Op 11 September Start Een 24-Uursklok In De Hele EU
De Cyber Resilience Act van de EU bereikt op 11 september 2026 zijn eerste werkzame meldtermijn. Vanaf die datum moet elke fabrikant die een product met digitale elementen op de EU-markt brengt, actief uitgebuite kwetsbaarheden en ernstige beveiligingsincidenten melden binnen een strikte termijn, niet op basis van beste inspanning. De officiële meldpagina van de Europese Commissie stelt dat de verplichting zowel hardware als software omvat, en zich uitstrekt tot oudere of zelfs niet meer ondersteunde producten die nog op de EU-markt verkrijgbaar zijn, niet alleen tot actuele productlijnen.
De berichtgeving van Börse Express over de start bevestigt zowel de datum als de reikwijdte, en beschrijft 11 september als het moment waarop de eerste concrete meldplichten onder de Cyber Resilience Act afdwingbaar worden in plaats van theoretisch. Een fabrikant die de CRA tot nu toe als een toekomstig compliance-project heeft behandeld, heeft nu nog maar een venster van enkele dagen om een echt meldproces af te ronden.
Drie Termijnen Volgen Op De Eerste Waarschuwing
De analyse van Freshfields legt de exacte volgorde vast die een fabrikant moet aanhouden zodra deze "een redelijke mate van zekerheid" bereikt dat een product een actief uitgebuite kwetsbaarheid heeft of een ernstig incident heeft ondergaan. Een vroegtijdige waarschuwing is verschuldigd binnen 24 uur, een volledige melding binnen 72 uur, en een eindrapport binnen 14 dagen voor een kwetsbaarheid of een maand voor een incident. Geen van deze termijnen stopt in het weekend of op een feestdag, dus een kwetsbaarheid die op vrijdagavond wordt ontdekt, vereist nog steeds een vroegtijdige waarschuwing voor zaterdagavond.
| Fase | Termijn vanaf "redelijke mate van zekerheid" | Wat vereist is |
|---|---|---|
| Vroegtijdige waarschuwing | 24 uur | Eerste melding dat een product is getroffen |
| Volledige melding | 72 uur | Uitgebreidere technische details over kwetsbaarheid of incident |
| Eindrapport, kwetsbaarheid | 14 dagen | Volledig rapport zodra het probleem begrepen is |
| Eindrapport, incident | 1 maand | Volledig rapport zodra het probleem begrepen is |
Het krappe eerste tijdsvenster is de operationele angel van dit ontwerp. Vierentwintig uur laat een fabrikant weinig ruimte om te improviseren: zonder iemand die al vóór een incident is aangewezen om de melding op te stellen en in te dienen, is die termijn achteraf moeilijk te halen.
Meldingen Lopen Via ENISA En De Nationale CSIRT's
Het indieningsmechanisme staat centraal in de nieuwe verplichting. De meldpagina van de Europese Commissie beschrijft een nieuw, EU-breed Single Reporting Platform, gebouwd door ENISA, als het innamepunt: een fabrikant dient de melding daar in, deze bereikt het nationale CSIRT van de fabrikant, en dat CSIRT stuurt de melding vervolgens door naar ENISA en naar de CSIRT's van elke andere EU-lidstaat wiens markt het betrokken product eveneens bereikt.
Elke stap in die keten speelt zich af binnen EU-instellingen, van het nationale CSIRT dat de melding als eerste ontvangt tot de coördinerende rol van ENISA tussen de lidstaten. Een fabrikant die hetzelfde product in meerdere EU-landen verkoopt, kan verwachten dat de melding via meerdere nationale CSIRT's circuleert in plaats van via één centrale autoriteit.
Een Parallel Systeem, Gebouwd Binnen De EU
Die ontwerpkeuze is het eigenlijke verhaal achter de datum van 11 september. Al decennialang functioneert het door de Amerikaanse overheid beheerde CVE- en NVD-systeem als het de facto wereldwijde register van wat kwetsbaar is en wanneer, het register dat beveiligingsteams overal ter wereld als eerste raadplegen, ongeacht waar een product wordt gemaakt of verkocht. Het Single Reporting Platform voedt dat Amerikaanse systeem niet; het is een aparte lijn, gebouwd door ENISA, die zijn eigen register produceert binnen het CSIRT-netwerk van de EU.
Dat maakt het meldregime van de Cyber Resilience Act tot een stuk digitale-soevereiniteitsinfrastructuur met een compliance-termijn eraan vast, die de EU het institutionele vermogen geeft om, op eigen gezag en binnen eigen systemen, te weten wat kwetsbaar is bij producten die op haar markt worden verkocht, ongeacht of diezelfde informatie ooit een Amerikaanse database bereikt.
Twee Klokken Lopen Nu Bij Elk Incident
Elke leverancier van hardware of software op de EU- of VK-markt draagt nu twee aparte verplichtingen bij dezelfde ontdekking. De ene is het meldritme dat de sector de afgelopen tweeeneenhalve decennia heeft opgebouwd rond het Amerikaans-gecentreerde CVE- en NVD-ecosysteem. De andere is de 24-uursklok voor vroegtijdige waarschuwing van de EU, strenger dan de gebruikelijke sectorpraktijk en onverschillig voor tijdzones, weekenden of welk team toevallig dienst heeft.
De analyse van Freshfields wijst op de praktische druk die dit oplevert: de krappe termijnen vereisen een escalatieproces dat vooraf is opgebouwd en geoefend, en ze komen bovenop meldplichten die veel van diezelfde bedrijven al onder NIS2 en de AVG dragen. Het missen van de 24-uurstermijn van de EU is nu op zichzelf een compliance-overtreding in de EU, los van en bovenop hoe snel een bedrijf hetzelfde probleem elders meldt.
Servola Journal
We doen dit voor iedereen die probeert bij te blijven met wat technologie met ons leven doet. De mensen die het bouwen, en de mensen die het overkomt. Servola Journal bestaat zodat wat we leren van hen allemaal is.
Niemand betaalt ons hiervoor. Geen advertenties, geen betaalmuur, gratis voor iedereen. We geloven gewoon dat begrijpen wat er met ons allemaal gebeurt niet zou moeten afhangen van wie het zich kan veroorloven ervoor te betalen.
Als dit je vandaag iets heeft gegeven, zeg ons dan om door te gaan. Volg ons, laat een like achter, of schrijf een positieve reactie. We lezen ze allemaal, en ze zijn wat ons op de been houdt.
Lees hierna: Europa's Open AI Draait Nu Via Één Bedrijf | Berlijns Nieuwe AI-Waakhond Bijt Nog Niet
