Help, ook van de CRA moet ik van alles melden! Maar wat precies en bij wie?

Mijn collega schreef laatst dat (kwaadwillende) hackers geen wetten lezen, maar legitieme organisaties moeten dat natuurlijk wel, althans zij moeten in elk geval aan de wet voldoen. En dat betekent dat legitieme organisaties op korte termijn aan een aantal nieuwe verplichtingen zullen moeten voldoen om (significante of ernstige) beveiligingsincidenten en (actief uitgebuite) kwetsbaarheden te melden.

Meldplichten onder de AVG voor privacy-inbreuken (‘inbreuken in verband met persoonsgegevens’) bestaan natuurlijk al geruime tijd maar de Cyberbeveiligingswet (de Nederlandse implementatiewet van de NIS2-richtlijn), de Wet weerbaarheid kritieke entiteiten (die de CER-richtlijn implementeert) en de Verordening Cyberweerbaarheid (hierna ook afgekort als CRA, dat staat voor Cyber Resilience Act) introduceren nieuwe meldplichten. In dit blog is te lezen wat er wanneer gemeld moet worden onder welke wet en bij welke instantie. We beginnen bij de CRA en lichten daarna de samenloop toe met de Cyberbeveiligingswet en de Wet weerbaarheid kritieke entiteiten.

Waar gaat de CRA ook alweer over?

We schreven natuurlijk al eerder over de CRA (1, 2), maar aangezien de meldplichten daaruit op 11 september 2026 van toepassing worden, zoomen we daar op in na een korte opfrisser van het geheugen. De CRA (Verordening (EU) 2024/2847) is op 10 december 2024 in werking getreden en introduceert essentiële cybersecurityvereisten voor vrijwel alle producten met digitale elementen die op de Europese markt worden aangeboden. Dat gaat verder dan alleen hardware: ook zelfstandige software, IoT-apparaten, industriële besturingssystemen en losse componenten vallen onder het toepassingsbereik. De verplichtingen worden gefaseerd van kracht:

• 11 juni 2026: de bepalingen over conformiteitsbeoordelingsinstanties (hoofdstuk IV) zijn van toepassing geworden;

• 11 september 2026: de meldplichten uit artikel 14 CRA worden van toepassing;

• 11 december 2027: de CRA wordt volledig van toepassing, inclusief de essentiële eisen en CE-markering.

Het feit dat de meldplichten vooruitlopen op de rest van de verordening is geen toeval. De EU-wetgever wil zo snel mogelijk zicht krijgen op actief misbruikte kwetsbaarheden, om coördinatie op EU-niveau mogelijk te maken. Op 27 juli 2026 zijn er nieuwe richtsnoeren van de Europese Commissie verschenen om te helpen op tijd te voldoen aan de CRA. In 2025 publiceerde de Rijksinspectie Digitale Infrastructuur, (RDI) de Nederlandse instantie die toezicht houdt op de CRA een eerste CRA Gids.

De meldplichten uit artikel 14 CRA nader bekeken

Artikel 14 CRA legt fabrikanten twee zelfstandige meldplichten op: één voor actief misbruikte kwetsbaarheden en één voor ernstige incidenten met een impact op de veiligheid van het product. Beide meldingen moeten worden gedaan bij zowel het aangewezen Cyber Security Incident Response Team (CSIRT) van de betreffende lidstaat als bij ENISA, via een door ENISA op te zetten meldpunt (single reporting platform, SRP). (ENISA staat overigens voor European Network and Information Security Agency.)

2.1 Actief misbruikte kwetsbaarheden

Van een actief misbruikte kwetsbaarheid is sprake wanneer er bewijs is dat een kwaadwillende actor deze kwetsbaarheid heeft geëxploiteerd in een systeem, zonder toestemming van de eigenaar. De meldketen kent drie fasen:

1. Vroegtijdige waarschuwing (early warning): binnen 24 uur na kennisname. Deze eerste melding is beknopt: er moet in staan welke lidstaten (vermoedelijk) zijn getroffen door een actief misbruikte kwetsbaarheid.

