KMO-IMPACT: DRINGEND — Vanaf vrijdag 11 september 2026 moet u actief misbruikte kwetsbaarheden en ernstige beveiligingsincidenten op CRA-producten melden via het Single Reporting Platform (SRP) van ENISA. Eén melding gaat naar uw nationale CSIRT én ENISA. De klok van 24 en 72 uur loopt vanaf kennisname — ook voor producten die al lang op de markt staan.
Wat u vanaf vandaag moet kunnen melden
Volgens Agoria (update donderdag 10 september 2026) en ENISA geldt de rapportageplicht uit artikel 14 van de Cyber Resilience Act nu. U meldt:
- actief uitgebuite kwetsbaarheden — betrouwbaar bewijs dat een kwaadwillige actor de fout misbruikt;
- ernstige incidenten — ernstige impact op beschikbaarheid, authenticiteit, integriteit of vertrouwelijkheid van het product.
De plicht ligt bij fabrikanten van producten met digitale elementen. Opensource-stewards vallen mee in scope waar de CRA hen betrekt; de bredere steward-bepaling (art. 24) volgt later volgens de EU-tijdlijn. Importeurs en distributeurs waarschuwen de fabrikant; de kernmelding blijft bij de fabrikant.
Belangrijk nuance van Agoria: tot 11 december 2027 is er geen verplichting om kwetsbaarheden te herstellen voor producten die vóór die datum op de markt zijn gebracht. Melden moet wél; remediëren mag vrijwillig. De volledige design-/security-by-design-eisen van de CRA starten op die decemberdatum.
Termijnen: 24 uur, 72 uur, eindrapport
Meldingen aan de autoriteiten verlopen in drie stappen, zonder onnodige vertraging en binnen deze maxima:
- Vroegtijdige waarschuwing — 24 uur na kennisname: product en fabrikant identificeren, lidstaten waar het product verkrijgbaar is (bij een ernstig incident ook of er vermoeden van onwettige of kwaadwillige handelingen is).
- Eerste beoordeling — 72 uur: algemene info over product/incident, aard van het misbruik of de eerste beoordeling, genomen én door gebruikers te nemen mitigerende maatregelen.
- Eindrapport: bij een actief misbruikte kwetsbaarheid uiterlijk 14 dagen nadat een corrigerende of risicobeperkende maatregel beschikbaar is; bij een ernstig incident binnen één maand na de eerste beoordeling.
Daarnaast informeert u de gebruikers van het product over de kwetsbaarheid of het incident en over mitigerende maatregelen. Voor die gebruikersmelding staat geen vaste uurklok, maar te laat is riskant: het CSIRT mag gebruikers zelf inlichten als dat evenredig en nodig is.
Wat betekent dit voor uw onderneming?
Voor wie: fabrikanten (hardware én los verkochte software) die producten met digitale elementen op de EU-markt brengen — ook B2B en ook producten van vóór 11 september 2026. Niet-fabrikanten: check vooral of uw leverancier klaarstaat.
Vanaf wanneer: vrijdag 11 september 2026 voor de meldplicht; design-/updateplichten grotendeels vanaf 11 december 2027.
Financiële impact: geen vast bedrag in de Agoria-update; wel juridisch risico bij late of ontbrekende melding, plus interne kost voor incidentproces en eventuele IT/juridische hulp.
Wat moet u doen: bepaal wie in uw zaak de Assigned Representative is, open vandaag het Engelse ENISA SRP (EU Login), ken uw coördinerende CSIRT (in België via de nationale routing), en zet een intern 24u/72u-script klaar. Agoria-leden kunnen maandag 14 september 2026 (13u–17u, Diegem) aansluiten bij de CRA Learn & Share-bijeenkomst.
Deadline: bij een actief misbruik of ernstig incident start de 24-uursklok vanaf kennisname — vanaf vandaag.
Nog niet duidelijk: hoe soepel handhaving de eerste weken loopt; het SRP is initial operating capability en groeit nog.
