De Cyber Resilience Act meldplicht is ingegaan. Wat betekent dit voor jouw bedrijf?

Je hebt net een nieuwe software-update uitgerold voor een klant. Alles werkt, de klant is blij. Maar ergens in die update zit een kwetsbaarheid die actief misbruikt wordt door kwaadwillenden. Je weet het nog niet. En als je het straks ontdekt, heb je exact 24 uur om dit te melden bij het NCSC. Tik tak.

Herken je dit scenario? Dan is dit artikel precies voor jou geschreven.

Vanaf 11 september 2026 is de eerste fase van de Cyber Resilience Act (CRA) officieel van kracht in de hele Europese Unie. Voor Nederlandse bedrijven die digitale producten ontwikkelen, produceren of importeren, is er een nieuwe meldplicht ingegaan. Geen mooie-weertje-regelgeving die je rustig kunt afwachten. Dit is nu actief, en het raakt ook het MKB.

Wat is de Cyber Resilience Act precies?

De Cyber Resilience Act is Europese wetgeving die als doel heeft om digitale producten veiliger te maken. Denk aan software, IoT-apparaten, slimme hardware en AI-toepassingen. De wet legt verantwoordelijkheid neer bij de partijen die deze producten op de markt brengen: de fabrikanten, ontwikkelaars en importeurs.

De wet wordt gefaseerd ingevoerd. Vandaag, 11 september 2026, gaat de meldplicht in. Dat is fase één. De volledige CRA met alle bijbehorende verplichtingen, zoals veiligheidseisen bij productontwikkeling, documentatieverplichtingen en markttoezicht, treedt volledig in werking op 11 december 2027. Je hebt dus nog iets meer dan een jaar voor de bredere aanpak. Maar die meldplicht? Die is nú.

Voor wie geldt dit?

Hier zit een misverstand dat ik regelmatig tegenkom bij klanten. Veel MKB-ondernemers denken dat dit soort wetgeving alleen voor grote corporates is. Dat klopt niet. De meldplicht geldt ook voor kleinere bedrijven die producten met digitale elementen op de Europese markt brengen. Er is geen expliciete uitzondering voor het micro- of kleinbedrijf.

Concreet geldt dit voor:

• Softwareontwikkelaars en SaaS-aanbieders

• Producenten van IoT-apparaten of slimme hardware

• Leveranciers van AI-gedreven toepassingen

• Importeurs van digitale producten die ze doorverkopen in de EU

Ben je een IT-dienstverlener die maatwerksoftware bouwt voor klanten? Dan val jij onder de scope. Verkoop je een slimme scanner of machine met ingebouwde software? Dan ook. Het is breder dan de meeste mensen denken.

De 24-uursmeldplicht: wat houdt dit in?

Zodra je een actief misbruikte kwetsbaarheid of een ernstig beveiligingsincident ontdekt in een product dat je op de markt hebt gebracht, ben je verplicht dit binnen 24 uur te melden bij het NCSC (Nationaal Cyber Security Centrum). Het NCSC is aangewezen als de nationale ontvangstinstantie voor CRA-meldingen in Nederland.

24 uur klinkt ruim. In de praktijk is het dat niet. Stel: je ontdekt vrijdagmiddag om 16:00 uur een ernstig incident. Je moet die melding zaterdagmiddag om 16:00 uur al gedaan hebben. En daarvoor moet je al weten wie intern verantwoordelijk is voor die melding, welke informatie er bij moet, en hoe je die snel bij elkaar krijgt.

Om te illustreren hoe serieus dit is: recent werden er twee kritieke kwetsbaarheden ontdekt in Check Point VPN-producten, met een CVSS-score van 9,8 op een schaal van 10. Dat is het hoogste risiconiveau dat er bestaat. Precies dit soort incidenten valt onder de nieuwe meldplicht.

Een klant van ons: van chaos naar controle

Een klant van ons, een softwarebedrijf uit de regio Tilburg met zo'n 20 medewerkers, bouwt al jaren planningssoftware voor logistieke bedrijven. Geen groot enterprise-concern, maar een vitaal onderdeel in de keten van hun klanten.

Toen we met ze in gesprek gingen over de CRA, bleek dat niemand intern precies wist wie verantwoordelijk was als er iets misging. De CTO dacht dat de directeur het zou oppakken. De directeur dacht dat de CTO het had. En er was geen enkel gedocumenteerd proces voor incidentrespons, laat staan een meldprocedure richting het NCSC.

Samen met hen hebben we de Ratho-driehoek, Mens, Proces en Techniek, als lens gebruikt om dit op orde te brengen. Aan de mensenkant: één aangewezen meldverantwoordelijke met een duidelijk mandaat. Aan de proceskant: een gedocumenteerd Security Response Plan met drempelwaarden die bepalen wat meldplichtig is en wat niet. Aan de technische kant: logging die aantoonbaar maakt wanneer een incident is ontdekt en welke stappen er zijn gezet. Daarna oefenden we het plan in een gesimuleerde incidentscenario. De conclusie was verhelderend: zonder voorbereiding hadden ze de 24-uurstermijn niet gehaald. Met de nieuwe aanpak wel.

Vier concrete actiepunten voor vandaag

Als je onder de CRA-meldplicht valt, zijn er vier dingen die je nú geregeld moet hebben.

