Op vrijdag 11 september 2026 treedt de meldplicht uit de Europese Cyber Resilience Act (CRA) in werking. Vanaf dat moment moeten fabrikanten van hardware en software actief misbruikte kwetsbaarheden en incidenten in hun producten melden. De melding wordt gedaan bij het Nationaal Cyber Security Centrum (NCSC) of het Europees Agentschap voor cyberbeveiliging (ENISA).
De CRA is in het leven geroepen met het oog op (cyber)veiligheid van digitale producten. Niet alleen bij levering, maar ook na het doorvoeren van (automatische) updates. Dit moet een bijdrage leveren aan een veilig gebruik van digitale producten door consumenten en bedrijven. De CRA heet in het Nederlands de ‘Verordening cyberweerbaarheid’.Groeien
Wie, wat waar?
Zowel fabrikanten, importeurs als distributeurs hebben verplichtingen in de CRA. Daarbij is de CRA van toepassing op producten met digitale elementen die op de Europese markt worden aangeboden. Dit zijn niet alleen fysieke producten zoals IoT-apparatuur, firewalls of netwerkapparatuur. Denk ook aan software zoals videogames, mobiele apps en besturingssystemen in (druk)machines.
De verordening onderscheidt vier verschillende producten: regulier product, belangrijk product klasse I, belangrijk product klasse II en kritiek product.
Meer informatie in de ‘Gids Cyber Resilience Act’ van de RDI of de Uitvoeringsverordening van de Commissie.