2. Kwetsbaarheidsmelding (vulnerability notification): binnen 72 uur na kennisname. Deze bevat aanvullende informatie over de aard van de kwetsbaarheid, het product (of de producten) met digitale elementen die zijn getroffen, eventuele mitigerende maatregelen die de leverancier zelf neemt en die gebruikers kunnen nemen en hoe gevoelig de aanbieder denkt dat de gegevens in de melding zijn.

3. Eindverslag (final report): binnen 14 dagen nadat een corrigerende of mitigerende maatregel (zoals een security-update of patch) beschikbaar is. Hierin worden onder meer de ernst en impact van de kwetsbaarheid, beschikbare informatie over de kwaadwillenden die misbruik hebben gemaakt van de kwetsbaarheid en de security update die beschikbaar is gemaakt of andere getroffen maatregelen beschreven.

2.2 Ernstige incidenten met impact op productbeveiliging

Naast kwetsbaarheden moeten fabrikanten ook ernstige incidenten melden die de beveiliging raken van het product met digitale elementen en de gegevens die daarin worden verwerkt. De termijnen zijn identiek (24 uur / 72 uur / 14 dagen na het treffen van maatregelen), maar de drempel is anders geformuleerd: het incident moet negatieve gevolgen hebben (gehad) voor de mogelijkheid van het product om vertrouwelijkheid, integriteit of beschikbaarheid van gegevens of functies te beschermen. Nu zou je zeggen dat als er actief misbruik wordt gemaakt van een kwetsbaarheid, dat dit vanzelfsprekend ook negatieve gevolgen zal hebben voor de vertrouwelijkheid, integriteit of beschikbaarheid van gegevens of functies. Een reden om toch een schijnbaar dubbele meldplicht (of formulering) op te nemen kan zijn dat met ‘actief misbruikte kwetsbaarheid’ wordt gedoeld op een kwetsbaarheid in een systeem die in het algemeen actief wordt misbruikt maar niet specifiek in het product van de leverancier, terwijl een ‘ernstig incident’ juist impact heeft op de vertrouwelijkheid, beschikbaarheid en/of integriteit van de gegevens die in het product worden verwerkt. Hoe dan ook, als er iets ernstig mis blijkt met de beveiliging, moet dat worden gemeld.

2.3 Informatie aan gebruikers

Belangrijk is om de gebruikers niet te vergeten. Onverwijld, en in ieder geval na kennisname van een actief misbruikte kwetsbaarheid of ernstig incident, moet de fabrikant de gebruikers van het product informeren en, waar passend, hen instrueren over correctieve maatregelen die zij zelf kunnen nemen. Deze plicht loopt parallel aan de meldingen richting ENISA en het CSIRT.

Actuele stand van zaken: ENISA en het single reporting platform (SRP)

Het succes van de meldplichten onder artikel 14 CRA staat of valt met een goed werkend meldplatform. ENISA is op grond van artikel 16 CRA belast met het opzetten en beheren van dit platform en werkt momenteel aan de technische en organisatorische inrichting. In verschillende stakeholderconsultaties en workshops in 2025 heeft ENISA het conceptuele ontwerp gedeeld: één front-end voor fabrikanten, waarbij meldingen vervolgens via een gedecentraliseerde back-end worden gerouteerd naar het betreffende nationale CSIRT en, waar relevant, andere lidstaten. Dit sluit aan bij het ontwerp dat de EU-wetgever nadrukkelijk heeft gekozen: ENISA fungeert niet als filter, maar als doorgeefluik dat coördinatie mogelijk maakt.

Overigens is gedelegeerde wetgeving aangenomen over de mogelijkheid om kennisgeving over actief misbruikte kwetsbaarheden en ernstige incidenten uit te stellen als dat juist nodig is om te voorkomen dat de kennisgeving en de informatie daarin juist tot misbruik zou leiden.

