Sinds 11 september 2026 moet elke fabrikant die een product met digitale elementen in de EU verkoopt een actief uitgebuite kwetsbaarheid binnen 24 uur melden, en daarmee is het in de praktijk afgelopen met het handmatig uitzoeken van kwetsbaarheden. Neem een fabrikant van netwerkapparatuur die op vrijdagmiddag hoort dat een lek in de webinterface van zijn appliance al actief word uitgebuit.
In de oude werkwijze kijkt een analist maandag in de scanresultaten, vraagt hij dinsdag aan development welke firmwareversies de kwetsbare bibliotheek bevatten en schrijft iemand woensdag een advisory. Onder de Cyber Resilience Act (CRA) moet er op zaterdagmiddag al een vroegtijdige waarschuwing bij de autoriteiten liggen.
De meldplicht uit artikel 14 van de Cyber Resilience Act geldt sinds 11 september 2026 voor alle producten met digitale elementen, ook voor apparatuur en software die al jaren op de markt is. Wie een actief uitgebuit lek pas na drie dagen speurwerk in losse dashboards kan duiden, haalt de 24-uursgrens niet. In dit artikel lees je wat de wet precies vraagt, waarom security-experts handmatige triage afschrijven, wie in Nederland je melding ontvangt en wat dit betekent voor organisaties die zelf alleen inkopen.
Wat de Cyber Resilience Act sinds 11 september van fabrikanten vraagt
De CRA (Verordening (EU) 2024/2847) is op 10 december 2024 in werking getreden. Het grootste deel van de verplichtingen, zoals de beveiligingseisen uit bijlage I en de CE-markering, geldt pas vanaf 11 december 2027. De meldplicht uit artikel 14 kwam eerder. Die loopt sinds 11 september 2026 en geldt voor alle producten binnen de reikwijdte van de wet, dus ook voor alles wat vóór december 2027 al verkocht is. Het gaat om een breed palet aan IT: routers, firewalls, VPN-gateways, besturingssystemen, identity-managementsystemen, netwerkbeheersoftware en securitysoftware vallen er allemaal onder.
Waar het hoofdkantoor van de fabrikant staat, maakt niet uit. Een Amerikaanse of Aziatische leverancier die op de Europese markt verkoopt, heeft dezelfde meldplicht als een Nederlandse softwaremaker.
De Europese Commissie publiceerde op 27 juli 2026 richtlijnen bij de verordening. Daarin staat onder meer dat fabrikanten geen uitbuiting met terugwerkende kracht hoeven te melden waarvan ze vóór 11 september al op de hoogte waren.
Drie meldmomenten via één Europees platform
Een melding loopt via het Single Reporting Platform (SRP) van ENISA. Eén inzending komt tegelijk terecht bij ENISA en bij de CSIRT die als coördinator is aangewezen in het land waar de fabrikant zijn hoofdvestiging heeft. Daarna volgt een gefaseerd traject.
| Fase | Termijn | Wat erin hoort |
|---|---|---|
| Vroegtijdige waarschuwing | Binnen 24 uur nadat de fabrikant ervan op de hoogte is | Eerste signaal dat een kwetsbaarheid actief wordt uitgebuit of dat er een ernstig incident is |
| Melding | Binnen 72 uur | Aard van de kwetsbaarheid of het incident, een eerste inschatting van de ernst en de genomen of beschikbare corrigerende maatregelen |
| Eindrapport | Binnen 14 dagen nadat een correctie beschikbaar is (kwetsbaarheid) of binnen een maand na de 72-uursmelding (ernstig incident) | Volledige beschrijving, oorzaak en genomen maatregelen |
Wie de termijnen mist, riskeert een boete tot 15 miljoen euro of 2,5 procent van de wereldwijde jaaromzet, afhankelijk van welk bedrag hoger is. Micro- en kleine ondernemingen kunnen geen boete krijgen voor het missen van de 24-uurstermijn, de overige verplichtingen gelden voor hen wel.
Waarom handmatige triage van kwetsbaarheden de 24-uursgrens niet haalt
Het grootste praktische probleem dat securityspecialisten noemen is versnippering. De informatie die je voor een CRA-melding nodig hebt staat meestal op vijf of zes plekken tegelijk: in de SIEM, in threat feeds, in meldingen uit de Known Exploited Vulnerabilities-catalogus (KEV) van CISA, in de resultaten van je vulnerability scanner, in de asset-inventaris en in de software bill of materials (SBOM). Geen van die systemen is gebouwd om binnen een dag samen een antwoord op te leveren.
Het is dus redelijk onrealistisch om te verwachten dat een analist een KEV-melding oppikt, vervolgens met de hand door een statische SBOM zoekt en daarna in de SIEM-logs gaat graven om te zien of een systeem daadwerkelijk wordt aangevallen. Zijn alternatief is een keten die dat zelf doet. Zodra een kwetsbaarheid bekend wordt, bevraagt de infrastructuur automatisch de SBOM, wijst ze de geraakte assets en versies aan en legt ze die naast live telemetrie om uitbuiting te bevestigen. Zonder die automatisering zit een team de hele dag te zoeken in losse dashboards in plaats van patches uit te rollen.
