Eerder schreef ICTRecht dat (kwaadwillende) hackers geen wetten lezen, maar legitieme organisaties moeten dat natuurlijk wel, althans zij moeten in elk geval aan de wet voldoen. En dat betekent dat legitieme organisaties inmiddels aan een aantal nieuwe verplichtingen moeten voldoen om (significante of ernstige) beveiligingsincidenten en (actief uitgebuite) kwetsbaarheden te melden.
Meldplichten onder de AVG voor privacy-inbreuken ('inbreuken in verband met persoonsgegevens') bestaan natuurlijk al geruime tijd maar de NIS2-wet (de Belgische implementatiewet van de NIS2-richtlijn), de CER-wet (die de CER-richtlijn implementeert) en de Verordening Cyberweerbaarheid (hierna ook afgekort als CRA, dat staat voor Cyber Resilience Act) introduceren nieuwe meldplichten. In dit artikel is te lezen wat er wanneer gemeld moet worden onder welke wet en bij welke instantie. Dit artikel begint bij de CRA en licht daarna de samenloop toe met de NIS2-wet en de CER-wet.
Waar gaat de CRA ook alweer over?
De CRA (Verordening (EU) 2024/2847) is op 10 december 2024 in werking getreden en introduceert essentiële cybersecurityvereisten voor vrijwel alle producten met digitale elementen die op de Europese markt worden aangeboden. Dat gaat verder dan alleen hardware: ook zelfstandige software, IoT-apparaten, industriële besturingssystemen en losse componenten vallen onder het toepassingsbereik. De verplichtingen worden gefaseerd van kracht:
- 11 juni 2026: de bepalingen over conformiteitsbeoordelingsinstanties (hoofdstuk IV) zijn van toepassing geworden;
- 11 september 2026: de meldplichten uit artikel 14 CRA zijn van toepassing geworden;
- 11 december 2027: de CRA wordt volledig van toepassing, inclusief de essentiële eisen en CE-markering.
Het feit dat de meldplichten vooruitlopen op de rest van de verordening is geen toeval. De EU-wetgever wil zo snel mogelijk zicht krijgen op actief misbruikte kwetsbaarheden, om coördinatie op EU-niveau mogelijk te maken. Op 27 juli 2026 zijn er nieuwe richtsnoeren van de Europese Commissie verschenen om te helpen tijdig te voldoen aan de CRA. Ook publiceerde het CCB (Centre for Cybersecurity Belgium), de Belgische instantie die toezicht houdt op de CRA, haar richtlijnen over de CRA.
De meldplichten uit artikel 14 CRA nader bekeken
Artikel 14 CRA legt fabrikanten twee zelfstandige meldplichten op: één voor actief misbruikte kwetsbaarheden en één voor ernstige incidenten met een impact op de veiligheid van het product. Beide meldingen moeten worden gedaan bij zowel het aangewezen Cyber Security Incident Response Team (CSIRT) van de betreffende lidstaat als bij ENISA, via een door ENISA op te zetten meldpunt (single reporting platform, SRP). (ENISA staat overigens voor European Network and Information Security Agency.)
Actief misbruikte kwetsbaarheden
Van een actief misbruikte kwetsbaarheid is sprake wanneer er bewijs is dat een kwaadwillende actor deze kwetsbaarheid heeft geëxploiteerd in een systeem, zonder toestemming van de eigenaar. De meldketen kent drie fasen:
- Vroegtijdige waarschuwing (early warning): binnen 24 uur na kennisname. Deze eerste melding is beknopt: er moet in staan welke lidstaten (vermoedelijk) zijn getroffen door een actief misbruikte kwetsbaarheid.
- Kwetsbaarheidsmelding (vulnerability notification): binnen 72 uur na kennisname. Deze bevat aanvullende informatie over de aard van de kwetsbaarheid, het product (of de producten) met digitale elementen die zijn getroffen, eventuele mitigerende maatregelen die de leverancier zelf neemt en die gebruikers kunnen nemen en hoe gevoelig de aanbieder denkt dat de gegevens in de melding zijn.
- Eindverslag (final report): binnen 14 dagen nadat een corrigerende of mitigerende maatregel (zoals een security-update of patch) beschikbaar is. Hierin worden onder meer de ernst en impact van de kwetsbaarheid, beschikbare informatie over de kwaadwillenden die misbruik hebben gemaakt van de kwetsbaarheid en de security update die beschikbaar is gemaakt of andere getroffen maatregelen beschreven.
Ernstige incidenten met impact op productbeveiliging
Naast kwetsbaarheden moeten fabrikanten ook ernstige incidenten melden die de beveiliging raken van het product met digitale elementen en de gegevens die daarin worden verwerkt. De termijnen zijn identiek (24 uur / 72 uur / 14 dagen na het treffen van maatregelen), maar de drempel is anders geformuleerd: het incident moet negatieve gevolgen hebben (gehad) voor de mogelijkheid van het product om vertrouwelijkheid, integriteit of beschikbaarheid van gegevens of functies te beschermen. Nu zou je zeggen dat als er actief misbruik wordt gemaakt van een kwetsbaarheid, dat dit vanzelfsprekend ook negatieve gevolgen zal hebben voor de vertrouwelijkheid, integriteit of beschikbaarheid van gegevens of functies. Een reden om toch een schijnbaar dubbele meldplicht (of formulering) op te nemen kan zijn dat met 'actief misbruikte kwetsbaarheid' wordt gedoeld op een kwetsbaarheid in een systeem die in het algemeen actief wordt misbruikt maar niet specifiek in het product van de leverancier, terwijl een 'ernstig incident' juist impact heeft op de vertrouwelijkheid, beschikbaarheid en/of integriteit van de gegevens die in het product worden verwerkt. Hoe dan ook, als er iets ernstig mis blijkt met de beveiliging, moet dat worden gemeld.
