CRA-incident- en kwetsbaarheidsmelding

01Wat moet worden gemeld

Artikel 14 van de Cyber Resilience Act creëert twee meldplichten voor fabrikanten van producten met digitale elementen. Die zijn beperkter dan zij op het eerste gezicht lijken: routinematige bugs en gewone patches vallen er niet onder. Art. 14

• Actief misbruikte kwetsbaarheden; een kwetsbaarheid in uw product waarvoor betrouwbaar bewijs bestaat dat een kwaadwillende deze heeft misbruikt in een systeem zonder toestemming van de eigenaar. Een kwetsbaarheid die u ontdekt en patcht voordat zij wordt misbruikt, wordt afgehandeld via uw gewone kwetsbaarhedenbeheersproces, niet dit meldingskanaal.
• Ernstige incidenten; een incident dat het vermogen van het product om de beschikbaarheid, authenticiteit, integriteit of vertrouwelijkheid van gegevens of functies te beschermen negatief beïnvloedt of kan beïnvloeden. De ernstcriteria staan in artikel 14(5).

De verplichtingen gelden niet alleen voor commerciële fabrikanten. Beheerders van opensourcesoftware hebben eigen meldingsverplichtingen voor zover zij betrokken zijn bij producten met digitale elementen. Art. 24(3)

02De drie termijnen

Elke melding verloopt in drie fasen, gemeten vanaf het moment dat u op de hoogte raakt van de misbruikte kwetsbaarheid of het ernstige incident. De termijnen zijn krap, en daarom is voorbereiding van belang. Art. 14(2)–(4)

• Binnen 24 uurVroegtijdige waarschuwing. Een eerste melding dat zich een actief misbruikte kwetsbaarheid of een ernstig incident heeft voorgedaan, bij incidenten met inbegrip van de vraag of wordt vermoed dat het is veroorzaakt door onrechtmatige of kwaadwillige handelingen.
• Binnen 72 uurKwetsbaarheids- / incidentmelding. Een vollediger verslag: de algemene aard van de kwetsbaarheid en van de exploit, een eerste beoordeling en de genomen corrigerende of mitigerende maatregelen, plus de maatregelen die gebruikers kunnen nemen.
• EindrapportEindrapport. Voor een kwetsbaarheid, uiterlijk 14 dagen nadat een corrigerende of mitigerende maatregel beschikbaar is gekomen. Voor een ernstig incident, binnen één maand na de melding op 72 uur. Daarin staan de volledige beschrijving, de ernst, de impact en de toegepaste herstelmaatregel.

Let op de asymmetrie in de laatste rij: bij kwetsbaarheden gaat de klok lopen doordat er een oplossing bestaat, bij incidenten door de eerdere melding. Dat zijn verschillende mechanismen en het loont om ze afzonderlijk in uw runbook vast te leggen.

03Wanneer het begint

De meldingsverplichtingen zijn het vroegste belangrijke onderdeel van de CRA dat van kracht wordt. Terwijl de meeste bepalingen van toepassing zijn vanaf 11 december 2027, is Artikel 14 van toepassing vanaf 11 september 2026; 21 maanden nadat de verordening in werking is getreden. ENISA heeft gepland dat het centraal meldingsplatform op diezelfde datum operationeel is. Art. 71

04Bij wie u meldt

Meldingen gaan naar ENISA en aan de als coördinator aangewezen CSIRT, via één enkel toegangspunt in plaats van afzonderlijke indieningen bij elke nationale autoriteit. Dat toegangspunt is het centraal meldingsplatform, dat ENISA op grond van artikel 16 opzet, beheert en onderhoudt. Art. 14 · 16

Welk CSIRT het uwe is, volgt uit uw hoofdvestiging in de Unie of, wanneer u niet in de EU bent gevestigd, uit die van uw gemachtigde. Het ontvangende CSIRT verspreidt de melding verder naar de CSIRTs in de lidstaten waar het product beschikbaar is, en zo nodig naar de markttoezichtautoriteiten. Art. 14(7) · 18

Aan beide kanten is ondersteuning beschikbaar. ENISA beheert een helpdesk, met bijzondere aandacht voor mkb-bedrijven, en de als coördinator aangewezen CSIRTs moeten eveneens helpdeskondersteuning bieden bij de verplichtingen uit artikel 14. ENISA voert verholpen kwetsbaarheden ook in in de European Vulnerability Database, en publiceert tweejaarlijks een technisch trendrapport, waarvan het eerste binnen 24 maanden na de start van de meldingsverplichtingen moet verschijnen. Art. 17(6)

