Meldplichten van EU Cyber Resilience Act gaan in

Fabrikanten van producten met digitale elementen (hardware en software, van routers tot smarthome-apps) moeten actief misbruikte kwetsbaarheden en ernstige beveiligingsincidenten nu melden via het door ENISA beheerde Single Reporting Platform: een vroegtijdige waarschuwing binnen 24 uur, een volledige melding binnen 72 uur en een eindrapport binnen respectievelijk 14 dagen of één maand. De verplichting geldt ook voor producten die op de markt zijn gebracht vóór de volledige toepassing van de CRA in december 2027.

De datum vloeit voort uit art. 71 van Verordening (EU) 2024/2847 (Cyber Resilience Act), die op 10 december 2024 in werking is getreden: de meldplichten van art. 14 gelden vanaf 11 september 2026, de regels over conformiteitsbeoordelingsinstanties sinds juni 2026 en de volledige productvereisten vanaf 11 december 2027. ENISA heeft het Single Reporting Platform dezelfde dag gelanceerd; meldingen worden van daaruit doorgeleid naar de bevoegde nationale CSIRT's (Crowell & Moring, Freshfields, 11 september 2026).