin noemt het agentschap supplychain- en third-party-aanvallen als bron van grootschalige of impactvolle incidenten. Van de incidenten met een identificeerbare initiële toegangsvector verliep 60 procent via een kwetsbaarheid.

Voor industrie is dat geen abstract statistisch risico. Manufacturing vormde zeven procent van de getroffen sectoren in de analyse. Connected machines en controllers blijven bovendien vaak jaren in bedrijf, terwijl componenten, leveranciers en onderhoudsregimes gedurende die levensduur veranderen.

De managementopgave is daarom breder dan patchen. Zij omvat contractuele meldtermijnen voor leveranciers, alternatieve componenten, klantbereik, veilige updatepaden en een productroadmap die security-onderhoud als levenscycluskosten behandelt.

De functie moet onafhankelijk kunnen escaleren

Een commerciële organisatie kan terughoudend zijn met het woord incident. Engineering kan eerst technisch bewijs willen. Legal kan de formulering willen beperken. Die belangen zijn begrijpelijk, maar mogen de meldklok niet stilzetten.

De Product Security Director heeft daarom directe toegang nodig tot directie en een helder escalatierecht. De rol moet een release kunnen pauzeren, forensische capaciteit kunnen prioriteren en leveranciers tot tijdige informatie kunnen dwingen. Tegelijk blijft proportioneel handelen essentieel: niet ieder defect is actief uitgebuit en niet ieder incident is ernstig onder de CRA.

De beste positie is dicht genoeg bij engineering om technische nuance te begrijpen en onafhankelijk genoeg om product- en reputatierisico niet ondergeschikt te maken aan planning of omzet.

• Wie kan binnen 24 uur namens de fabrikant een early warning autoriseren en indienen?
• Welke product-, versie- en leveranciersdata zijn direct beschikbaar bij een kwetsbaarheid?
• Wanneer mag de rol een release pauzeren of een klantmitigatie afdwingen?
• Hoe worden onbekende feiten gescheiden van vastgestelde impact in iedere rapportagefase?
• Welk eerder incident bewijst dat een kandidaat techniek, regelgeving en klantcontinuïteit tegelijk kon besturen?

Selecteer op incidentbesluitvorming, niet op certificaten

Certificeringen en kennis van regelgeving helpen, maar voorspellen niet of iemand binnen uren een verdeelde organisatie kan laten handelen. Toets kandidaten met een scenario waarin een leverancier actieve exploitatie meldt, meerdere productversies mogelijk geraakt zijn en de belangrijkste klant in Duitsland nog geen bewijs van misbruik ziet.

Welke feiten zijn noodzakelijk voor de 24-uursmelding? Wie bepaalt productscope? Welke versie wordt eerst onderzocht, welke tijdelijke maatregel gaat naar klanten en wanneer wordt het bestuur geïnformeerd? Een sterke kandidaat maakt expliciet wat bekend, waarschijnlijk en nog onbevestigd is.

Zoek ook buiten traditionele CISO-loopbanen. Schaarse profielen kunnen komen uit medical devices, automotive, industriële automatisering, telecomapparatuur of andere omgevingen waar productlevenscyclus, safety, leveranciersketen en incidentrespons al samenkomen.

De CRA maakt het mandaat toetsbaar

De meldtermijnen leggen genadeloos bloot of productinformatie, eigenaarschap en escalatie echt werken. Het doel is niet om binnen 24 uur alles te weten, maar om aantoonbaar op tijd het juiste proces te starten en de kwaliteit van iedere volgende stap te verhogen.

Get Headhunted Group helpt industriële, technische en hightechbedrijven bij het vinden van vaste Product Security Directors en andere directie-, management- en specialistische hbo/wo-professionals op het grensvlak van engineering, quality en cybersecurity. Wij vertalen productportfolio, wettelijke scope en beslisrechten naar een scherp mandaat en benaderen passieve kandidaten in de Benelux en aangrenzend Duitsland persoonlijk en vertrouwelijk.

Wat dit betekent voor een concrete search

Een benoeming wordt sterker wanneer de organisatie vooraf keuzes maakt over mandaat, resultaat, beslissingsruimte en context. Dat geeft richting aan research, maakt de benadering geloofwaardig en helpt kandidaten eerlijk beoordelen.

Get Headhunted Group ondersteunt directies en aandeelhouders bij het vertalen van die bestuurlijke opgave naar een gerichte search. Niet met advertenties of een algemene database, maar door de relevante markt opnieuw in kaart te brengen en passieve professionals persoonlijk te benaderen.