CRA-meldingen: actief uitgebuite kwetsbaarheden en ernstige incidenten
Artikel 14 van de Verordening cyberweerbaarheid geldt sinds 11 september 2026, vóór de rest van de verordening. Het dekt elk product met digitale elementen dat eronder valt, ook producten die vóór 11 december 2027 in de handel zijn gebracht (artikel 69, lid 3).
Gecontroleerd aan de hand van de bronnen op 10 oktober 2026
Verordening (EU) 2024/2847, artikelen 14, 16, 69 en 71
Gecontroleerd aan de hand van de bronnen op 10 oktober 2026
Calculator voor meldingstermijnen
Vul in wanneer u er kennis van kreeg. De termijnen lopen in uren vanaf dat moment, dus ze worden getoond in uw lokale tijd en in UTC. Er wordt niets opgeslagen.
Meld via het centrale meldingsplatform van ENISA aan het CSIRT van de lidstaat van uw hoofdvestiging in de EU. Het CSIRT kan om een tussentijds verslag vragen.
Wat moet worden gemeld
- een actief uitgebuite kwetsbaarheid in uw product waarvan u kennis krijgt (artikel 14, lid 1);
- een ernstig incident dat gevolgen heeft voor de beveiliging van uw product (artikel 14, lid 3): een incident dat de beschikbaarheid, authenticiteit, integriteit of vertrouwelijkheid van gevoelige of belangrijke gegevens of functies aantast of kan aantasten, of dat heeft geleid of kan leiden tot het invoeren of uitvoeren van kwaadaardige code in het product of in de systemen van een gebruiker (artikel 14, lid 5).
Termijnen, gerekend vanaf het moment waarop u er kennis van krijgt
| Stap | Actief uitgebuite kwetsbaarheid | Ernstig incident |
|---|---|---|
| Vroegtijdige waarschuwing | Binnen 24 uur, met de lidstaten waarvan u weet dat het product er beschikbaar is. | Binnen 24 uur, met ook de vermelding of onrechtmatige of kwaadwillige handelingen worden vermoed. |
| Kennisgeving | Binnen 72 uur: het product, de aard van de uitbuiting en van de kwetsbaarheid, genomen maatregelen en maatregelen die gebruikers kunnen nemen, en hoe gevoelig u de informatie acht. | Binnen 72 uur: de aard van het incident, een eerste beoordeling, genomen maatregelen en maatregelen die gebruikers kunnen nemen, en hoe gevoelig u de informatie acht. |
| Eindverslag | Uiterlijk 14 dagen nadat een corrigerende of mitigerende maatregel beschikbaar is: de kwetsbaarheid met de ernst en de gevolgen, een eventuele kwaadwillende actor, en de beveiligingsupdate. | Binnen een maand na de kennisgeving: een gedetailleerde beschrijving, de waarschijnlijke dreiging of grondoorzaak, en de mitigerende maatregelen. |
Het CSIRT dat de kennisgeving ontvangt, kan om een tussentijds verslag over de stand van zaken vragen (artikel 14, lid 6).
Waar u meldt
Via het centrale meldingsplatform van ENISA, dat op 11 september 2026 is geopend. U dient in bij het als coördinator aangewezen CSIRT van de lidstaat van uw hoofdvestiging in de EU, de plaats waar de beslissingen over de cyberbeveiliging van uw producten hoofdzakelijk worden genomen. ENISA ontvangt de kennisgeving tegelijk, en het CSIRT stuurt haar door naar de andere lidstaten waar het product beschikbaar is (artikel 14, lid 7, en artikel 16).
Fabrikanten buiten de EU
Zonder hoofdvestiging in de EU meldt u bij het CSIRT van de eerste lidstaat in deze lijst die van toepassing is (artikel 14, lid 7):
- waar de gemachtigde is gevestigd die voor het grootste aantal van uw producten optreedt;
- waar de importeur is gevestigd die het grootste aantal van uw producten in de handel brengt;
- waar de distributeur is gevestigd die het grootste aantal van uw producten op de markt aanbiedt;
- waar het grootste aantal gebruikers van uw producten zich bevindt.
Informeer uw gebruikers
Informeer de getroffen gebruikers, en waar passend alle gebruikers, over de kwetsbaarheid of het incident en over de maatregelen die zij kunnen nemen, waar passend in een gestructureerd, machineleesbaar formaat (artikel 14, lid 8). Doet u dat niet tijdig, dan kan het CSIRT hen informeren.
Bereid u voor voordat het gebeurt
- registreer u op het centrale meldingsplatform (ENISA publiceert een gebruikershandleiding);
- bepaal wie binnen 24 uur beoordeelt of een kwetsbaarheid actief wordt uitgebuit of een incident ernstig is;
- houd een lijst bij van de lidstaten waar elk product wordt verkocht, en van uw gemachtigde, importeurs en distributeurs;
- bereid een sjabloon voor het bericht aan gebruikers voor.
In welke klasse valt uw product, en heeft het een aangemelde instantie nodig? Zie de pagina Verordening cyberweerbaarheid.