Cyber Resilience Act: meldplicht geldt, de rest volgt in 2027

Gepubliceerd 19 oktober 2026 · Door Dazr

Sinds 11 september 2026 melden fabrikanten uitgebuite kwetsbaarheden en ernstige incidenten bij ENISA. De volledige CRA geldt vanaf december 2027.

De Cyber Resilience Act (Verordening (EU) 2024/2847) stelt beveiligingseisen aan hardware en software die in de EU wordt verkocht. De eerste verplichting met echte impact geldt nu, en de hoofdeisen volgen over iets meer dan een jaar.

Wat geldt sinds 11 september 2026

Fabrikanten van producten met digitale elementen moeten twee soorten gebeurtenissen melden via het Single Reporting Platform van ENISA, dat op 11 september 2026 is gelanceerd:

Actief uitgebuite kwetsbaarheden in hun producten: een vroegtijdige waarschuwing binnen 24 uur nadat zij ervan op de hoogte zijn, een melding binnen 72 uur en een eindrapport binnen 14 dagen nadat een corrigerende of beperkende maatregel beschikbaar is.
Ernstige incidenten die de beveiliging van hun producten raken: een vroegtijdige waarschuwing binnen 24 uur, een melding binnen 72 uur en een eindrapport binnen een maand na de melding.

Een melding gaat naar het CSIRT van de lidstaat van de fabrikant, dat coördineert, en tegelijk naar ENISA. De fabrikant moet ook de gebruikers van het product informeren, zo nodig met de maatregelen die zij kunnen nemen.

De meldplicht geldt ook voor producten die al op de markt zijn, niet alleen voor nieuwe (artikel 69, lid 3). Micro- en kleine fabrikanten vallen er ook onder; zij kunnen geen boete krijgen als zij alleen de vroegtijdige waarschuwing binnen 24 uur missen.

Wat er nog komt

11 december 2027: de CRA geldt volledig: security by design, kwetsbaarhedenbeheer tijdens de ondersteuningsperiode, technische documentatie, conformiteitsbeoordeling en de CE-markering. Ook de meldplicht voor beheerders van opensourcesoftware (open-source stewards) begint dan.
Sinds 11 juni 2026 gelden de regels voor de aanmelding van conformiteitsbeoordelingsinstanties, zodat aangemelde instanties vóór 2027 klaar kunnen zijn.

Wat u nu kunt doen

Bepaal wie in uw organisatie binnen 24 uur een melding kan doen, ook in het weekend, en test de toegang tot het platform.
Houd per gebeurtenis één registratie bij met het moment waarop u ervan wist, want elke termijn telt vanaf dat moment.
Maak een korte sjabloontekst om gebruikers te informeren.
Gebruik de tijd tot december 2027 voor de ontwerp- en documentatie-eisen: een overzicht van producten binnen de reikwijdte, een software bill of materials en een proces voor kwetsbaarhedenbeheer.

Meer over artikel 14 in onze gids: meldplicht onder de Cyber Resilience Act.

Bronnen

Ter informatie, geen juridisch advies. Laatst bijgewerkt op 19 oktober 2026.

Onderwerpen: Cyber Resilience Act, ENISA, EU

Ook beschikbaar in: English, Italiano, Deutsch, Français, Español, Polski, Português, Română, Čeština, Slovenčina, Dansk, Svenska, Norsk bokmål