Meldplicht Cyber Resilience Act gaat vandaag in

Fabrikanten van producten met digitale componenten moeten vanaf vandaag, 11 september 2026, actief misbruikte kwetsbaarheden en ernstige incidenten melden. Zij doen die melding bij het Nationaal Cyber Security Centrum (NCSC).

De meldplicht komt uit de Cyber Resilience Act (CRA), een Europese verordening over de cyberbeveiliging van hardware en software. De meldplicht is het eerste onderdeel van deze verordening dat gaat gelden. De overige verplichtingen, zoals de producteisen en de CE-markering, volgen op 11 december 2027.

Je meldt in 2 situaties. De eerste is een actief misbruikte kwetsbaarheid: er is betrouwbaar bewijs dat iemand met kwade bedoelingen een kwetsbaarheid in je product heeft misbruikt. De tweede is een ernstig incident dat de beveiliging van je product raakt. Ook oudere producten vallen onder de meldplicht. Alles wat vandaag op de Europese markt beschikbaar is, telt mee.

Een kwetsbaarheid die je zelf vindt of die via responsible disclosure bij je binnenkomt en die nog niet aantoonbaar is misbruikt, hoef je niet te melden. 

Je doet binnen 24 uur een vroegtijdige waarschuwing en binnen 72 uur een uitgebreidere melding. Daarna volgt een eindverslag: bij een kwetsbaarheid uiterlijk 14 dagen nadat je een oplossing beschikbaar stelt, bij een incident binnen 1 maand na je melding. Alle termijnen starten op het moment dat jij kennis krijgt van de kwetsbaarheid of het incident.

Melden kan op 2 manieren. Je registreert je op MijnNCSC en doet je melding via het portaal, of je meldt via het meldformulier op ncsc.nl. Wij raden MijnNCSC aan, omdat je meldingen over dezelfde zaak daar bij elkaar blijven. De CRA kent geen registratieplicht, dus melden zonder account kan ook.