KMO-IMPACT: DRINGEND — voor fabrikanten van hardware of software met digitale elementen. Vanaf vrijdag 11 september 2026 geldt de meldplicht uit artikel 14 van de Cyber Resilience Act. Heeft u geen eigen product op de EU-markt, dan is dit vooral een leveranciers- en aankoopcheck.

CRA-meldplicht vanaf vrijdag 11 september: check of u fabrikant bent

Maakt u een app, boekhoudpakket, sensor, modem of ander product dat met een apparaat of netwerk kan verbinden en brengt u dat op de EU-markt? Dan moet u vanaf vrijdag 11 september 2026 actief misbruikte kwetsbaarheden en ernstige beveiligingsincidenten melden. De vroegtijdige waarschuwing moet binnen 24 uur, de volledige melding binnen 72 uur. Dat volgt uit Verordening (EU) 2024/2847 (Cyber Resilience Act), waarvan de meldplicht volgens het Centrum voor Cybersecurity België (CCB) op die datum ingaat. De volledige producteisen volgen pas op 11 december 2027.

Voor wie de klok nu tikt

De meldplicht ligt bij de fabrikant van een product met digitale elementen. Dat dekt zowel verbonden hardware als software die los wordt verkocht — ook B2B-software. Wie buiten de EU zit maar wél op de Europese markt verkoopt, valt er ook onder. Importeurs en distributeurs moeten de fabrikant waarschuwen als zij van een kwetsbaarheid horen; de kernplicht blijft bij de fabrikant.

Buiten scope blijven onder meer niet-commerciële opensourcesoftware, bepaalde prototypes en producten die al onder specifieke EU-regels vallen (zoals medische hulpmiddelen of voertuigen). Clouddiensten en SaaS zonder gegevensverwerking op afstand voor zo’n product vallen eerder onder NIS2 dan onder deze productmeldplicht. Twijfelt u over uw rol: check of u onder eigen naam hardware of software op de EU-markt brengt of een bestaand product substantieel wijzigt.

Wat u binnen 24 en 72 uur moet kunnen

Volgens de CCB-gids CRA101 (update maart 2026) geldt grofweg dit ritme:

• Actief misbruikte kwetsbaarheid: vroegtijdige waarschuwing binnen 24 uur; kwetsbaarheidsmelding binnen 72 uur; eindrapport uiterlijk 14 dagen nadat een corrigerende of mitigerende maatregel beschikbaar is.
• Ernstig incident (impact op beschikbaarheid, authenticiteit, integriteit of vertrouwelijkheid van data of functies, of introductie van kwaadaardige code): vroegtijdige waarschuwing binnen 24 uur; incidentmelding binnen 72 uur; eindrapport binnen één maand na die melding.

Gebruikers die geraakt zijn, moeten ook worden geïnformeerd — bij voorkeur in een machineleesbaar formaat. Meldingen lopen via het centrale platform van ENISA met nationale eindpunten; het CCB treedt in België op als nationaal CSIRT. Op de Safeonweb-navigator staat het concrete Belgische meldkanaal voor CRA nog als “nader te bepalen”. Dat verandert niets aan de startdatum: het proces moet klaarstaan, ook ’s nachts en in het weekend, met onvolledige feiten.

Wat betekent dit voor uw bedrijf?

Voor wie: fabrikanten (en in mindere mate importeurs/distributeurs) van producten met digitale elementen op de EU-markt — van IoT-hardware tot losse software. Ook producten die al langer op de markt staan en nog worden ondersteund, vallen onder de meldplicht vanaf 11 september 2026.

Vanaf wanneer: vrijdag 11 september 2026 (meldplicht artikel 14). Volledige CRA-producteisen: 11 december 2027.

Financiële impact: geen vast boetebedrag in deze bronnen; wel operationele kost voor een 24/7-meldproces, documentatie en gebruikerscommunicatie. Niet-naleving raakt markttoezicht en reputatie.

Wat moet u doen: bepaal of u fabrikant bent; wijs een intern aanspreekpunt aan; oefen het 24u/72u-pad (detectie → beoordeling → melding → gebruikersinfo); volg CCB/ENISA voor het live meldkanaal; check of leveranciers van uw digitale producten hetzelfde klaarzetten.

Deadline: vrijdag 11 september 2026.

Nog niet duidelijk: exacte Belgische technische interface van het CRA-meldplatform (Safeonweb: nader te bepalen). Houd ccb.belgium.be en atwork.safeonweb.be in de gaten.

De rest van de CRA — cybersecurity by design, supportperiode, CE-markering — blijft relevant, maar de klok die nu tikt is de meldplicht. Wie alleen gebruiker is van digitale producten, vraagt best aan zijn leverancier of die klaar is voor 11 september.