Een gekoppelde pipeline is op dat punt simpelweg sneller als een analist met zes tabbladen open.
Hoe zo’n situatie er concreet uitziet, liet FortiMail onlangs zien. Sinds 1 oktober wordt daar een kritiek lek actief misbruikt terwijl er nog geen gefixte firmware is, en Fortinet publiceerde ondertussen een workaround en IoC’s voor het actief misbruikte FortiMail-lek. Getroffen versies per branch, een tijdelijke mitigatie en indicatoren van compromittering: dat is vrijwel precies het soort informatie dat de CRA in de 72-uursmelding verwacht. Een fabrikant die dat binnen drie dagen op een rij wil hebben, moet in het eerste uur al weten welke builds welke componenten bevatten.
Wanneer ben je als fabrikant officieel op de hoogte
De 24 uur gaan lopen op het moment dat de fabrikant redelijke zekerheid heeft dat er een actief uitgebuite kwetsbaarheid of een ernstig incident is. Dat klinkt juridisch, en dat is het ook. Het Finse NCSC adviseert fabrikanten daarom vooraf vast te leggen wie meldt, wie zich op het SRP registreert en welke informatie klaar moet liggen. Je zou daar nog één ding aan toe kunnen voegen: wie bij jou de beslissing neemt dat iets de meldgrens haalt. In veel organisaties ligt die vraag nu impliciet bij juristen of bij productmanagement, en elk uur overleg gaat af van de 24 die je hebt.
Wie in Nederland je CRA-melding ontvangt en wie toezicht houdt
Voor fabrikanten met hun hoofdvestiging in Nederland is het Nationaal Cyber Security Centrum (NCSC) aangewezen als coördinerende CSIRT. Het NCSC staat zo ook vermeld op de lijst die ENISA bijhoudt. De CSIRT die een melding ontvangt, deelt die zonder vertraging met de CSIRT’s van andere lidstaten waar het product op de markt is. Voor markttoezicht en handhaving wijst het wetsvoorstel voor de Nederlandse uitvoeringswet de Rijksinspectie Digitale Infrastructuur (RDI) aan, die ook de boetebevoegdheid krijgt.
Let op de samenloop met de Cyberbeveiligingswet. Die wet kent voor essentiële en belangrijke entiteiten eveneens een vroegtijdige waarschuwing binnen 24 uur, dan over significante incidenten in de eigen dienstverlening. Een Nederlandse organisatie die zowel producten maakt als onder de Cyberbeveiligingswet valt, kan dus met twee meldsporen te maken krijgen voor hetzelfde voorval: één over het product en één over de eigen bedrijfsvoering.
Wat betekent de CRA-meldplicht voor organisaties die zelf geen fabrikant zijn
De meeste Nederlandse organisaties maken geen firewalls of switches. Wie netwerkapparatuur of software verkoopt zonder die zelf te maken, valt onder de CRA als importeur of distributeur, en die rollen hebben hun eigen verplichtingen. De 24-uursmelding uit artikel 14 ligt uitsluitend bij de fabrikant. Hoort een importeur of distributeur van een kwetsbaarheid in een product dat hij levert, dan moet hij de fabrikant zonder onnodige vertraging inlichten, en bij een significant cyberbeveiligingsrisico ook direct de markttoezichthouder, in Nederland naar verwachting de RDI.
Stopt een fabrikant met zijn activiteiten, dan ligt de taak om autoriteiten en zo mogelijk gebruikers te informeren bij de partijen verderop in de keten. De grens die je goed in de gaten moet houden staat in artikel 21. Wie een product onder eigen naam of merk op de markt brengt, of het substantieel wijzigt, is voor de wet zelf fabrikant, met alle bijbehorende plichten inclusief de meldplicht.
Een whitelabel-appliance met je eigen logo erop of een flink aangepaste firmware-image is dus geen onschuldige verkoopkeuze. Deze ketenverplichtingen gelden grotendeels vanaf 11 december 2027, en wie nog geen afspraken met zijn leveranciers heeft over hoe kwetsbaarheidsinformatie heen en weer gaat, heeft daar minder tijd voor dan het lijkt.
Een degelijk advies voor iedereen die netwerk- of securityapparatuur inkoopt: neem iets van de CRA op in je leveranciersgesprekken. Bij elke aanbesteding en elke contractverlenging zou de vraag hoe het meldproces van de leverancier eruitziet, wie daar intern over beslist en of er een SBOM per release beschikbaar is gesteld moeten worden. Een leverancier die daar na september 2026 geen concreet antwoord op heeft, vertelt je daarmee ook iets over hoe snel jij straks hoort dat er iets mis is.