De verspreiding van een gemelde kwetsbaarheid kan door het CSIRT worden opgeschort, maar niet door u

Het ontvangende CSIRT mag de verdere verspreiding op gerechtvaardigde cyberbeveiligingsgronden uitstellen of achterwege laten, gedurende een strikt noodzakelijke periode; bijvoorbeeld wanneer een kwetsbaarheid deel uitmaakt van een gecoördineerde openbaarmakingsprocedure. De Commissie heeft de voorwaarden nader bepaald in een gedelegeerde handeling die is vastgesteld op 11 december 2025. Wanneer een CSIRT een melding achterhoudt, moet het ENISA daarvan onmiddellijk in kennis stellen, met een motivering en een indicatie van het moment waarop het tot verspreiding zal overgaan.

Daarnaast kunt u in bijzonder uitzonderlijke omstandigheden in uw melding op 72 uur een van de eng omschreven voorwaarden van artikel 16(2) aankruisen: dat het misbruik beperkt blijft tot de lidstaat van uw CSIRT, dat verdere verspreiding in strijd zou zijn met de wezenlijke belangen van die lidstaat, of dat verspreiding een imminent hoog cyberbeveiligingsrisico oplevert. Doet u dat, dan ontvangt ENISA slechts beperkte informatie (dat er een melding is gedaan, algemene informatie over het product, de algemene aard van de exploit en dat er beveiligingsgronden zijn aangevoerd) totdat het CSIRT de volledige melding vrijgeeft.

05Registreren op het platform

De richtsnoeren van ENISA van 31 juli 2026 zijn het eerste materiaal waarin de werkelijke schermen te zien zijn. Registreren op het platform zelf kan pas wanneer het live gaat, maar u kunt nu al bepalen wie de accounts beheert en hun inloggegevens gereedmaken, en u zou de procedure moeten kennen voordat u haar onder een klok van 24 uur doorloopt.

Wijs twee personen aan voordat u hen nodig hebt

Het platform geeft elke fabrikant twee soorten gebruikersaccount, en u kunt vandaag al bepalen wie ze invult. Een primaire vertegenwoordiger registreert zich als eerste en maakt de vermelding van de fabrikant op het platform aan. Die persoon nodigt vervolgens een secundaire vertegenwoordiger uit, die bij dezelfde fabrikant een back-uprol vervult en namens die fabrikant kan indienen. Beiden zijn met naam genoemde personen binnen uw onderneming. Omdat het indienen handmatig gebeurt, is één aangewezen melder die op vakantie is, slaapt of vertrokken is een reëel operationeel risico; beschouw de tweede plaats dus als noodzakelijk in plaats van optioneel.

EU Login is het inlogmiddel, en beide personen kunnen het vandaag al aanmaken

Platformaccounts authenticeren via EU Login, de gedeelde inlogdienst van de Europese Commissie die in al haar onlinesystemen wordt gebruikt. ENISA geeft aan dat het account vooraf kan worden aangemaakt, en dat is op dit moment het nuttigste wat u kunt doen. Maak er één aan voor de primaire vertegenwoordiger en één voor de secundaire op ecas.ec.europa.eu, met zakelijke e-mailadressen die over een jaar nog bestaan. De Commissie legt op haar pagina's over vertrouwde digitale identiteit uit wat EU Login is en hoe het past in haar bredere identiteitskader.

De registratieprocedure

Bij de eerste toegang tot het platform selecteert u uw rol, kiest u uw aangewezen CSIRT uit een keuzelijst, authenticeert u zich via EU Login, leest en aanvaardt u de juridische overeenkomst, bevestigt u uw vooraf ingevulde persoonsgegevens (voornaam, achternaam, e-mail, wettelijke naam) en voert u vervolgens de naam, het adres en de aanvullende informatie van de fabrikant in. Als u een verplicht veld over de fabrikant openlaat, loopt de procedure vast. Na afronding wordt uw account actief in de rol "AR Active", ontvangt u een bevestigingsmail en wordt de entiteit van de fabrikant in het platform aangemaakt.

De secundaire vertegenwoordiger sluit aan via een e-mailuitnodiging van de primaire vertegenwoordiger, bevestigt de vooraf ingevulde persoons- en fabrikantgegevens en wordt als back-upgebruiker bij dezelfde fabrikant geregistreerd. Die uitnodiging verloopt na 7 dagen, waarna het record wordt gemarkeerd als "Invitation Expired" en een nieuwe uitnodiging moet worden verstuurd. Zet de back-up in dezelfde sessie op als de primaire vertegenwoordiger; een verlopen uitnodiging die u midden in een incident ontdekt, is een vermijdbaar probleem.

