Cyber Resilience Act: vanaf 11 september 2026 geldt de nieuwe Europese meldplicht
De meeste verplichtingen uit de Europese Cyber Resilience Act (CRA) worden pas vanaf 11 december 2027 van toepassing. Toch kunnen fabrikanten van hard- en software niet tot die datum wachten. Vanaf morgen, vrijdag 11 september 2026, geldt namelijk al een belangrijke meldplicht voor actief uitgebuite kwetsbaarheden en ernstige beveiligingsincidenten.
En de termijnen zijn kort. In beginsel moet binnen 24 uur nadat de fabrikant kennis heeft gekregen van een actief uitgebuite kwetsbaarheid of een ernstig beveiligingsincident een eerste waarschuwing worden gedaan. Binnen 72 uur volgt een uitgebreidere melding.
Voor fabrikanten van producten met digitale elementen betekent dit dat vanaf morgen niet alleen de technische incidentrespons op orde moet zijn. Ook intern moet duidelijk zijn wanneer een kwetsbaarheid of incident onder de CRA valt, wie daarover beslist en wie ervoor zorgt dat tijdig wordt gemeld.
Wat is de Cyber Resilience Act en voor wie geldt deze?
De Cyber Resilience Act, officieel de Verordening cyberweerbaarheid, is eind 2024 in werking getreden en introduceert Europese cybersecurityregels voor producten met digitale elementen. Het toepassingsbereik is breed. Het gaat bijvoorbeeld om IoT-apparatuur, netwerkapparatuur en firewalls, maar ook om software zoals mobiele apps, videogames en besturingssystemen. De CRA bevat verplichtingen voor fabrikanten, importeurs en distributeurs, waarbij de zwaarste verplichtingen bij fabrikanten liggen.
De gedachte achter de verordening is duidelijk: cybersecurity moet onderdeel zijn van de volledige levenscyclus van een digitaal product. Fabrikanten moeten producten veilig ontwerpen en kwetsbaarheden gedurende de ondersteuningsperiode adequaat behandelen. Veel van deze verplichtingen worden vanaf 11 december 2027 van toepassing. De meldplicht loopt daar echter ruim een jaar op vooruit.
Welke meldplicht geldt vanaf 11 september 2026?
Vanaf 11 september 2026 wordt artikel 14 CRA van toepassing. Fabrikanten moeten vanaf dat moment twee categorieën gebeurtenissen melden:
- actief uitgebuite kwetsbaarheden in een product met digitale elementen; en
- ernstige incidenten die gevolgen hebben voor de beveiliging van een product met digitale elementen.
Bij een actief uitgebuite kwetsbaarheid gaat het niet simpelweg om iedere kwetsbaarheid die in software of hardware wordt ontdekt. Er moeten betrouwbare aanwijzingen zijn dat een kwaadwillende daadwerkelijk misbruik heeft gemaakt van de kwetsbaarheid.
Een kwetsbaarheid die bijvoorbeeld tijdens een interne beveiligingstest wordt ontdekt, is daarom niet automatisch meldplichtig. Dat verandert wanneer blijkt dat de kwetsbaarheid daadwerkelijk door een kwaadwillende partij wordt geëxploiteerd.
Bij ernstige incidenten gaat het om incidenten die een ernstige impact hebben op de beveiliging van het product. Daarbij kan onder meer worden gekeken naar gevolgen voor de beschikbaarheid, authenticiteit, integriteit of vertrouwelijkheid van gegevens of functies van het product.
Geldt de Cyber Resilience Act ook voor bestaande producten?
Een belangrijk aandachtspunt is dat de meldplicht niet uitsluitend geldt voor producten die vanaf 11 september 2026 op de markt worden gebracht. Ook producten met digitale elementen die al eerder op de Europese markt zijn gebracht, kunnen vanaf morgen onder de meldplicht vallen.
Dat maakt de praktische impact aanzienlijk groter. Een softwareleverancier kan bijvoorbeeld te maken krijgen met een actief uitgebuite kwetsbaarheid in software die jaren geleden bij klanten is geïnstalleerd. Wanneer de fabrikant na 11 september 2026 kennis krijgt van de actieve uitbuiting, kan de CRA-meldplicht van toepassing zijn.
Er geldt daarbij geen algemene verplichting om morgen alle bestaande kwetsbaarheden alsnog te melden. Volgens de actuele toelichting van ENISA (het Europees Agentschap voor de veiligheid van netwerken en informatie / Agentschap van de Europese Unie voor cyberbeveiliging) hoeft een fabrikant een actief uitgebuite kwetsbaarheid waarvan hij al vóór 11 september 2026 op de hoogte was, niet met terugwerkende kracht te melden. Wordt de fabrikant pas ná die datum bekend met de actieve uitbuiting, dan kan de meldplicht wel gelden.
