Vanaf 11 september 2026 geldt in de hele Europese Unie een nieuwe meldplicht voor fabrikanten van digitale producten. De Cyber Resilience Act (CRA), die in november 2024 officieel in werking is getreden, legt bedrijven die software of hardware met een digitale verbinding op de markt brengen strenge verplichtingen op. De eerste concrete verplichting — de meldplicht voor ernstige beveiligingsincidenten — gaat over acht dagen in. Het moment nadert snel, en veel bedrijven zijn nog niet voorbereid.
Wat is de Cyber Resilience Act?
De Cyber Resilience Act is een Europese verordening die als doel heeft digitale producten veiliger te maken. De wet richt zich op fabrikanten van zogenoemde “producten met digitale elementen”: denk aan bedrijfssoftware, mobiele apps, routers, slimme huishoudapparaten, industriële besturingssystemen en andere apparaten die verbinding kunnen maken met een netwerk of ander apparaat.
Tot nu toe ontbrak in Europa een uniforme regelgeving die fabrikanten dwong om cyberveiligheid serieus te nemen bij het ontwerp én gedurende de levensduur van hun producten. De CRA verandert dat. Fabrikanten zijn voortaan verplicht hun producten veilig te ontwerpen, kwetsbaarheden actief op te sporen en gebruikers tijdig van beveiligingsupdates te voorzien.
Wat verandert er per 11 september 2026?
De meldplicht die op 11 september 2026 ingaat, verplicht fabrikanten om twee categorieën incidenten te melden bij het Nationaal Cyber Security Centrum (NCSC):
Ten eerste moeten actief misbruikte kwetsbaarheden worden gemeld — dit zijn beveiligingslekken in een product die op het moment van ontdekking al worden uitgebuit door kwaadwillenden. Ten tweede geldt de meldplicht voor ernstige beveiligingsincidenten die een significante impact kunnen hebben op de veiligheid van het product of de gebruikers ervan.
De meldtermijnen zijn strak. Binnen 24 uur na ontdekking moet een eerste melding worden gedaan. Binnen 72 uur volgt een uitgebreidere melding met meer details. En binnen 14 dagen moet een eindrapport worden ingediend. Meldingen gaan via het digitale meldloket van het NCSC.
Voor wie geldt dit?
De meldplicht geldt in de eerste plaats voor fabrikanten: bedrijven die producten met digitale elementen ontwikkelen en op de Europese markt brengen. Maar ook importeurs en distributeurs kunnen onder bepaalde omstandigheden verplichtingen hebben. Voor kleine en middelgrote ondernemingen (mkb) gelden in sommige gevallen vereenvoudigde procedures, maar de meldplicht zelf is universeel van toepassing voor alle fabrikanten, ongeacht hun omvang.
Concreet betekent dit dat een Nederlands softwarebedrijf dat een app verkoopt in de EU-markt, een producent van slimme camera’s, of een leverancier van bedrijfssoftware, allemaal onder de reikwijdte van de CRA vallen.
Wat zijn de gevolgen van niet-naleving?
De CRA voorziet in stevige handhavingsbevoegdheden voor nationale toezichthouders. Bij overtreding van de meldplicht kunnen boetes worden opgelegd. Voor de zwaarste overtredingen — zoals het op de markt brengen van producten die niet voldoen aan de essentiële cyberveiligheidseisen — kunnen boetes oplopen tot 15 miljoen euro of 2,5% van de wereldwijde jaaromzet, afhankelijk van welk bedrag hoger is.
Wat moeten bedrijven nu doen?
Bedrijven die digitale producten fabriceren hebben nog een kleine week om zich voor te bereiden op de meldplicht. Dat betekent concreet: een intern proces inrichten voor het detecteren en registreren van kwetsbaarheden, verantwoordelijken aanwijzen voor het melden, en bekendheid opbouwen met het meldloket van het NCSC. Wie nog niet gestart is, doet er verstandig aan dit met prioriteit op te pakken.
De overige verplichtingen uit de CRA — waaronder de verplichting om producten veilig te ontwerpen en gedurende hun levensduur te onderhouden — gaan pas per 11 december 2027 volledig gelden. Maar de meldplicht is de eerste echte toets of de wet tanden heeft.
Conclusie
De inwerkingtreding van de CRA-meldplicht op 11 september 2026 is een concrete en urgente verplichting voor ieder bedrijf dat digitale producten maakt en in Europa verkoopt. De Europese wetgever maakt hiermee duidelijk dat cyberveiligheid geen vrijblijvende keuze meer is, maar een wettelijke vereiste met serieuze handhavingsconsequenties. Zorg dat uw organisatie klaar is.
De informatie in dit artikel is van algemene aard en geen juridisch advies.