Informatie aan gebruikers
Belangrijk is om de gebruikers niet te vergeten. Onverwijld, en in ieder geval na kennisname van een actief misbruikte kwetsbaarheid of ernstig incident, moet de fabrikant de gebruikers van het product informeren en, waar passend, hen instrueren over correctieve maatregelen die zij zelf kunnen nemen. Deze plicht loopt parallel aan de meldingen richting ENISA en het CSIRT.
Actuele stand van zaken: ENISA en het single reporting platform (SRP)
Het succes van de meldplichten onder artikel 14 CRA staat of valt met een goed werkend meldplatform. ENISA is op grond van artikel 16 CRA belast met het opzetten en beheren van dit platform en werkt momenteel aan de technische en organisatorische inrichting. In verschillende stakeholderconsultaties en workshops in 2025 heeft ENISA het conceptuele ontwerp gedeeld: één front-end voor fabrikanten, waarbij meldingen vervolgens via een gedecentraliseerde back-end worden gerouteerd naar het betreffende nationale CSIRT en, waar relevant, andere lidstaten. Dit sluit aan bij het ontwerp dat de EU-wetgever nadrukkelijk heeft gekozen: ENISA fungeert niet als filter, maar als doorgeefluik dat coördinatie mogelijk maakt.
Overigens is gedelegeerde wetgeving aangenomen over de mogelijkheid om kennisgeving over actief misbruikte kwetsbaarheden en ernstige incidenten uit te stellen als dat juist nodig is om te voorkomen dat de kennisgeving en de informatie daarin juist tot misbruik zou leiden.
De rol van het CCB
In België is het CCB het aangewezen CSIRT en daarmee de eerstelijns ontvanger van CRA-meldingen. Het CCB bereidt zich al langer voor op een aanzienlijke uitbreiding van zijn takenpakket: naast bestaande taken onder de NIS2-wet, komen daar de CRA-meldingen bij en de coördinatie van vulnerability disclosure.
Praktisch gezien betekent dit dat fabrikanten die onder de CRA vallen en tegelijkertijd essentiële of belangrijke entiteit zijn onder de NIS2-wet, met verschillende maar samenhangende meldstromen richting het CCB te maken krijgen. Het is aan de fabrikant om intern helder te beleggen welke melding onder welk regime valt. De volgende informatie kan daar behulpzaam bij zijn.
Samenloop met de NIS2-wet en de CER-wet
De Belgische NIS2-wet is op 18 oktober 2024 in werking getreden en de CER-wet op 19 januari 2026. Daarmee bestaat er reeds een gelaagd stelsel van meldplichten.
De regimes overlappen deels, maar hebben elk een eigen focus. De NIS2-wet richt zich op de dienstverlening van de entiteit; de CER-wet op de continuïteit van entiteiten die specifiek zijn aangewezen als kritiek voor de Belgische maatschappij; de CRA op het product zelf. Een fabrikant die tevens essentiële entiteit is (denk aan een leverancier van industriële besturingssystemen aan de energiesector) kan bij één incident met verplichtingen onder meerdere regimes te maken krijgen. De termijnen, 24 uur voor de early warning onder zowel NIS2 als CRA, vallen dan samen, maar de inhoud en de geadresseerde kunnen (subtiel) verschillen.
Wat te doen? Vijf aanbevelingen
Fabrikanten die producten met digitale elementen op de Europese markt aanbieden, doen er verstandig aan om de volgende stappen te zetten:
- Breng het toepassingsbereik in kaart. Inventariseer welke van jouw producten onder de CRA vallen en of daar "belangrijke" of "kritieke" producten in de zin van bijlagen III en IV bij zitten. Voor die producten gelden niet alleen zwaardere conformiteitsprocedures (die later ingaan) maar zullen incidenten in het algemeen ook ernstiger kunnen zijn, waardoor het melden en tijdig treffen van maatregelen belangrijker zal zijn.
- Richt een intern meldproces in. De 24-uurstermijn is kort. Zorg voor duidelijke escalatielijnen tussen productteams, security, legal en communicatie, en documenteer wanneer sprake is van "kennisname".
- Stem de CRA-meldstroom af op de NIS2/CER. Bepaal per scenario welk regime van toepassing is en voorkom dubbel werk door één integraal incident response-proces in te richten.
- Volg de richtsnoeren van ENISA en het CCB. De komende maanden verschijnen definitieve uitvoeringshandelingen, technische specificaties van het meldplatform en Belgische guidance. Neem deze mee in jouw beleid.
- Documenteer en train. Zorg dat medewerkers weten hoe zij een potentieel meldwaardig incident of een actief misbruikte kwetsbaarheid herkennen, en oefen het proces met tabletop-exercises.
Tot slot
Met de gefaseerde inwerkingtreding van de CRA, gecombineerd met de NIS2-wet en CER-wet, bestaat er in België een nieuw gelaagd juridisch kader voor cybersecurity. De Belgische NIS2-wet is reeds van kracht sinds 18 oktober 2024 en ook de CRA-meldplicht is per 11 september 2026 van toepassing. Controleer daarom nu of jouw organisatie onder deze regimes valt en of de meldprocessen op orde zijn.
Authors:
- Matthijs van Bergen, ICTRecht
