Op deze pagina
Een klok van 24 uur voor elk uitgebuit lek.
De meldplicht van de Cyber Resilience Act loopt sinds 11 september 2026. Wie software of een product met software op de Europese markt brengt, meldt een actief uitgebuite kwetsbaarheid of een ernstig incident binnen 24 uur met een vroege waarschuwing, binnen 72 uur met een melding en daarna met een eindrapport. Dat gaat via één Europees meldplatform van ENISA, dat de melding naar het nationale CSIRT stuurt; in België is dat het Centrum voor Cybersecurity België.
De rest van de Verordening cyberweerbaarheid, zoals ze officieel heet, geldt pas vanaf 11 december 2027. Maar de meldplicht geldt nu al, en ook voor producten die je jaren geleden op de markt bracht. Wie vandaag een app, een platform of software met een abonnement verkoopt, moet weten wie de klok start als het misgaat.
Wie moet melden
De verordening legt de plicht bij de fabrikant: wie een product met digitale elementen ontwikkelt of laat ontwikkelen en het onder eigen naam op de markt brengt, betalend of gratis in een handelsactiviteit. Dat is breder dan het klinkt.
| Situatie | Meldplicht? |
|---|---|
| Je verkoopt een app of software die klanten installeren | Ja, jij bent fabrikant |
| Je verkoopt een toestel met software, zoals een slimme meter of een kassa | Ja |
| Je laat software bouwen en brengt ze onder je naam op de markt | Ja, jij bent fabrikant, niet je bouwer |
| Je product kwam al in 2023 op de markt | Ja, de meldplicht geldt ook voor producten van voor 11 december 2027 |
| Je biedt alleen een dienst via het web aan, zonder product dat je levert | Meestal niet: zuivere SaaS valt onder andere regels zoals NIS2, behalve als ze de verwerking op afstand van een product is |
| Je gebruikt software in je eigen bedrijf | Nee, gebruikers melden niet |
| Je bent een webshop op een standaardplatform | Nee, je brengt geen software op de markt; je platform en je plug-ins wel |
| Vrije en opensourcesoftware buiten een handelsactiviteit | Nee |
De melding gaat naar het CSIRT van de lidstaat waar je hoofdvestiging zit: waar de beslissingen over de cybersecurity van je producten vallen, en anders waar je de meeste werknemers in de EU hebt. Een fabrikant zonder vestiging in de EU meldt in de lidstaat van zijn gemachtigde, daarna van zijn importeur, zijn verdeler, of waar de meeste gebruikers zitten.
Uur 0
Je weet het
Een lek in je product wordt actief uitgebuit, of een ernstig incident raakt de beveiliging.
24 uur
Vroege waarschuwing
Via het meldplatform van ENISA naar het CSIRT van je land, het CCB in België.
72 uur
Melding
Wat er aan de hand is, wat je al deed, wat gebruikers kunnen doen en hoe gevoelig de informatie is.
Zodra je het weet
Gebruikers informeren
Wie je product gebruikt, hoort wat er speelt en wat hij zelf kan doen. Doe je het niet, dan kan het CSIRT het doen.
14 dagen of 1 maand
Eindrapport
14 dagen nadat een oplossing klaar is voor een lek, of een maand na de melding voor een incident.
Eén melding via het meldplatform van ENISA bereikt het CSIRT van je hoofdvestiging en ENISA tegelijk.
Wat telt als ernstig incident
Niet elk lek moet gemeld worden. De plicht gaat over twee dingen: een kwetsbaarheid in je product die actief misbruikt wordt, en een incident dat de beveiliging van je product raakt en ernstig is. Ernstig betekent dat het de beschikbaarheid, echtheid, integriteit of vertrouwelijkheid van gevoelige gegevens of functies aantast of kan aantasten, of dat het kwaadaardige code in je product of bij je gebruikers binnenbracht of kan binnenbrengen. Een lek dat je zelf vindt en dicht voor iemand het misbruikt, valt niet onder de verplichte melding. Je mag het wel vrijwillig melden, net als een incident dat net niet gebeurde.
Wat het kost als je de klok mist
Voor het niet naleven van de meldplicht loopt de boete op tot 15 miljoen euro of 2,5 procent van de wereldwijde jaaromzet, het hoogste van de twee. Micro- en kleine ondernemingen krijgen geen boete als ze alleen de vroege waarschuwing van 24 uur missen; de melding van 72 uur, het eindrapport en het informeren van gebruikers gelden voor hen wel. Informeer je je gebruikers niet op tijd, dan kan het CSIRT dat in jouw plaats doen. Naast de boete komt de productaansprakelijkheid voor software: voor producten die na 9 december 2026 op de markt komen, telt een ontbrekende beveiligingsupdate als gebrek.
Voor het volgende lek klaarstaan
- Leg vast wie in je bedrijf beslist dat een lek actief uitgebuit wordt, en wie meldt.
- Maak een account op het meldplatform van ENISA voor je het nodig hebt.
- Hou een lijst bij van de onderdelen en versies in je software, zodat je weet of een publiek lek jou raakt.
- Schrijf een korte tekst klaar om gebruikers te informeren, in de talen van je klanten.
- Spreek met je ontwikkelaar of bureau af wie binnen 24 uur bereikbaar is, ook in het weekend.
Wat er vanaf december 2027 bijkomt
- Veilig ontworpenGeen bekende uitbuitbare kwetsbaarheden bij levering, veilige standaardinstellingen.
- BeveiligingsupdatesGedurende de ondersteuningsperiode, kosteloos en waar het kan apart van nieuwe functies.
- DocumentatieTechnische documentatie, een EU-conformiteitsverklaring en informatie voor gebruikers.
- CE-markeringProducten met digitale elementen dragen ze, na de beoordeling die bij hun klasse hoort.
Wat je software nodig heeft om te kunnen melden
Melden binnen 24 uur lukt alleen als je software je vertelt wat er gebeurt: een logboek dat toont wie wanneer inlogde of iets wijzigde, meldingen bij ongewone activiteit, tweestapsverificatie voor beheerders, een lijst van onderdelen en versies, en een manier om snel een update uit te rollen. Dat is geen extra project, het is hoe je een webapplicatie of een platform hoort te bouwen. Laat je software bouwen, zet die eisen dan in je lastenboek, samen met wie meldt als het misgaat. Draait je site op WordPress, lees dan is WordPress veilig en laat het onderhoud van je website doen door wie de updates opvolgt. Wie aan NIS2-entiteiten levert, krijgt dezelfde vragen; zie de NIS2-deadline.