Het CSIRT controleert uw vertegenwoordiger handmatig, maar dat belet u niet om in te dienen

Iemand moet bevestigen dat een bepaalde persoon daadwerkelijk namens een bepaalde fabrikant mag melden, en die controle komt toe aan het als coördinator aangewezen CSIRT. Het is een handmatige stap, de procedure verschilt per CSIRT en elk CSIRT bepaalt zijn eigen aanpak. Cruciaal is dat zij plaatsvindt na uw eerste toegang tot het platform en parallel loopt aan uw melding: ENISA geeft aan dat de validatie niet van invloed is op uw mogelijkheid om meldingen in te dienen. Met een niet-gevalideerd account kunt u nog steeds binnen de termijn van 24 uur indienen.

Daarom adviseert ENISA ook om pas te registreren en de validatie te starten wanneer u daadwerkelijk moet indienen, in plaats van de hele markt vooraf te registreren en de CSIRTs te bedelven onder speculatieve controles. De voorbereiding die u vooraf treft, bestaat uit de EU Login-accounts en de keuze wie de twee plaatsen invult, niet uit de registratie op het platform zelf.

06Een melding indienen

Melden verloopt via een dashboard. U maakt een melding aan en vult vervolgens bij elke fase hetzelfde record aan, in plaats van drie afzonderlijke stukken in te dienen. Elke fase heeft een eigen tabblad en elke fase kan eerst als concept worden opgeslagen; concepten zijn alleen voor u zichtbaar.

• Vroegtijdige waarschuwingStart vanuit het dashboard een nieuwe melding, vul de verplichte velden in en selecteer een bestaande fabrikant of voeg er een toe. Bij indiening wordt de melding verzonden naar uw aangewezen CSIRT en automatisch naar ENISA. Bevestigingen per e-mail en als waarschuwing gaan naar u, het CSIRT en ENISA.
• 72 uurPas beschikbaar zodra er een vroegtijdige waarschuwing bestaat. Open dezelfde melding en vul het tabblad voor 72 uur in. ENISA ontvangt deze automatisch, tenzij u zich beroept op de voorwaarden van artikel 16(2); in dat geval wordt het record gemarkeerd en is de weergave voor ENISA beperkt totdat het CSIRT deze vrijgeeft.
• EindrapportPas beschikbaar zodra beide eerdere fasen bestaan. Andere betrokken CSIRTs ontvangen het eindrapport pas nadat uw coördinerende CSIRT het handmatig heeft verspreid.

Wat verplicht is, en wanneer

ENISA heeft gepubliceerd welke velden in elke fase verplicht zijn. De tabel corrigeert een wijdverbreide aanname: de vroegtijdige waarschuwing binnen 24 uur is een waarschuwing, geen onderzoek.

• Na 24 uur; het type en het niveau van de melding, de naam van de fabrikant of beheerder, het product en een titel. Bij incidenten: of onrechtmatige of kwaadwillige handelingen worden vermoed. De lidstaten waar het product beschikbaar is, zijn alleen verplicht wanneer u die gegevens al hebt.
• Na 72 uur; de algemene aard van de kwetsbaarheid en van de exploit, de genomen corrigerende of mitigerende maatregelen en de maatregelen die gebruikers kunnen nemen. Bij incidenten: wanneer het is vastgesteld en wanneer het zich heeft voorgedaan, plus een eerste beoordeling. Gevoeligheid wordt hier gemarkeerd.
• Bij het eindrapport; de volledige beschrijving, de ernst en de impact, de datum waarop een corrigerende maatregel beschikbaar kwam en bijzonderheden over de beveiligingsupdate. Bij incidenten: de waarschijnlijke onderliggende oorzaak en de lopende mitigerende maatregelen.

Optionele velden die u toch beter kunt vastleggen, zijn onder meer de CVE ID en de EUVD ID, beide beschikbaar vanaf de eerste fase.

Bewerken, en het punt van geen terugkeer

Een ingediende melding kan worden bijgewerkt, en het platform waarschuwt automatisch uw CSIRT, ENISA en de CSIRTs die de melding al via verspreiding hebben ontvangen. Er gelden twee beperkingen: een gesloten melding kan niet worden bijgewerkt, en het record wordt onbewerkbaar zodra het eindrapport is ingediend.

07Wat u vandaag kunt doen

Een termijn van 24 uur halen is een operationeel vraagstuk, geen papieren kwestie, en vrijwel de hele voorbereiding is nu al mogelijk. Niets van wat hieronder staat, hangt ervan af of het platform live is.

