De rapportageverplichtingen van de Cyber Resilience Act gelden sinds 11 september 2026. Sindsdien moeten fabrikanten actief uitgebuite kwetsbaarheden en ernstige incidenten die gevolgen hebben voor hun producten melden via het centrale meldingsplatform van ENISA (Single Reporting Platform): een vroegtijdige waarschuwing binnen 24 uur, een melding binnen 72 uur en daarna een eindverslag. De meeste andere verplichtingen van de verordening gelden vanaf 11 december 2027.
De Cyber Resilience Act (CRA) is een Europese verordening, Verordening (EU) 2024/2847 van 23 oktober 2024. Ze legt horizontale cyberbeveiligingsvereisten vast voor "producten met digitale elementen", hardware en software, die op de EU-markt worden aangeboden, en wordt gefaseerd van toepassing. Deze pagina vermeldt elke datum, wat er dan van toepassing wordt, het artikel dat die datum vastlegt en wie betrokken is, en daarna de stand van de uitvoeringshandelingen, de geharmoniseerde normen en de voorstellen van 2025-2026.
Wat zijn de belangrijkste data van de Cyber Resilience Act?
| Datum | Wat van toepassing wordt | Artikel | Wie is betrokken |
|---|---|---|---|
| 20 november 2024 | Bekendmaking in het Publicatieblad (PB L, 2024/2847) | Art. 71(1) | Alle marktdeelnemers |
| 10 december 2024 | Inwerkingtreding (twintigste dag na de bekendmaking); er geldt nog geen enkele verplichting | Art. 71(1) | Alle marktdeelnemers |
| 21 december 2025 | Uitvoeringsverordening (EU) 2025/2392 treedt in werking: technische beschrijving van de categorieën belangrijke (bijlage III) en kritieke (bijlage IV) producten | Art. 7(4) | Fabrikanten van belangrijke en kritieke producten |
| 10 mei 2026 | Gedelegeerde Verordening (EU) 2026/881 treedt in werking: voorwaarden waaronder een als coördinator aangewezen CSIRT de doorgifte van een melding mag uitstellen | Art. 14(9), art. 16(2) | CSIRT's; fabrikanten die om uitstel vragen |
| 11 juni 2026 | Hoofdstuk IV is van toepassing: aanmeldende autoriteiten en aanmelding van conformiteitsbeoordelingsinstanties | Art. 35 tot en met 51, art. 71(2) | Lidstaten, conformiteitsbeoordelingsinstanties |
| 27 juli 2026 | Richtsnoeren C(2026) 5252 van de Commissie gepubliceerd (niet bindend) | Art. 26 | Fabrikanten, met name kmo's |
| 11 september 2026 | Melding van actief uitgebuite kwetsbaarheden en ernstige incidenten via het centrale meldingsplatform, ook voor producten die al in de handel zijn | Art. 14, art. 16, art. 69(3) | Fabrikanten, en importeurs of distributeurs die als fabrikant worden beschouwd |
| 11 december 2026 | De lidstaten streven naar voldoende aangemelde instanties om knelpunten te voorkomen | Art. 35(2) | Lidstaten |
| 30 oktober 2027 | Uiterste datum voor de laatste 13 horizontale normen en voor het eindverslag van de normalisatieorganisaties | Besluit C(2025) 618 | CEN, CENELEC, ETSI |
| 11 december 2027 | Volledige toepassing: essentiële cyberbeveiligingsvereisten (bijlage I), conformiteitsbeoordeling, CE-markering, verplichtingen van importeurs, distributeurs en opensourcesoftwarestewards, markttoezicht | Art. 71(2) | Fabrikanten, importeurs, distributeurs, gemachtigde vertegenwoordigers, opensourcesoftwarestewards |
| 11 juni 2028 | Einde van de geldigheid van certificaten van EU-typeonderzoek en goedkeuringsbesluiten die op grond van andere wetgeving zijn afgegeven voor cyberbeveiligingsvereisten | Art. 69(1) | Fabrikanten van producten die onder andere harmonisatiewetgeving vallen |
| 11 september 2028 | Verslag van de Commissie over de doeltreffendheid van het centrale meldingsplatform | Art. 70(2) | Commissie, ENISA, CSIRT's |
Twee overgangsregels zijn in de praktijk belangrijk. Producten die vóór 11 december 2027 in de handel zijn gebracht, vallen alleen onder de vereisten van de CRA als ze na die datum ingrijpend worden gewijzigd (artikel 69(2)). De rapportageverplichtingen vormen de uitzondering: artikel 69(3) past artikel 14 toe op elk product binnen het toepassingsgebied dat al in de handel is, ongeacht de datum waarop het in de handel is gebracht.
Wat moeten fabrikanten precies melden, en wanneer?
