Nederlandse softwaremakers krijgen 24 uur voor eerste melding onder Cyber Resilience Act
De nieuwe meldplicht uit de Europese Cyber Resilience Act is op 11 september 2026 ingegaan en ENISA heeft daarvoor zijn centrale Single Reporting Platform in gebruik genomen. Nederlandse fabrikanten van digitale producten moeten een actief misbruikte kwetsbaarheid of ernstig beveiligingsincident binnen 24 uur voor het eerst melden. De regels raken nadrukkelijk ook bedrijfssoftware, mobiele apps en kleinere softwarebedrijven.
ENISA maakte op 11 september 2026 bekend dat de eerste operationele versie van zijn Single Reporting Platform beschikbaar is. Het platform vormt het centrale Europese kanaal voor verplichte meldingen onder de Cyber Resilience Act, kortweg CRA. Een fabrikant hoeft een gebeurtenis daardoor niet afzonderlijk bij verschillende Europese autoriteiten te melden.
Voor Nederlandse bedrijven loopt de melding via het Nationaal Cyber Security Centrum. Het NCSC schrijft dat fabrikanten sinds 11 september 2026 een actief misbruikte kwetsbaarheid of ernstig incident moeten melden en voor de eerste waarschuwing maximaal 24 uur hebben nadat zij ervan op de hoogte zijn geraakt.
Daarna volgen aanvullende rapportagestappen. De Europese regelgeving maakt onderscheid tussen een eerste waarschuwing, een uitgebreidere melding en een eindverslag. De bredere producteisen uit de CRA gaan op 11 december 2027 gelden.
NCSC rekent bedrijfssoftware en mobiele apps expliciet tot de productscope
De Nederlandse uitleg maakt duidelijk dat de meldplicht niet alleen hardwareproducenten raakt. Het NCSC noemt bedrijfssoftware, mobiele apps, besturingssystemen, netwerkapparatuur en IoT-apparaten expliciet als voorbeelden van producten met digitale elementen.
Een onderneming geldt als fabrikant wanneer zij een product onder de eigen naam of het eigen merk op de Europese markt brengt. De omvang van het bedrijf verandert die kwalificatie niet. Volgens het NCSC kunnen daardoor ook ondernemingen waarbij softwareontwikkeling slechts een nevenactiviteit is onder de meldplicht vallen. Kleine ondernemingen en microbedrijven hebben eveneens een meldplicht.
De verplichting geldt bovendien niet uitsluitend voor nieuwe producten. Ook digitale producten die op 11 september 2026 al op de Europese markt beschikbaar waren, vallen volgens het NCSC binnen de regeling.
Cybersecurity verschuift van interne IT-taak naar productverantwoordelijkheid
Voor Nederlandse SaaS-bedrijven is vooral die verschuiving relevant. Een beveiligingsincident is niet langer alleen een operationeel probleem dat intern moet worden opgelost. Bij bepaalde kwetsbaarheden ontstaat ook een wettelijke rapportageprocedure met vaste termijnen.
Vanaf december 2027 worden de overige CRA-verplichtingen van kracht. Fabrikanten moeten producten dan gedurende de verwachte gebruiksduur en minimaal vijf jaar veilig ondersteunen. Het NCSC noemt daarbij onder meer gratis beveiligingsupdates wanneer kwetsbaarheden worden gevonden.
Duiding: compliance kan nieuwe markt opleveren voor Nederlandse SaaS
Een concrete kans ontstaat voor Nederlandse leveranciers van securitysoftware, vulnerability management, SBOM-tools en complianceplatforms. Softwarebedrijven moeten sneller kunnen vaststellen welke componenten in een product zitten, of een kwetsbaarheid daadwerkelijk wordt misbruikt en welke klanten of versies geraakt worden. Dat maakt gestructureerde productinformatie commercieel waardevoller.
Het risico zit vooral in de korte meldtermijn. Een SaaS-bedrijf dat afhankelijk is van tientallen externe libraries en diensten kan pas snel rapporteren wanneer verantwoordelijkheden, logging en escalatie vooraf zijn geregeld. Een incidentproces dat pas begint zodra een kwetsbaarheid wordt ontdekt, kan daardoor te langzaam zijn. Dit is redactionele duiding.
Meer informatie
Primaire bron: ENISA over de lancering van het Single Reporting Platform
Nederlandse primaire bron: NCSC over melden onder de Cyber Resilience Act