Overweging 68 van 130

Bij actief uitgebuite kwetsbaarheden gaat het om gevallen waarin een fabrikant vaststelt dat een inbreuk op de beveiliging met gevolgen voor gebruikers of andere natuurlijke of rechtspersonen het gevolg is van gebruikmaking door een kwaadwillige actor van een tekortkoming in een van de producten met digitale elementen die door de fabrikant op de markt worden aangeboden. Voorbeelden van dergelijke kwetsbaarheden zijn tekortkomingen in de identificatie- of de authenticatiefunctie van een product. Voor kwetsbaarheden die worden ontdekt zonder kwaadwillige bedoelingen, met het oog op het te goeder trouw testen, onderzoeken, corrigeren of bekendmaken ervan, met de bedoeling om de beveiliging of veiligheid van de eigenaar van het systeem en de gebruikers ervan te waarborgen, mag niet de verplichting gelden dat daarvan melding moet worden gedaan. Bij ernstige incidenten die gevolgen hebben voor de beveiliging van het product met digitale elementen gaat het om situaties waarin een cyberbeveiligingsincident zodanige gevolgen heeft voor het ontwikkelings-, productie- of onderhoudsproces van de fabrikant dat er een verhoogd cyberbeveiligingsrisico voor gebruikers of andere personen kan ontstaan. Bij een dergelijk ernstig incident kan het gaan om een situatie waarin een aanvaller met succes een kwaadwillige code heeft ingevoerd in het kanaal dat de fabrikant gebruikt om beveiligingsupdates aan gebruikers te verstrekken.