CRA-meldingsregister: termijnen en velden van het centrale meldingsplatform

• telt de vroegtijdige waarschuwing (24 uur) en de kennisgeving (72 uur) vanaf het moment waarop u er kennis van kreeg, in uw lokale tijd en in UTC;
• telt het eindverslag: 14 dagen nadat een corrigerende of mitigerende maatregel beschikbaar is voor een kwetsbaarheid, een maand nadat u de kennisgeving hebt ingediend voor een incident;
• zet de velden van het platform op een rij met de nummers van ENISA, de stap die elk veld vereist en de tekenlimiet, en kopieert de antwoorden van een stap om te plakken;
• toont bij welk CSIRT u meldt onder artikel 14, lid 7, ook als u geen vestiging in de EU hebt;
• stelt het bericht aan gebruikers op dat artikel 14, lid 8, vraagt, op basis van wat u al hebt ingevuld.

De eigen teller van het platform toont de termijn van 72 uur momenteel als 48 uur nadat u de vroegtijdige waarschuwing hebt ingediend, en heeft geen teller voor het eindverslag over een kwetsbaarheid (vragen en antwoorden van ENISA, 3 oktober 2026). ENISA zegt dat de tellers alleen hulpmiddelen zijn en dat de wettelijke termijn blijft gelden. Deze pagina telt vanaf het moment waarop u er kennis van kreeg, zoals artikel 14 doet.

U meldt een actief uitgebuite kwetsbaarheid in uw product: een kwetsbaarheid waarvoor betrouwbaar bewijs bestaat dat een kwaadwillende actor haar zonder toestemming van de eigenaar in een systeem heeft uitgebuit (artikel 3, punt 42). Volgens de vragen en antwoorden van de Commissie is een kwetsbaarheid die bij tests is gevonden of te goeder trouw door een onderzoeker is gemeld, zonder bewijs van kwaadwillige uitbuiting, er geen. U meldt ook een ernstig incident dat gevolgen heeft voor de beveiliging van uw product (artikel 14, lid 5). Eén kennisgeving dekt één kwetsbaarheid of incident, ook als u meerdere vestigingen in de EU hebt.

Artikel 64, lid 2, stelt voor het niet naleven van artikel 14 boetes vast van ten hoogste 15 miljoen EUR of, voor een onderneming, ten hoogste 2,5 % van de totale wereldwijde jaaromzet, als dat hoger is. Op grond van artikel 64, lid 10, punt a), gelden die boetes niet voor micro- en kleine ondernemingen die de termijn van 24 uur voor de vroegtijdige waarschuwing missen; geen andere termijn valt daaronder. Artikel 14 geldt sinds 11 september 2026. Artikel 64 hoort niet bij de bepalingen die eerder gelden, dus het is van toepassing vanaf 11 december 2027 (artikel 71, lid 2).

De regels zelf staan op de pagina CRA-meldingen; of de verordening uw product überhaupt dekt, staat op de pagina Verordening cyberweerbaarheid.

Deze pagina stuurt niets naar ENISA: u dient zelf in op het centrale meldingsplatform. Niets wat u invoert verlaat uw browser en er wordt niets opgeslagen, dus download het registerbestand om uw werk te bewaren. De veldenlijst en de richtsnoeren van ENISA kunnen veranderen, en de richtsnoeren van de Commissie zijn niet bindend. Dit is geen juridisch advies.