Overweging 76 van 130

Fabrikanten van producten met digitale elementen moeten een gecoördineerd beleid inzake openbaarmaking van kwetsbaarheden invoeren ter vergemakkelijking van de melding van kwetsbaarheden door personen of entiteiten, hetzij direct aan de fabrikant, hetzij indirect, en op verzoek anoniem, via CSIRT’s die zijn aangewezen als coördinatoren ten behoeve van de gecoördineerde bekendmaking van kwetsbaarheden overeenkomstig artikel 12, lid 1, van Richtlijn (EU) 2022/2555. In het beleid van fabrikanten voor gecoördineerde openbaarmaking van kwetsbaarheden moet een gestructureerd proces worden gespecificeerd aan de hand waarvan kwetsbaarheden op dusdanige wijze aan een fabrikant worden gemeld dat die in staat is een diagnose te stellen en de kwetsbaarheden te verhelpen voordat gedetailleerde informatie over de kwetsbaarheden aan derden of het publiek wordt vrijgegeven. Bovendien moeten fabrikanten ook overwegen hun beveiligingsbeleid in een machineleesbaar formaat te publiceren. Aangezien informatie over uitbuitbare kwetsbaarheden in veelgebruikte producten met digitale elementen tegen hoge prijzen op de zwarte markt kan worden verkocht, moeten fabrikanten van dergelijke producten als onderdeel van hun beleid voor gecoördineerde openbaarmaking van kwetsbaarheden programma’s kunnen gebruiken om de melding van kwetsbaarheden te stimuleren door ervoor te zorgen dat personen of entiteiten erkenning en compensatie krijgen voor hun inspanningen. Daarmee worden zogeheten “bug bounty”-programma’s bedoeld.