Vanaf 11 september 2026 geldt onder de EU Cyber Resilience Act een harde meldplicht: fabrikanten van producten met digitale elementen moeten actief misbruikte kwetsbaarheden en ernstige security-incidenten binnen 24 uur melden via het Single Reporting Platform van ENISA.
Dat is geen 2027-probleem. De rest van de CRA komt later; deze rapportageplicht start morgen. Lever je AI-software, agents of andere digitale producten in de EU, dan zit je erin. Ook als het product al jaren live staat.
In het kort
- CRA Art. 14: early warning binnen 24 uur, volledige melding binnen 72 uur, eindrapport later.
- Geldt voor producten mét digitale elementen op de EU-markt, inclusief legacy.
- Melden via ENISA Single Reporting Platform (SRP) naar de juiste CSIRT.
- MKB-les: zonder detectie, eigenaar en oefening is 24 uur een papieren belofte.
24 uur klinkt ruim tot je ontdekt dat niemand weet wie de melding mag indienen.
Wat er gebeurde
De Europese Commissie en EU Digital Strategy bevestigen: vanaf 11 september 2026 moeten fabrikanten actief misbruikte kwetsbaarheden en ernstige incidenten die de security van hun product raken, melden. Early warning binnen 24 uur na bewustwording, volledige notificatie binnen 72 uur, en een eindrapport (binnen 14 dagen na een mitigerende maatregel bij actief misbruikte kwetsbaarheden, of binnen een maand bij ernstige incidenten).
Je meldt één keer via het CRA Single Reporting Platform. Die melding gaat naar de CSIRT van je vestiging en, behalve in uitzonderingen, gelijktijdig naar ENISA. Volledige CRA-eisen (CE-markering, conformity) volgen pas in december 2027. De meldplicht staat dus bewust vooraan. Non-compliance kan oplopen tot boetes tot €15 miljoen of 2,5% van de wereldwijde jaaromzet, volgens uitleg van Jones Day.
Waarom dit relevant is voor het MKB
Bouw of verkoop je AI-agents, SaaS of andere software in de EU, dan is “we zijn geen Big Tech” geen uitzondering. De CRA kijkt naar producten met digitale elementen op de markt, niet naar bedrijfsgrootte. Derde-party of open-source componenten verschuiven de plicht niet: als jij het product op de markt zet, blijf jij melder.
Dit sluit aan bij wat we eerder zagen bij het eerste EU AI Act-incidentrapport van OpenAI: zonder logging, drempels en een eigenaar blijft elke meldtermijn theorie. Dezelfde discipline helpt bij managed AI-agents voor het MKB en bij een snelle check via de EU AI Act deployer quick scan. Naast CRA helpt ook een praktische EU AI Act-checklist voor mkb.
Wat je nu kunt doen
- Bepaal of jullie producten (of white-label AI) onder “producten met digitale elementen” vallen.
- Wijs één meldeigenaar + back-up aan, inclusief weekend/avond.
- Schrijf de drempel op: wanneer is iets “actief misbruikt” of “ernstig” voor jullie stack?
- Koppel detectie aan logging: tool calls, releases, dependency-alerts.
- Oefen één droge run naar het SRP-proces vóór je het écht nodig hebt.
We helpen incidentdrempels, logging en meldprocessen scherp te krijgen vóór de klok van 24 uur begint te lopen.
Bronnen: EU Digital Strategy (CRA reporting), Jones Day.