De rol van het NCSC

In Nederland is het NCSC (Nationaal Cyber Security Centrum) het aangewezen CSIRT en daarmee de eerstelijns ontvanger van CRA-meldingen. Het NCSC bereidt zich al langer voor op een aanzienlijke uitbreiding van zijn takenpakket: naast bestaande taken onder de Wbni (die opgaat in de Cbw), komen daar de CRA-meldingen bij en de coördinatie van vulnerability disclosure.

Praktisch gezien betekent dit dat fabrikanten die onder de CRA vallen en tegelijkertijd essentiële of belangrijke entiteit zijn onder de Cbw, met verschillende maar samenhangende meldstromen richting het NCSC te maken krijgen. Het is aan de fabrikant om intern helder te beleggen welke melding onder welk regime valt. De volgende informatie kan daar behulpzaam bij zijn.

Samenloop met de Cyberbeveiligingswet en de Wet weerbaarheid kritieke entiteiten

Op 15 augustus 2026 treden de Cyberbeveiligingswet (implementatie van NIS2) en de Wet weerbaarheid kritieke entiteiten (implementatie van CER) in werking. Daarmee ontstaat er, binnen enkele weken tijd, een gelaagd stelsel van meldplichten:

De regimes overlappen deels, maar hebben elk een eigen focus. De Cbw richt zich op de dienstverlening van de entiteit; de Wwke op de continuïteit van entiteiten die specifiek zijn aangewezen als kritiek voor de Nederlandse maatschappij; de CRA op het product zelf. Een fabrikant die tevens essentiële entiteit is (denk aan een leverancier van industriële besturingssystemen aan de energiesector) kan bij één incident met verplichtingen onder meerdere regimes te maken krijgen. De termijnen, 24 uur voor de early warning onder zowel NIS2 als CRA, vallen dan samen, maar de inhoud en de geadresseerde kunnen (subtiel) verschillen.

Wat te doen? Vijf aanbevelingen

Fabrikanten die producten met digitale elementen op de Europese markt aanbieden, doen er verstandig aan om nu de volgende stappen te zetten:

1. Breng het toepassingsbereik in kaart. Inventariseer welke van jouw producten onder de CRA vallen en of daar "belangrijke" of "kritieke" producten in de zin van bijlagen III en IV bij zitten. Voor die producten gelden niet alleen zwaardere conformiteitsprocedures (die later ingaan) maar zullen incidenten in het algemeen ook ernstiger kunnen zijn, waardoor het melden en tijdig treffen van maatregelen belangrijker zal zijn.

2. Richt een intern meldproces in. De 24-uurstermijn is kort. Zorg voor duidelijke escalatielijnen tussen productteams, security, legal en communicatie, en documenteer wanneer sprake is van "kennisname".

3. Stem de CRA-meldstroom af op NIS2/CER. Bepaal per scenario welk regime van toepassing is en voorkom dubbel werk door één integraal incident response-proces in te richten.

4. Volg de richtsnoeren van ENISA, het NCSC en de RDI. De komende maanden verschijnen definitieve uitvoeringshandelingen, technische specificaties van het meldplatform en Nederlandse guidance. Neem deze mee in jouw beleid.

5. Documenteer en train. Zorg dat medewerkers weten hoe zij een potentieel meldwaardig incident of een actief misbruikte kwetsbaarheid herkennen, en oefen het proces met tabletop-exercises.

Tot slot

Met de gefaseerde inwerkingtreding van de CRA, gecombineerd met de Cbw en de Wwke, ontstaat er in de tweede helft van 2026 een nieuw juridisch kader voor cybersecurity in Nederland en de EU. Voor 15 augustus word je geacht om te weten of je onder de Cyberbeveiligingswet valt en aan de meldplichten voldoen als dat het geval is. Vanaf 11 september geldt dat ook voor de CRA.

Wil je weten wat de NIS2 en Cyberbeveiligingswet concreet betekenen voor jouw organisatie en hoe je aan de verplichtingen voldoet? Tijdens onze NIS2-compliance training krijg je praktische handvatten om de vereisten te vertalen naar jouw organisatie.