Vanaf 11 september 2026 moeten fabrikanten actief misbruikte kwetsbaarheden en ernstige incidenten melden die van invloed zijn op de beveiliging van producten met digitale elementen.
Wat zijn de belangrijkste regels?
Het CRA vereist dat fabrikanten actief misbruikte kwetsbaarheden en ernstige incidenten melden die gevolgen hebben voor de beveiliging van hun product met digitale elementen. Zij moeten binnen 24 uur na kennisgeving een vroegtijdige waarschuwing en binnen 72 uur een volledige kennisgeving indienen. Uiterlijk 14 dagen nadat een corrigerende maatregel beschikbaar is voor actief uitgebuite kwetsbaarheden en binnen een maand voor ernstige incidenten, moet een eindverslag worden ingediend.
Fabrikanten rapporteren slechts eenmaal via het Single Reporting Platform (SRP) van het ratingbureau. De kennisgeving is gericht aan het Computer Security Incident Response Team (CSIRT) waar zij hun hoofdvestiging hebben en, tenzij er sprake is van bijzonder uitzonderlijke omstandigheden, wordt de informatie tegelijkertijd ter beschikking gesteld van Enisa. Het CSIRT dat de kennisgeving aanvankelijk ontvangt, deelt de kennisgeving onverwijld met alle andere CSIRT’s op het grondgebied waarvan het product met digitale elementen beschikbaar is gesteld.
In uitzonderlijke omstandigheden en op grond van gerechtvaardigde redenen in verband met cyberbeveiliging kan het CSIRT besluiten de verspreiding onder andere CSIRT’s uit te stellen: op 11 december 2025 heeft de Commissie een gedelegeerde handeling vastgesteld tot nadere bepaling van de voorwaarden voor de toepassing van dergelijke cyberbeveiligingsgerelateerde gronden.
Wanneer wordt het Single Reporting Platform voor ratingbureaus afgerond?
Op grond van artikel 16 van het RB is Enisa belast met de oprichting van het Single Reporting Platform (SRP) van het RB.
Enisa heeft een openbare aanbesteding uitgeschreven en diensten van een contractant aangekocht om te helpen bij de ontwikkeling van het SRP.
Het Single Reporting Platform zal uiterlijk op 11 september 2026 (datum van inwerkingtreding van de rapportagevereisten voor ratingbureaus) operationeel zijn, met een testperiode vóór die datum.
Het gepubliceerde Enisa handhaaft een veelgestelde vraag over het SRP van het ratingbureau, die via deze link beschikbaar is.
Relevante samenwerkingsorganen
Referentiedocumenten en links
Veelgestelde vragen over de uitvoering van het ratingbureau
Veelgestelde vragen over de CRA SRP
Gedelegeerde handeling betreffende het achterhouden van kennisgevingen door CSIRT’s die via het Single Reporting Platform moeten worden verspreid (goedgekeurd, bekendmaking in afwachting van bezwaartermijn)
Gerelateerde inhoud
Grote afbeelding