Sinds 11 september geldt de eerste plicht al
Sinds 11 september 2026 moeten fabrikanten van software en slimme apparaten actief misbruikte kwetsbaarheden en ernstige beveiligingsincidenten melden. Dat is de eerste verplichting uit de Cyber Resilience Act, de Europese verordening die in het Nederlands Verordening cyberweerbaarheid heet. De rest volgt op 11 december 2027. Beide datums staan zo op Ondernemersplein en bij de Europese Commissie, en ze liggen vast. De verordening zelf is op 10 december 2024 in werking getreden.
Veel mkb-bedrijven lezen het als iets voor fabrikanten van babyfoons en routers. Dat klopt maar half. De CRA gaat over alle producten met digitale elementen die op de Europese markt komen, en daar horen ook losse software en apps bij.
Ben je fabrikant in de zin van de wet
De CRA legt de meeste plichten bij de fabrikant. Volgens Ondernemersplein moeten ook importeurs, distributeurs en gemachtigden van fabrikanten zich aan de regels houden, maar hun rol is lichter: zij controleren of een product voldoet voordat ze het verkopen.
Fabrikant ben je niet alleen als je zelf programmeert. Laat je software bouwen en breng je die onder je eigen naam of merk op de markt, dan ben jij de fabrikant, ook als een ander de code schreef. Dat staat in de definitie in artikel 3 van de verordening, en het maakt niet uit of je er geld voor vraagt of de app gratis weggeeft. Een groothandel die klanten een eigen bestel-app geeft, of een installateur die een eigen app levert bij zijn apparaten, moet zich die vraag dus stellen.
Twee situaties zijn minder duidelijk, en daar zijn we eerlijk over:
- Software als dienst, zoals een webapplicatie die alleen in de browser draait. De Commissie noemt op haar CRA-pagina software en apps, maar zegt niets expliciet over SaaS. Juristen van DLA Piper lezen het zo dat pure clouddiensten er in principe buiten vallen, tenzij de clouddienst nodig is voor de kernfunctie van een product dat je wel levert, zoals de app achter een slim apparaat.
- Maatwerk dat je alleen voor intern gebruik laat bouwen. Software die je niet op de markt brengt, verkoop je niet aan anderen. Hoe ver die redenering in de praktijk draagt, hebben we in de officiële Nederlandse bronnen niet uitgewerkt gevonden. Vraag het na voordat je erop leunt.
Wat de meldplicht in de praktijk vraagt
De termijnen staan in artikel 14 en zijn kort. Binnen 24 uur nadat je weet dat een kwetsbaarheid actief wordt misbruikt, stuur je een vroegtijdige waarschuwing. Binnen 72 uur volgt een melding met meer details. Uiterlijk 14 dagen nadat er een oplossing of noodmaatregel beschikbaar is, lever je een eindrapport. In Nederland meld je via het CRA-formulier van het NCSC, en de plicht geldt ook voor producten die al voor december 2027 op de markt waren.
Die 24 uur is het lastige deel. Het betekent dat iemand in je bedrijf moet horen dat er iets mis is, en het moet kunnen beoordelen, ook op een vrijdagmiddag. Wie zijn software heeft laten bouwen door een bureau dat inmiddels niet meer bestaat, of wie niet weet welke bibliotheken erin zitten, haalt die termijn niet.
Wat er vanaf december 2027 bij komt
Vanaf 11 december 2027 moet je als fabrikant laten zien dat je product veilig is ontworpen en gebouwd. Ondernemersplein noemt onder meer: de cyberrisico's van je product inschatten, kwetsbaarheden aanpakken gedurende de ondersteuningsperiode, beveiligingsupdates leveren, gebruikers informeren over veilig gebruik en aantonen dat je aan de eisen voldoet. Producten die voldoen krijgen een CE-markering, en sommige producten moeten door een externe partij worden beoordeeld.
Het toezicht in Nederland komt bij de Rijksinspectie Digitale Infrastructuur. De bevoegdheden staan in de Uitvoeringswet verordening cyberweerbaarheid, waarvan de memorie van toelichting in december 2025 is gepubliceerd. Dat is een wetsvoorstel; de details van het Nederlandse toezicht kunnen nog veranderen.
Waar je nu mee begint
Begin met een lijst. Welke software of apps brengen we onder onze eigen naam op de markt, wie heeft ze gebouwd, wie onderhoudt ze nu en welke onderdelen van derden zitten erin? Bij de meeste bedrijven die we spreken, is die laatste vraag het moeilijkst. Een webshop of klantportaal leunt al snel op tientallen pakketten en plugins, en een lek in één daarvan is precies het soort kwetsbaarheid dat je straks moet melden.
Spreek daarna af wie een melding over een kwetsbaarheid binnenkrijgt en wie beslist of het een melding aan het NCSC wordt. Dat is een kwestie van een naam, een telefoonnummer en een vervanger tijdens de vakantie, niet van een groot project.
Wat we niet zouden doen: wachten tot december 2027. De meldplicht loopt al, en wie pas dan ontdekt dat zijn app op verouderde onderdelen draait, heeft geen tijd meer om dat netjes op te lossen. Weten waar je software nu staat, kan met een securityscan van je website of applicatie: die laat zien welke bekende kwetsbaarheden en verouderde onderdelen erin zitten, en dat is de lijst die je voor de CRA toch al nodig hebt.