Vanaf 11 september 2026 treedt een deel van de CRA – Cyber Resilience Act – in werking. Artikel 14 om precies te zijn en wie een fabrikant, importeur of distributeur van hardware- en softwareproducten is moet daar al klaar voor zijn.
Over minder dan twee weken is het dan zo ver: bedrijven moeten ernstige beveiligingsproblemen en actief misbruikte kwetsbaarheden melden. De termijn die daarvoor in de hele EU geldt is 24 uur.
Dus elke actief misbruikte kwetsbaarheid en elk ernstig beveiligingsincident dat een product met digitale elementen treft, moet volgens de wet binnen één dag worden gemeld aan zowel het Agentschap van de Europese Unie voor cyberbeveiliging (ENISA) als de nationale entiteit in de lidstaat waar men gevestigd is.
Voor Nederland moet dat via het digitale meldloket van het Nationaal Cyber Security Centrum (NCSC), dat zorgt er ook dat ENISA de melding ontvangt. (zie ook link)
RDI CRA overzicht
In de gids (PDF) die bij de RDI kan worden gedownload staat dit overzicht
- Zonder onnodige vertraging en in ieder geval binnen 24 uur nadat de fabrikant er kennis van heeft gekregen: een vroegtijdige waarschuwing, met vermelding van:
- de actief uitgebuite kwetsbaarheid;
- in voorkomend geval de lidstaten waarvan de fabrikant weet dat het product er beschikbaar is gesteld.
- Binnen 72 uur nadat de fabrikant kennis heeft gekregen: een incidentmelding, met daarin algemene informatie, voor zover beschikbaar, over:
- de aard van het incident;
-
- een eerste beoordeling van het incident;
- alle genomen corrigerende of risicobeperkende maatregelen (patch);
- corrigerende of risicobeperkende maatregelen die gebruikers kunnen nemen;
- in voorkomend geval: hoe gevoelig de fabrikant de gemelde informatie acht.
- Binnen één maand na indiening van de incidentmelding: een eindverslag, met tenminste de volgende informatie:
-
- gedetailleerde beschrijving van de kwetsbaarheid, inclusief de ernst en gevolgen ervan;
- het soort bedreiging of de grondoorzaak die waarschijnlijk tot het incident heeft geleid;
- toegepaste en lopende beperkende maatregelen.
De meldplicht geldt voor alle producten met digitale elementen in de EU, ook voor producten die vóór 11 december 2027 in de handel zijn gebracht.
Uitdaging
De 24 uur zal een operationele uitdaging zijn voor bedrijven. Het vereist namelijk dat zij exact weten wie, wanneer en met welk autorisatieniveau interactie heeft gehad met dat wat nu kwetsbaar blijkt te zijn. Het toezicht op en kennis van de totale toeleveringsketen zal dus aanzienlijk moeten worden uitgebreid.
Nu komt deze wet niet helemaal uit de lucht vallen. Op Europees en nationaal niveau zijn meerdere bijeenkomsten gehouden om uit te leggen wat de wetgever bedoeld en waar de toezichthouders op zullen letten.
Grote professionele organisaties zullen daarom echt wel al de nodige meters hebben gemaakt. Dat blijkt ook wel uit de talloze requests voor software developers die daarover via social media hebben geklaagd.
Groot en klein…
De CRA kijkt echter niet alleen naar de fabrikanten, grote importeurs en distributeurs. In Nederland en de EU is een onbekend aantal kleinere spelers in de twee laatste categorieën actief. Die groep zal er wel eens achter kunnen komen dat ze de afgelopen jaren iets over het hoofd hebben gezien.
Lezers die zelf importeren en voor het eerst lezen over de CRA hebben nog 10 dagen de tijd om aan de wet te voldoen. Zij die met kleine distributeurs of importeurs samenwerken kunnen navragen of deze wel op de hoogte zijn. Waarom? Omdat het niet slim is producten in je assortiment te hebben van bedrijven die niet aan de CRA eisen voldoen.
