Vanaf 11 september gaat de meldingsplicht in van de Cyber Resilience Act (CRA). Dat betekent dat fabrikanten van producten met digitale elementen verplicht zijn om misbruiken van kwetsbaarheden en ernstige incidenten te melden bij de overheid.
De Cyber Resilience Act (CRA) is een Europese verordening die tot doel heeft om de cybersecurity van zowel hardware als software te verbeteren. De wet spreekt over producten met digitale elementen, waarbij een aantal principes wordt vastgelegd waaraan die moeten voldoen.
Een daarvan is de implementatie van “Security by Design & Default” wat inhoudt dan beveiliging niet iets mag zijn dat achteraf wordt toegevoegd, maar dat wezenlijk deel moet uitmaken van het ontwerp. Producten moeten in hun standaardinstellingen ook meteen veilig zijn.
Een tweede principe is levenscyclusbeheer waarbij de fabrikant producten moet blijven opvolgen om kwetsbaarheden te detecteren. Waar nodig moeten ook gratis beveiligingsupdates doorgevoerd worden.
Het derde principe wordt software-stuklijst genoemd, wat inhoudt dat bedrijven zeer precies moeten documenteren welke software maar ook welke onderdelen van software gebruikt worden om een volledige tracering mogelijk te maken indien in open source functieblokken, bijvoorbeeld, kwetsbaarheden ontdekt worden.
De volledige verordening wordt pas eind volgend jaar van kracht, maar op 11 september 2026 gaat wel al de meldingsplicht voor fabrikanten in. Zodra een fabrikant een misbruik van een kwetsbaarheid of een ernstig incident merkt, moet dat meteen gemeld worden. Europa heeft daarvoor een centraal meldingsplatform gecreëerd. Van daaruit wordt de melding doorgestuurd naar de bevoegde instantie in de betrokken lidstaat. Voor ons land is dat het Centrum voor Cybersecurity België (CCB).
De eerste melding moet meteen binnen de 24 uur gebeuren als vroegtijdige waarschuwing. Binnen de 72 uur moet vervolgens een gedetailleerde melding gedaan worden met een omschrijving van de risico’s en de mitigerende maatregelen die genomen worden. Binnen de 14 dagen moet tenslotte een eindrapport ingediend worden waarbij er blijkbaar vanuit gegaan wordt dat het probleem tegen dan ook verholpen zal zijn.
© Productivity.be, 03/09/2026