1. Wijs een meldverantwoordelijke aan. Er moet één intern persoon zijn die weet dat die verantwoordelijk is, die het NCSC-meldproces kent en die de bevoegdheid heeft om snel te handelen. Niet 'we kijken er samen naar', maar één naam op het papier.

2. Definieer je drempelwaarden. Intern moet je helder hebben welke incidenten meldplichtig zijn onder de CRA. Niet elk bugje valt eronder. Maar actief misbruikte kwetsbaarheden en ernstige incidenten met impact op gebruikers wél. Leg die grens vast in een document.

3. Zorg dat je logging op orde is. Je moet kunnen aantonen wanneer je een incident hebt ontdekt, welke acties je hebt ondernomen en binnen welke tijdlijn. Zonder logging heb je geen verdediging als het NCSC of een toezichthouder vragen stelt.

4. Oefen je Security Response Plan. Simuleer een incident. Stuur je meldverantwoordelijke door het volledige proces en kijk of je de 24 uur redt. Je zult zien dat er gaten zitten. Beter nu ontdekken dan in een echte situatie.

De Ratho-driehoek als basis voor CRA-gereedheid

Bij Ratho kijken we altijd via drie assen naar compliance-vraagstukken: Mens, Proces en Techniek. Die driehoek is ook hier de sleutel.

Techniek alleen is niet genoeg. Je kunt de beste monitoringtooling in huis hebben, maar als er geen mens is die de melding doet en geen proces dat hem door de stappen loodst, ben je alsnog te laat. Omgekeerd: een goed process zonder technische logging is ook een lege huls. Je hebt alle drie nodig, in balans.

Mens: wie is verantwoordelijk? Wie besluit dat iets meldplichtig is? Wie heeft het NCSC-portaal al eens gezien?

Proces: is er een gedocumenteerd Security Response Plan? Zijn de drempelwaarden vastgelegd? Is er een communicatieprotocol voor intern en extern?

Techniek: is er centrale logging? Wordt die logging gemonitord? Kun je snel een tijdlijn reconstrueren van een incident?

Wat staat er nog te komen tot december 2027?

De meldplicht van vandaag is fase één. De volledige CRA brengt daarna nog bredere verplichtingen mee. Denk aan security-by-design eisen bij productontwikkeling, verplichte documentatie, CE-markering voor digitale producten en actief markttoezicht. De deadline voor volledige naleving is 11 december 2027.

Dat klinkt ver weg. Maar als we één ding hebben geleerd van NIS2, is het dat de tijd sneller gaat dan je denkt en dat wachten tot het laatste moment leidt tot gehaaste, dure en onvolledige implementaties. Begin nu met de basis. De meldplicht is een goede aanleiding om het bredere gesprek intern te voeren: zijn we als bedrijf eigenlijk klaar voor de CRA?

Hoe helpt Ratho daarbij?

Als IT MSP voor het MKB in Brabant helpen we bedrijven niet alleen met de technische kant van cybersecurity, maar ook met de menselijke en procesmatige kant. We helpen bij het inrichten van Security Response Plans, het opzetten van centrale logging en monitoring, en het oefenen van incidentscenario's. Samen kijken we of je klaar bent voor de CRA-meldplicht van vandaag en de bredere verplichtingen die eraan komen.

Wil je weten of jouw bedrijf onder de CRA valt en wat je nú moet regelen? Neem contact op met ons team. We helpen je graag verder.

Veelgestelde vragen

Val ik als klein softwarebedrijf ook onder de CRA-meldplicht?

Ja. Er is geen algemene uitzondering voor kleine bedrijven als het gaat om de meldplicht. Als je software, hardware of digitale producten op de Europese markt brengt en er doet zich een actief misbruikte kwetsbaarheid of ernstig incident voor, ben je verplicht dit binnen 24 uur te melden bij het NCSC. De omvang van je bedrijf speelt daarin geen rol.

Wat is het verschil tussen de meldplicht nu en de volledige CRA in 2027?

De meldplicht die vandaag ingaat (11 september 2026) verplicht je om actief misbruikte kwetsbaarheden en ernstige beveiligingsincidenten te melden bij het NCSC, binnen 24 uur. De volledige CRA die ingaat op 11 december 2027 voegt daar veel meer aan toe: security-by-design vereisten, verplichte documentatie, CE-markering voor digitale producten en actief markttoezicht. De meldplicht is de eerste stap, maar niet de laatste.

Waar meld ik een incident?

In Nederland is het NCSC aangewezen als de nationale ontvangstinstantie voor CRA-meldingen. Je kunt terecht op ncsc.nl voor informatie over het registratieproces en het indienen van een melding. Zorg dat je dit portaal al kent voordat je een incident hebt. Een crisis is niet het moment om voor het eerst de website te verkennen.

Wat als ik de 24-uurtermijn niet haal?

De CRA kent handhavingsmechanismen, vergelijkbaar met andere Europese cyberwetgeving zoals NIS2. Het niet of te laat melden van een meldplichtig incident kan leiden tot toezichtsmaatregelen en boetes. De exacte handhaving in Nederland wordt nog verder uitgewerkt, maar wachten tot er meer duidelijkheid is over sancties is geen verstandige strategie. De verplichting is helder: 24 uur, bij het NCSC.