# De CRA-meldplicht, helder uitgelegd

Sinds **11 september 2026** moet elke fabrikant van een product met digitale elementen op de EU-markt actief uitgebuite kwetsbaarheden en ernstige incidenten melden - binnen uren, niet weken.

Source: https://kernwatch.com/nl/cra-meldplicht · Laatst bijgewerkt: 2026-10-17

## De belangrijkste feiten

- De Cyber Resilience Act is Verordening (EU) 2024/2847 (Cyberweerbaarheidsverordening); deze is op 10 december 2024 in werking getreden.
- De meldverplichtingen (artikel 14) gelden vanaf 11 september 2026, ook voor producten die al op de markt zijn.
- Actief uitgebuite kwetsbaarheid: vroegtijdige waarschuwing binnen 24 uur, melding binnen 72 uur, eindverslag uiterlijk 14 dagen nadat een correctie beschikbaar is.
- Ernstig incident: vroegtijdige waarschuwing binnen 24 uur, melding binnen 72 uur, eindverslag binnen één maand.
- Meldingen gaan via het centrale meldplatform van ENISA naar het coördinerende CSIRT en naar ENISA.
- Alle overige CRA-eisen gelden vanaf 11 december 2027; boetes lopen op tot € 15 mln of 2,5% van de wereldwijde jaaromzet.

## Wat een melding activeert

Artikel 14 van Verordening (EU) 2024/2847 (Cyberweerbaarheidsverordening, Cyber Resilience Act) noemt twee aanleidingen:

- **Een actief uitgebuite kwetsbaarheid** in je product - er is betrouwbaar bewijs dat iemand de kwetsbaarheid heeft uitgebuit.

- **Een ernstig incident** met gevolgen voor de beveiliging van je product - bijvoorbeeld een incident dat de integriteit van je updatemechanisme of van de gegevens die je product verwerkt aantast.

De verplichting geldt ook voor producten die al op de markt zijn, niet alleen voor nieuwe, en is niet afhankelijk van de omvang van je bedrijf.

## De termijnen

|  | Actief uitgebuite kwetsbaarheid | Ernstig incident |
|---|---|---|

| Vroegtijdige waarschuwing | binnen 24 uur na kennisname | binnen 24 uur na kennisname |

| Melding | binnen 72 uur na kennisname | binnen 72 uur na kennisname |

| Eindverslag | uiterlijk 14 dagen nadat een corrigerende of mitigerende maatregel beschikbaar is | binnen één maand na de melding |

De klok gaat lopen zodra je er kennis van krijgt - daarom is het zo belangrijk om te weten wat er in elke geleverde release zit.

## Wie de meldingen ontvangt

Meldingen worden ingediend via het **centrale meldplatform van ENISA**, het EU-agentschap voor cyberbeveiliging. Ze komen terecht bij het CSIRT dat als coördinator is aangewezen in de lidstaat van je hoofdvestiging, en bij ENISA. Daarnaast moet je **getroffen gebruikers** informeren over de kwetsbaarheid of het incident en de maatregelen die zij kunnen nemen.

## Wat de CRA verder verwacht

- Beveiligingsupdates gedurende de verwachte levensduur van het product - in de meeste gevallen ten minste vijf jaar.

- Een beleid en een contactpunt voor gecoördineerde openbaarmaking van kwetsbaarheden.

- Een softwarestuklijst (SBOM) en een vastgelegde afhandeling van elke kwetsbaarheid.

- Technische documentatie en een EU-conformiteitsverklaring, die tien jaar worden bewaard.

Vanaf **11 december 2027** gelden alle eisen, en mogen producten zonder CRA-conformiteit niet meer in de EU in de handel worden gebracht.

## Hoe Kernwatch helpt

- Markeert componenten met bekende uitgebuite kwetsbaarheden in de releases die je ondersteunt en zet in je actie-inbox een taak klaar om een meldzaak te openen.

- Opent de zaak met de termijnen van 24 uur, 72 uur en het eindrapport en herinnert de juiste mensen op tijd.

- Stelt de vroegtijdige waarschuwing, de melding en het eindrapport op uit je product-, release- en beoordelingsgegevens, zodat jij ze kunt controleren en aftekenen.

- Helpt bij het indienen: kopieer de afgetekende tekst, open het ENISA-platform, dien de melding daar in en leg het referentienummer en het ontvangstbewijs vast in Kernwatch. Het ENISA-platform heeft geen API voor fabrikanten, dus Kernwatch kan niet voor je indienen.

- Detecteert de fix: als een nieuwere release de kwetsbare versie niet meer bevat, stelt het de datum van de corrigerende maatregel voor, waarmee de termijn van 14 dagen voor het eindrapport begint.

- Informeert gebruikers na je goedkeuring - met een e-mail aan de klantcontacten van het product en, in Professional, de gepubliceerde advisory - en legt vast wie wanneer is geïnformeerd.

## Officiële bronnen

- [Verordening (EU) 2024/2847 (Cyberweerbaarheidsverordening, Cyber Resilience Act), EUR-Lex](https://eur-lex.europa.eu/eli/reg/2024/2847/oj)
- [Cyber Resilience Act, Europese Commissie](https://digital-strategy.ec.europa.eu/en/policies/cyber-resilience-act)
- [ENISA - Agentschap van de Europese Unie voor cyberbeveiliging](https://www.enisa.europa.eu/)

Deze pagina vat Verordening (EU) 2024/2847 ter oriëntatie samen en is geen juridisch advies.