Artikel 14 voorziet in twee parallelle meldingssporen. Beide beginnen op het moment dat de fabrikant "kennis krijgt" van de gebeurtenis, en beide verlopen via hetzelfde platform.
| Stap | Actief uitgebuite kwetsbaarheid (art. 14(1)-(2)) | Ernstig incident met gevolgen voor de beveiliging van het product (art. 14(3)-(4)) |
|---|---|---|
| Vroegtijdige waarschuwing | Binnen 24 uur; lidstaten waar het product beschikbaar is gesteld, voor zover bekend | Binnen 24 uur; of onwettige of kwaadwillige handelingen worden vermoed; betrokken lidstaten, voor zover bekend |
| Melding | Binnen 72 uur; algemene informatie over het product, aard van de uitbuiting en van de kwetsbaarheid, genomen corrigerende of risicobeperkende maatregelen en die welke gebruikers kunnen nemen, gevoeligheid van de informatie | Binnen 72 uur; aard van het incident, eerste beoordeling, genomen corrigerende of risicobeperkende maatregelen en die welke gebruikers kunnen nemen, gevoeligheid van de informatie |
| Eindverslag | Uiterlijk 14 dagen nadat een corrigerende of risicobeperkende maatregel beschikbaar is; beschrijving, ernst en gevolgen, informatie over een eventuele kwaadwillige actor, details van de beveiligingsupdate | Binnen één maand na de incidentmelding; gedetailleerde beschrijving, ernst en gevolgen, waarschijnlijk soort bedreiging of grondoorzaak, toegepaste en lopende beperkende maatregelen |
Verdere punten van artikel 14:
- Een incident is ernstig wanneer het negatieve gevolgen heeft of kan hebben voor het vermogen van het product om de beschikbaarheid, authenticiteit, integriteit of vertrouwelijkheid van gevoelige of belangrijke gegevens of functies te beschermen, of wanneer het heeft geleid of kan leiden tot kwaadwillige code in het product of in de systemen van een gebruiker (art. 14(5)).
- Het als coördinator aangewezen CSIRT kan om een tussentijds verslag met statusupdates vragen (art. 14(6)).
- De fabrikant moet ook de getroffen gebruikers, en indien passend alle gebruikers, informeren over de kwetsbaarheid of het incident en over de risicobeperkende maatregelen die zij kunnen nemen (art. 14(8)).
- De melding gaat naar het als coördinator aangewezen CSIRT van de lidstaat van de hoofdvestiging van de fabrikant, dat wil zeggen de plaats waar de besluiten over de cyberbeveiliging van zijn producten hoofdzakelijk worden genomen. Fabrikanten zonder hoofdvestiging in de Unie volgen de volgorde van artikel 14(7): gemachtigde vertegenwoordiger, importeur, distributeur en ten slotte gebruikers.
- Volgens artikel 64(10) gelden de administratieve geldboeten niet voor fabrikanten die micro- of kleine ondernemingen zijn wanneer ze de termijn van 24 uur voor de vroegtijdige waarschuwing niet halen, en evenmin voor opensourcesoftwarestewards.
Hoe werkt het centrale meldingsplatform?
Het centrale meldingsplatform (Single Reporting Platform) is het systeem dat ENISA op grond van artikel 16 heeft opgezet om CRA-meldingen te ontvangen. ENISA heeft het op 11 september 2026 gelanceerd als "initial operating capability", een eerste operationele versie, en verplichte meldingen moeten via dit platform verlopen. De fabrikant dient één keer in: de melding bereikt tegelijk het als coördinator aangewezen CSIRT en ENISA, waarna het CSIRT ze doorgeeft aan de CSIRT's van de andere lidstaten waar het product beschikbaar is. In uitzonderlijke gevallen kan de verspreiding om gerechtvaardigde cyberbeveiligingsredenen worden uitgesteld (art. 16(2)), onder de voorwaarden van Gedelegeerde Verordening (EU) 2026/881. ENISA publiceert de handleiding voor gebruikers, de lijst van als coördinator aangewezen CSIRT's en de status van het platform op zijn SRP-pagina.
Hoe staat het met de geharmoniseerde normen?
Het normalisatieverzoek C(2025) 618 van de Commissie van 3 februari 2025 vraagt CEN, CENELEC en ETSI om 41 normen: 15 horizontale en 26 productspecifieke (verticale). Het besluit legt drie termijnen vast:
- 30 augustus 2026: twee horizontale normen, één over het ontwerpen, ontwikkelen en produceren van producten op basis van het risico, en één over de behandeling van kwetsbaarheden.
- 30 oktober 2026: de 26 verticale normen voor de categorieën belangrijke en kritieke producten.
- 30 oktober 2027: de 13 overige horizontale normen, plus het gezamenlijke eindverslag.