• Maak uw EU Login-accounts aan. Voor de primaire melder en ten minste één back-up. Het kost enkele minuten op ecas.ec.europa.eu en het scheelt u een stap die u niet midden in een incident wilt ontdekken.
• Bepaal uw aangewezen CSIRT. Dat volgt uit uw hoofdvestiging in de Unie, of uit die van uw gemachtigde als u buiten de EU bent gevestigd. De volledige lijst van coördinatoren van ENISA moet nog worden gepubliceerd; leg uw redenering dus nu vast en toets die aan de lijst zodra deze verschijnt.
• Bouw het 24-uursformulier intern. Een kort sjabloon dat aansluit op de verplichte velden van ENISA voor de vroegtijdige waarschuwing, zodat uw eerste echte melding overschrijven is in plaats van opstellen.
• Wijs de personen aan, ook buiten kantooruren. Bepaal wie beoordeelt dat een melding moet worden gedaan, wie haar opstelt en wie haar indient. Omdat er geen API is, is de laatste stap een met naam genoemde persoon achter een toetsenbord.
• Houd een accurate SBOM bij. U kunt niet melden over een component waarvan u niet wist dat u die meeleverde. Onderhoud een software bill of materials en houd deze actueel naarmate releases veranderen.
• Bewaak deze doorlopend. Vergelijk uw componenten met bronnen van bekende kwetsbaarheden, zodat een actief misbruikte fout binnen uren aan het licht komt en niet pas na weken. Onze SBOM- en kwetsbaarhedenanalyser volgt uw bill of materials tegen de NVD en de EU-kwetsbaarhedendatabank (EUVD).
• Stel vast wat daadwerkelijk binnen het toepassingsgebied valt. In de fase van 72 uur worden het producttype en de categorie van bijlage III of IV gevraagd; regel de classificatie dus voordat u haar nodig hebt. De classificatietool geeft daar antwoord op, net als de nalevingsmatrix koppelt melding aan de bredere kwetsbaarhedenbeheersverplichtingen van Bijlage I waaronder het valt.
• Zet het webinar in de agenda. ENISA is van plan er twee weken vóór de ingebruikname van het platform een te houden en dichter bij de lancering korte instructievideo's te publiceren.

08Volg het bij de bron

Deze pagina geeft de stand van zaken weer op 6 augustus 2026. Het platform is nog in beweging en ENISA past haar pagina's stilletjes aan in plaats van elke wijziging aan te kondigen; het loont dus om de vermeldingen "last updated" op onderstaande pagina's rechtstreeks te controleren. Dit zijn de primaire bronnen; al het bovenstaande is onze lezing daarvan.

• ENISA · centraal meldingsplatform; de centrale pagina, met de factsheet en een uitvoerige FAQ over rechtsgrondslag, termijnen, routering, de veldentabel en de beveiliging van het platform. Hier wordt de publieke URL aangekondigd.enisa.europa.eu/topics/product-security-and-certification/single-reporting-platform-srp
• ENISA · richtsnoeren voor gebruikersregistratie op de SRP; de stapsgewijze registratieprocedure voor primaire en back-upgebruikers, met schermafbeeldingen van de interface.enisa.europa.eu/cra-srp-ar-user-registration
• ENISA · richtsnoeren voor het indienen van meldingen op de SRP; hoe de vroegtijdige waarschuwing, de melding op 72 uur en het eindrapport worden ingediend en bijgewerkt, en wat elke status in gang zet.enisa.europa.eu/cra-srp-ar-notification-submission-and-update
• Europese Commissie · meldingsverplichtingen onder de CRA; de beleidspagina, met inbegrip van de FAQ's over de uitvoering van de CRA, waarvan punt 5 over melden gaat.digital-strategy.ec.europa.eu/en/policies/cra-reporting
• Europese Commissie · richtsnoeren voor de toepassing van de CRA (27 juli 2026); punt 9.1 zet de meldingsverplichtingen van fabrikanten en opensourcebeheerders uiteen. Onze samenvatting van de richtsnoeren behandelt de rest.digital-strategy.ec.europa.eu/en/library/commission-publishes-new-guidance-support-timely-cyber-resilience-act-implementation
• EU Login; maak het account aan dat het platform zal gebruiken. Doe dit nu.ecas.ec.europa.eu/cas/login

Voor de bindende tekst: de artikelen 14 tot en met 17 beschrijven het meldingsecosysteem en artikel 16 stelt het platform in; lees ze in onze verordeningslezer. Mijlpaaldata worden bijgehouden op de stand van zaken -pagina.

09Veelgestelde vragen