EU voert strengere regels in voor beveiliging van crypto wallets

De nieuwe EU-regels voor crypto wallets moeten ervoor zorgen dat bedrijven sneller reageren wanneer hackers misbruik maken van kwetsbaarheden. Voor Nederlandse cryptobeleggers betekent dit vooral dat fabrikanten meer verantwoordelijkheid krijgen voor de beveiliging van hun producten.

Beveiligingslek binnen 24 uur melden

Zodra een walletprovider weet dat hackers actief misbruik maken van een ernstige kwetsbaarheid, moet het bedrijf binnen 24 uur een eerste waarschuwing indienen.

Binnen 72 uur moet een uitgebreidere melding volgen. Daarin staat meer informatie over het beveiligingsprobleem, de mogelijke gevolgen en de situatie rond het incident.

Wanneer een oplossing of andere beveiligingsmaatregel beschikbaar is, volgt binnen 14 dagen een eindrapport. Voor ernstige beveiligingsincidenten geldt een termijn van maximaal één maand.

Met deze korte deadlines wil de EU voorkomen dat ernstige kwetsbaarheden te lang onder de radar blijven.

Wat is de Cyber Resilience Act?

De Cyber Resilience Act, kortweg CRA, is Europese wetgeving voor de digitale veiligheid van producten die binnen de EU worden verkocht of aangeboden.

De regels gelden veel breder dan alleen voor crypto. Ook andere apparaten en software met digitale onderdelen vallen onder de wetgeving. Fabrikanten moeten rekening houden met cybersecurity tijdens de ontwikkeling en gedurende de periode waarin een product wordt gebruikt en ondersteund.

Crypto wallets zijn daarbij extra relevant omdat ze toegang geven tot digitale bezittingen.

Een hardware wallet is een fysiek apparaat dat de private keys van een gebruiker beschermt. Software wallets werken via een computer, browser of smartphone. De private key is de cryptografische sleutel waarmee een gebruiker transacties kan ondertekenen. Wie deze sleutel in handen krijgt, kan in veel gevallen ook de bijbehorende crypto verplaatsen.

Boetes kunnen oplopen tot €15 miljoen

Bedrijven die bepaalde verplichtingen uit de Cyber Resilience Act niet naleven, riskeren forse financiële sancties.

De administratieve boete kan oplopen tot €15 miljoen of 2,5% van de wereldwijde jaarlijkse omzet van een bedrijf. Afhankelijk van de overtreding kan het hoogste bedrag van toepassing zijn.

Ook het verstrekken van onjuiste, onvolledige of misleidende informatie kan gevolgen hebben. Hiervoor kunnen toezichthouders een boete tot €5 miljoen opleggen.

Voor grote internationale walletbedrijven kan vooral de omzetgerelateerde boete zwaar wegen. De EU maakt cybersecurity daarmee een verplicht onderdeel van de bedrijfsvoering en niet alleen een technische verantwoordelijkheid.

Recente incidenten tonen risico’s voor walletgebruikers

De invoering van de strengere meldregels volgt op verschillende beveiligingsincidenten in de cryptosector.

Trezor meldde begin september dat nog eens 67.000 Amerikaanse klanten mogelijk betrokken waren bij een datalek bij verzendpartner ShipMonk. Aanvankelijk ging het bedrijf uit van ongeveer 14.000 getroffen gebruikers.

Ook waarschuwden Trezor en BitBox voor phishingmails die eruitzagen als urgente beveiligingsberichten. De incidenten hielden vermoedelijk verband met externe e-maildiensten.

Bij dergelijke aanvallen krijgen criminelen niet noodzakelijk toegang tot de wallet zelf. Persoonsgegevens zoals een naam of e-mailadres kunnen al voldoende zijn om een overtuigende phishingaanval op te zetten.

Een aanvaller kan zich bijvoorbeeld voordoen als een walletprovider en gebruikers vragen hun seed phrase in te voeren. Deze herstelzin geeft toegang tot een cryptowallet en mag daarom nooit met iemand worden gedeeld.

Kwetsbaarheid kan direct crypto in gevaar brengen

Niet ieder beveiligingsincident draait om gelekte persoonsgegevens. Een fout in walletsoftware kan ook rechtstreeks gevolgen hebben voor de beveiliging van crypto.

Blockchainnetwerk Zilliqa waarschuwde eerder dit jaar voor een kwetsbaarheid in zijn Ledger-app. Onder bepaalde omstandigheden konden aanvallers mogelijk private keys achterhalen met behulp van openbare gegevens op de blockchain.

Dit soort kwetsbaarheden maakt duidelijk waarom snelle rapportage belangrijk is. Hoe eerder een ernstig probleem bekend is, hoe sneller ontwikkelaars maatregelen kunnen nemen en gebruikers kunnen waarschuwen.

De nieuwe Europese meldtermijnen moeten die reactietijd verkorten.

Wat betekenen de regels voor Nederlandse cryptobeleggers?

Voor gebruikers van crypto wallets verandert de dagelijkse werking van hun wallet niet direct. De belangrijkste verandering ligt bij de bedrijven die de hardware en software ontwikkelen.

Walletproviders krijgen strengere verplichtingen rond het melden en aanpakken van kwetsbaarheden. Daardoor kunnen gebruikers eerder worden geïnformeerd over beveiligingsproblemen en noodzakelijke software- of firmware-updates.

De regels vervangen echter geen goede beveiliging aan de kant van de gebruiker. Het blijft belangrijk om updates alleen via officiële kanalen te installeren en onverwachte beveiligingsmails kritisch te controleren. Een betrouwbare walletprovider zal nooit vragen om een private key of seed phrase.

Conclusie

De EU-regels voor crypto wallets leggen meer verantwoordelijkheid bij fabrikanten en softwareontwikkelaars. Ernstige kwetsbaarheden moeten binnen 24 uur worden gemeld, terwijl bedrijven bij overtredingen miljoenenboetes riskeren.

Voor cryptobeleggers draait de verandering vooral om snelheid en transparantie. Beveiligingsproblemen moeten eerder aan het licht komen, zodat bedrijven sneller kunnen reageren en gebruikers eerder gewaarschuwd worden.

De nieuwe regels kunnen hacks en phishing niet volledig voorkomen. Ze moeten er wel voor zorgen dat walletproviders sneller handelen wanneer er iets misgaat.

Veelgestelde vragen

Wanneer moet een crypto wallet een beveiligingslek melden?

Bij een ernstige kwetsbaarheid of een beveiligingslek dat actief wordt misbruikt, moet de fabrikant binnen 24 uur een eerste melding doen. Binnen 72 uur volgt een uitgebreidere rapportage.

Geldt de Cyber Resilience Act alleen voor crypto wallets?

Nee. De wet geldt voor een brede groep producten met digitale onderdelen die binnen de Europese Unie worden aangeboden. Hardware en software voor cryptowallets vallen binnen die bredere categorie.

Hoe hoog kunnen de boetes worden?

Voor bepaalde overtredingen kunnen boetes oplopen tot €15 miljoen of 2,5% van de wereldwijde jaaromzet. Het verstrekken van onjuiste, onvolledige of misleidende informatie kan daarnaast leiden tot een boete van maximaal €5 miljoen.