Binnen welke termijn moet je een CRA-melding doen?
De CRA hanteert korte termijnen. Na kennisneming van een actief uitgebuite kwetsbaarheid of een ernstig beveiligingsincident moet zonder onnodige vertraging en in ieder geval binnen 24 uur een eerste waarschuwing worden gedaan.
Vervolgens moet zonder onnodige vertraging en uiterlijk binnen 72 uur een uitgebreidere melding worden ingediend met nadere informatie en een eerste beoordeling. Daarmee is het proces nog niet afgerond.
Bij een actief uitgebuite kwetsbaarheid moet uiterlijk veertien dagen nadat een corrigerende maatregel, zoals een patch, beschikbaar is een eindrapport worden ingediend. Bij een ernstig beveiligingsincident moet het eindrapport binnen één maand na de 72-uursmelding worden ingediend.
Voor Nederlandse fabrikanten vermeldt het NCSC (Nationaal Cyber Security Centrum) dat de melding vanaf 11 september 2026 via MijnNCSC plaatsvindt. Op Europees niveau heeft ENISA daarvoor de Single Reporting Platform (SRP) ingericht. Via deze infrastructuur kan de melding vervolgens beschikbaar worden gesteld aan de relevante Europese cybersecurityautoriteiten.
Waarom vraagt de meldplicht van 24 uur om een goede voorbereiding?
Een meldtermijn van 24 uur lijkt op papier misschien overzichtelijk. In de praktijk is dat bijzonder kort.
Wanneer een kwetsbaarheid wordt ontdekt, moet eerst worden vastgesteld wat er precies aan de hand is. Wordt de kwetsbaarheid daadwerkelijk uitgebuit? Welke producten en versies zijn getroffen? Wat is de impact? Welke klanten gebruiken het product? Zijn maatregelen beschikbaar? En is naast de CRA mogelijk nog andere wetgeving van toepassing?
Dat laatste is belangrijk.
Eén cyberincident kan verschillende wettelijke verplichtingen tegelijkertijd activeren. Denk bijvoorbeeld aan de meldplicht voor datalekken onder de AVG of verplichtingen op grond van de Cyberbeveiligingswet, waarmee de NIS2-richtlijn in Nederland is geïmplementeerd. Afhankelijk van het product en de organisatie kunnen daarnaast andere sectorspecifieke regels relevant zijn.
De meldcriteria, termijnen en bevoegde autoriteiten zijn daarbij niet noodzakelijk hetzelfde. Een incident kan daardoor technisch één gebeurtenis zijn, maar juridisch verschillende meldprocedures in gang zetten.
Wat moet jouw organisatie nu regelen voor de Cyber Resilience Act?
Organisaties doen er goed aan om in ieder geval vast te stellen welke producten binnen het toepassingsbereik van de CRA vallen, wie intern verantwoordelijk is voor het beoordelen van kwetsbaarheden en incidenten en hoe de escalatie naar legal, compliance en management verloopt.
Daarnaast moet duidelijk zijn wie daadwerkelijk een melding kan indienen en of de benodigde toegang tot de meldomgeving is geregeld. ENISA heeft inmiddels praktische documentatie gepubliceerd voor registratie en het indienen en actualiseren van meldingen via het Europese Single Reporting Platform.
Ook is het verstandig bestaande incidentresponse- en vulnerabilitymanagement-procedures tegen het licht te houden. Een procedure die uitsluitend is ingericht op datalekken onder de AVG is onvoldoende wanneer een organisatie daarnaast onder de CRA en mogelijk de Cyberbeveiligingswet valt.
Mijn advies zou daarom zijn om niet voor iedere nieuwe Europese cyberwet een volledig afzonderlijk incidentproces te bouwen. Richt één geïntegreerd proces in waarin bij een incident snel kan worden vastgesteld:
- welke regelgeving van toepassing is;
- welke meldcriteria gelden;
- welke wettelijke termijnen lopen;
- welke autoriteiten moeten worden geïnformeerd; en
- of klanten of gebruikers moeten worden gewaarschuwd.
Vragen over de Cyber Resilience Act, de nieuwe meldplicht of het inrichten van een geïntegreerd proces voor cyberincidenten en wettelijke meldplichten? Neem dan contact met ons op. We denken graag mee over de juridische en praktische inrichting daarvan.