Sinds 11 september 2026 is het officieel: wie software, apps of slimme apparaten maakt of verkoopt, moet actief misbruikte kwetsbaarheden en ernstige beveiligingsincidenten binnen vaste termijnen melden. Dat staat in de Cyber Resilience Act, de Europese verordening die digitale producten veiliger moet maken. Veel mkb-bedrijven denken dat dit alleen grote techbedrijven raakt. Dat is een misvatting die je duur kan komen te staan.
Wat de Cyber Resilience Act eigenlijk regelt
De Cyber Resilience Act is sinds december 2024 van kracht, maar de verplichtingen gaan in fases in. De kern: elk product met digitale elementen, van een boekhoudapp tot een slimme deurbel, moet veilig zijn, en blijven, gedurende de hele levensduur. Fabrikanten moeten cyberrisico's beoordelen, kwetsbaarheden opsporen en beveiligingsupdates blijven aanbieden. Dat klinkt als iets voor Microsoft of Philips, maar de wet maakt geen uitzondering voor kleine bedrijven die zelf software bouwen, verkopen of als onderdeel van hun dienst aanbieden.
Verwar deze wet niet met de Cyberbeveiligingswet (NIS2). Wij schreven daar al over in ons artikel over de voorbereiding op de Cyberbeveiligingswet. NIS2 regelt de digitale weerbaarheid van organisaties zelf, vooral in kritieke sectoren. De Cyber Resilience Act regelt iets anders: de veiligheid van het product dat je maakt of verkoopt, ongeacht in welke sector je zit.
Deze meldplicht geldt al sinds 11 september 2026
De volledige productregels en de bijbehorende CE-markering voor digitale veiligheid gaan pas in op 11 december 2027. Maar één onderdeel van de wet geldt nu al: de meldplicht voor actief misbruikte kwetsbaarheden en ernstige incidenten. Die startte op 11 september 2026, ruim een jaar eerder dan de rest van de wet, blijkt uit de officiële uitleg op de website van de Europese Commissie.
Concreet betekent dit dat je als fabrikant of ontwikkelaar van een product met digitale elementen een kwetsbaarheid moet melden zodra bekend wordt dat die actief wordt misbruikt. Een intern gevonden kwetsbaarheid of een melding via responsible disclosure hoef je niet te melden, zolang er geen bewijs is dat iemand er daadwerkelijk misbruik van maakt. Pas als dat wel gebeurt, loopt de klok.
Zo verloopt een melding in de praktijk
De termijnen zijn strak. Binnen 24 uur na het ontdekken van actief misbruik moet je een eerste, vroege waarschuwing versturen. Binnen 72 uur volgt een uitgebreidere melding met meer details. Het eindrapport volgt later: bij een misbruikte kwetsbaarheid uiterlijk 14 dagen na het beschikbaar komen van een beveiligingsupdate, bij een incident binnen een maand na de eerste melding.
In Nederland meld je bij het Nationaal Cyber Security Centrum, via het bedrijvenportaal MijnNCSC of een webformulier op de NCSC-site. Volgens de Europese Commissie loopt die melding via het Single Reporting Platform van ENISA, zodat je als bedrijf maar één keer hoeft te melden. De bevoegde instantie in het land waar jouw bedrijf gevestigd is, deelt de informatie vervolgens door naar andere landen waar je product wordt verkocht.
Wie dit raakt, ook als je klein bent
De verplichting geldt voor bestaande software en hardware, inclusief oudere versies die je nog steeds ondersteunt of verkoopt. Bouw je een webshop-plugin, een facturatie-app of een IoT-sensor voor in een magazijn? Dan val je in principe onder deze wet, ongeacht hoeveel medewerkers je hebt. De Europese Commissie publiceerde een niet-bindende leidraad met 67 voorbeelden en stroomdiagrammen om bedrijven te helpen bepalen of, en hoe, de regels op hun product van toepassing zijn.
Heb je nog geen idee hoe je kwetsbaarheden in je eigen software of systemen structureel opspoort, dan is dit een goed moment om dat te organiseren. Niet alleen vanwege deze meldplicht: we schreven al over de subsidie die de helft van je cyberbeveiligingskosten vergoedt, en over hoe snel basismaatregelen zoals wachtwoorden plaatsmaken voor passkeys. Dit soort regelgeving komt zelden alleen.
Wat er gebeurt als je niet meldt
De Cyber Resilience Act zelf regelt vooral de productregels, maar het toezicht erop ligt in Nederland bij de Rijksinspectie Digitale Infrastructuur. Die kan ingrijpen als een fabrikant structureel geen kwetsbaarheden meldt of onveilige producten op de markt houdt. Voor de volledige productverplichtingen, die in december 2027 ingaan, gelden boetes die kunnen oplopen tot 15 miljoen euro of een percentage van de wereldwijde jaaromzet, afhankelijk van wat hoger is. De meldplicht van nu is dus niet alleen een papieren exercitie. Het is de eerste test van hoe serieus toezichthouders deze wet gaan handhaven, en bedrijven die nu al een werkend proces hebben, lopen straks voor bij de rest.
Belangrijk om te onthouden: er is geen verplichting om met terugwerkende kracht te melden. Wist je al vóór 11 september 2026 dat een kwetsbaarheid in je product actief werd misbruikt, dan hoef je dat niet alsnog te melden. Vanaf die datum telt elke nieuwe ontdekking wel mee.
Dit kun je deze maand alvast checken
Begin met een simpele vraag: maakt, verkoopt of distribueert jouw bedrijf een product met digitale elementen, van software tot een slim apparaat? Zo ja, ga dan na wie binnen je bedrijf verantwoordelijk is voor het signaleren van misbruikte kwetsbaarheden en wie de melding bij het NCSC zou moeten doen als het zover komt. Een vast account bij MijnNCSC aanmaken kost een paar minuten en voorkomt dat je bij een incident eerst moet uitzoeken waar je eigenlijk moet melden.
De meldplicht lijkt misschien een ver-van-je-bed-show tot het moment dat je zelf een kwetsbaarheid ontdekt die actief wordt misbruikt. Dan tikt de klok vanaf het eerste uur, en wil je niet ook nog uitzoeken welk formulier je moet invullen.