CRA-meldformulier
De Cyber Resilience Act (CRA) legt de verantwoordelijkheid voor de digitale veiligheid van producten nadrukkelijker bij fabrikanten, importeurs en distributeurs. Vanaf vrijdag 11 september 2026 gaat een eerste belangrijke verplichting in: fabrikanten moeten actief misbruikte kwetsbaarheden en ernstige beveiligingsincidenten in hun digitale producten melden bij het Nationaal Cyber Security Centrum. In onderstaand formulier kun je een CRA-melding doen.
Voor wie is dit formulier?
De Cyber Resilience Act verplicht fabrikanten van digitale producten om een actief misbruikte kwetsbaarheid of een ernstig incident in hun producten te melden bij het NCSC. Dit geldt voor fabrikanten die hun EU hoofdvestiging in Nederland hebben en geldt voor alle producten met digitale elementen die op 11 september 2026 op de Europese markt beschikbaar zijn. Twijfel je? Lees meer over melden onder de CRA of raadpleeg de Gids Cyber Resilience Act van de toezichthouder Rijksinspectie Digitale Infrastructuur (RDI). Wil je iets anders melden? Ga naar contact en melden.
Melden via MijnNCSC biedt voordelen
Je kunt een incident het beste melden via MijnNCSC omdat dan je vervolgmeldingen op één plek te monitoren zijn. Heb je (nog) geen registratie op MijnNCSC, dan is onderstaand formulier een veilig alternatief.
Wat gebeurt er met je melding?
Na je melding ontvang je een e-mail met een ontvangstbevestiging en een referentienummer. Het NCSC zorgt ervoor dat je melding terechtkomt bij de Europese cyberautoriteit ENISA en bij de CSIRT's van de andere lidstaten waar je product beschikbaar is. Je hoeft dus niet op 2 plekken te melden. De meldinformatie is ook toegankelijk voor de Nederlandse toezichthouder RDI.
Welke informatie lever je op welk moment aan?
De CRA hanteert een getrapt systeem van meldingen met strikte deadlines. De eerste fases lopen vanaf het moment dat je op de hoogte raakt van de kwetsbaarheid of het incident.
- Fase 1: Vroegtijdige waarschuwing
Termijn: binnen 24 uur
Aanleveren: Signalering van de kwetsbaarheid of het incident, indicatie in welke EU-lidstaten het product beschikbaar is. - Fase 2: Melding
Termijn: binnen 72 uur
Aanleveren: Algemene informatie over het product, de aard van de kwetsbaarheid of het incident en de genomen en aanbevolen mitigerende maatregelen. - Fase 3: Eindrapport (kwetsbaarheid)
Termijn: uiterlijk 14 dagen na beschikbaarheid van een patch of mitigerende maatregel
Aanleveren: Volledige beschrijving inclusief ernst, eventuele informatie over de aanvaller en details voer de beschikbaar gestelde mitigerende maatregel.
Fase 3: Eindrapport (incident)
Termijn: Binnen 1 maand na de 72-uurs-melding
Aanleveren: Volledige beschrijving van het incident en de genomen maatregelen.
Resultaten laden...