Een norm geeft pas een vermoeden van conformiteit zodra de referentie ervan in het Publicatieblad is bekendgemaakt (artikel 27(1)). De CRA-normalisatiepagina van de Commissie, laatst bijgewerkt op 31 juli 2026, vermeldde nog geen enkele norm waarvan de referentie was bekendgemaakt. Zolang dat niet het geval is, moeten fabrikanten rechtstreeks documenteren hoe zij aan bijlage I voldoen. De uitvoeringskalender van de Commissie voorziet ook in een gedelegeerde handeling in het vierde kwartaal van 2026 over het vermoeden van conformiteit voor producten die gecertificeerd zijn onder de Europese cyberbeveiligingscertificeringsregeling op basis van gemeenschappelijke criteria (EUCC).
Heeft de digitale omnibus de CRA-data gewijzigd?
Nee. Het voorstel voor een digitale omnibus van 19 november 2025 (COM(2025) 837) wijzigt noch de data van de CRA, noch artikel 14. Het zou ENISA vragen één centraal toegangspunt te bouwen voor incidentmeldingen onder NIS2, de AVG, DORA, eIDAS en de CER-richtlijn, dat kan voortbouwen op het centrale meldingsplatform van de CRA. Het zou ook NIS2 wijzigen, zodat de melding van een ernstig incident die een fabrikant onder de CRA indient, geldt als melding onder NIS2 wanneer ze de vereiste informatie bevat. Deze tekst is nog een voorstel: de Raad heeft op 21 oktober 2026 zijn onderhandelingspositie vastgelegd, en de onderhandelingen met het Europees Parlement kunnen pas beginnen zodra het Parlement zijn eigen standpunt heeft aangenomen. De afzonderlijke digitale omnibus inzake AI, vastgesteld als Verordening (EU) 2026/1744, heeft geen betrekking op de CRA.
Wat moeten fabrikanten nu controleren?
- Breng elk product met digitale elementen in kaart, met zijn categorie volgens Uitvoeringsverordening (EU) 2025/2392.
- Registreer u op het centrale meldingsplatform, met een back-upgebruiker, en identificeer het als coördinator aangewezen CSIRT.
- Organiseer een 24-uursintake voor kwetsbaarheidsmeldingen en signalen van uitbuiting, gekoppeld aan uw incidentproces.
- Houd een software bill of materials actueel: zie onze praktische gids over SBOM en CycloneDX.
- Neem meldings- en updateverplichtingen op in leverancierscontracten: zie CRA-contractclausules voor leveranciers van digitale producten.
- Reserveer tijdig capaciteit bij een aangemelde instantie als uw producten belangrijk of kritiek zijn.
De kaders die ResiPlan in kaart brengt, waaronder de CRA, staan op https://www.resiplan.eu/nl/compliance-frameworks.
FAQ
Gelden de rapportageverplichtingen ook voor producten die vóór 2027 zijn verkocht?
Ja. Artikel 69(3) past artikel 14 toe op alle producten binnen het toepassingsgebied die al in de handel zijn, ook die welke vóór 11 december 2027 in de handel zijn gebracht.
Moeten importeurs en distributeurs melden?
Artikel 14 is gericht op fabrikanten. Een importeur of distributeur die een product onder zijn eigen naam of merk verkoopt, of het ingrijpend wijzigt, wordt als fabrikant beschouwd en moet melden (artikel 21). Hun eigen verplichtingen onder de artikelen 19 en 20 gelden vanaf 11 december 2027.
Vallen opensourceprojecten eronder?
Opensourcesoftwarestewards moeten melden op grond van artikel 24(3), voor zover zij bij de ontwikkeling betrokken zijn; volgens de Commissie gelden deze verplichtingen vanaf 11 december 2027. Administratieve geldboeten zijn niet van toepassing op stewards (artikel 64(10)).
Moet het eindverslag 14 dagen na het incident worden ingediend?
Niet altijd. Het eindverslag binnen 14 dagen geldt voor actief uitgebuite kwetsbaarheden, te rekenen vanaf het moment dat een oplossing of risicobeperkende maatregel beschikbaar is. Bij ernstige incidenten moet het eindverslag binnen één maand na de melding binnen 72 uur worden ingediend.
Bronnen
- Verordening (EU) 2024/2847 (Cyber Resilience Act), EUR-Lex
- Uitvoeringsverordening (EU) 2025/2392, EUR-Lex
- Gedelegeerde Verordening (EU) 2026/881, EUR-Lex
- Europese Commissie, rapportageverplichtingen van de CRA
- Europese Commissie, uitvoeringskalender van de CRA
- Europese Commissie, richtsnoeren van 27 juli 2026
- Europese Commissie, normalisatie voor de CRA
- Normalisatieverzoek C(2025) 618, register van de Commissie
- ENISA, centraal meldingsplatform van de CRA
- Voorstel voor een digitale omnibus COM(2025) 837, EUR-Lex
- Raad van de EU, persbericht van 21 oktober 2026