VeelVeel organisaties associëren de Cyber Resilience Act nog vooral met 2027. Toch treedt op 11 september 2026 al een belangrijk onderdeel van de Europese wetgeving in werking: de meldplicht voor actief uitgebuite kwetsbaarheden en ernstige beveiligingsincidenten.

Voor fabrikanten van producten met digitale elementen betekent dit dat zij niet alleen kwetsbaarheden moeten kunnen detecteren, maar ook snel moeten kunnen beoordelen, escaleren en rapporteren.

Wat is de Cyber Resilience Act?

De Cyber Resilience Act (CRA) is Europese wetgeving die cybersecurity-eisen stelt aan producten met digitale elementen, zoals software, hardware en verbonden apparaten.

De wet verplicht fabrikanten om gedurende de levenscyclus van hun producten rekening te houden met cybersecurity. Dat betekent onder andere dat kwetsbaarheden moeten worden beheerd, beveiligingsupdates beschikbaar moeten zijn en ernstige kwetsbaarheden en incidenten tijdig moeten worden gemeld.

De meeste verplichtingen uit de CRA gaan gelden vanaf 11 december 2027, maar een belangrijk onderdeel treedt al eerder in werking: de meldplicht vanaf 11 september 2026.

Wat verandert er op 11 september?

Vanaf 11 september 2026 gelden de meldverplichtingen uit de Cyber Resilience Act.

Wanneer een fabrikant kennis krijgt van een actief uitgebuite kwetsbaarheid of een ernstig beveiligingsincident dat gevolgen heeft voor de beveiliging van een product met digitale elementen, moet binnen korte termijnen worden gehandeld.

In hoofdlijnen gaat het om:

• een eerste melding binnen 24 uur;
• een uitgebreidere melding binnen 72 uur;
• een eindrapport uiterlijk 14 dagen nadat een corrigerende of mitigerende maatregel beschikbaar is bij een actief uitgebuite kwetsbaarheid;
• bij een ernstig incident een eindrapport binnen één maand na de 72-uursmelding.

Daarmee wordt cybersecurity niet alleen een technische verantwoordelijkheid, maar ook een compliance- en governancevraagstuk.

Waarom is dit voor organisaties lastig?

De grootste uitdaging zit waarschijnlijk niet in het versturen van de melding zelf.

De echte vraag is of een organisatie snel genoeg weet dat er iets aan de hand is en of de juiste informatie tijdig bij de fabrikant en verantwoordelijke personen terechtkomt.

Om binnen 24 uur te kunnen handelen, moet duidelijk zijn:

• welke digitale producten en softwarecomponenten worden ontwikkeld of geleverd;
• welke kwetsbaarheden relevant zijn;
• of een kwetsbaarheid daadwerkelijk actief wordt misbruikt;
• wie verantwoordelijk is voor technische beoordeling en escalatie;
• welke leveranciers en andere ketenpartners betrokken zijn;
• wie uiteindelijk beslist of een melding noodzakelijk is.

Zonder deze processen wordt een wettelijke meldtermijn al snel een operationeel probleem.

CRA maakt vulnerability management belangrijker

De Cyber Resilience Act onderstreept daarmee het belang van structureel vulnerability management.

Alleen periodiek patchen is niet voldoende.

Organisaties moeten steeds beter kunnen bepalen welke kwetsbaarheden het grootste risico vormen en welke onmiddellijk aandacht nodig hebben.

Daarbij spelen onder andere assetmanagement, monitoring, SIEM, SOC-dienstverlening en threat intelligence een steeds belangrijkere rol. Dit sluit aan bij wat de NIS2-wetgeving voor uw organisatie betekent, waarin risico- en incidentbeheer eveneens een centrale rol spelen.

Het doel is niet om iedere kwetsbaarheid dezelfde prioriteit te geven, maar om snel te kunnen vaststellen welke kwetsbaarheden daadwerkelijk risico opleveren.

Ook incidentrespons moet vooraf geregeld zijn

Een incidentresponsproces pas bedenken op het moment dat er een incident plaatsvindt, is met dergelijke meldtermijnen niet realistisch.

Organisaties doen er daarom goed aan vooraf afspraken te maken over:

• detectie;
• classificatie;
• escalatie;
• verantwoordelijkheden;
• communicatie met leveranciers;
• juridische en compliance-beoordeling;
• rapportage.

Veel organisaties kiezen ervoor om deze processen te beleggen bij een externe partij, bijvoorbeeld door te laten zien hoe het Security Operations Center meldingen centraal opvolgt. Daarmee wordt de kans kleiner dat tijdens een incident kostbare uren verloren gaan aan de vraag wie wat moet doen.

Wat kunt u nu al doen?

Organisaties die onder de Cyber Resilience Act vallen of digitale producten leveren, kunnen nu al een aantal praktische stappen nemen.

Breng allereerst producten, softwarecomponenten en afhankelijkheden in kaart. Controleer vervolgens of kwetsbaarheden structureel worden gemonitord en beoordeeld.

Leg daarnaast vast wie verantwoordelijk is voor incidenten en meldingen en test of informatie binnen enkele uren bij de juiste personen terechtkomt.

Een eenvoudige testvraag is daarbij:

Als vandaag een actief uitgebuite kwetsbaarheid wordt ontdekt, weten wij dan binnen 24 uur wat de impact is en wie moet handelen?

Wanneer het antwoord daarop niet direct duidelijk is, is er waarschijnlijk nog werk te doen.

Van wetgeving naar dagelijkse security

De Cyber Resilience Act laat opnieuw zien dat compliance steeds dichter tegen de dagelijkse IT- en securityoperatie aan komt te liggen.

Wetgeving kan een meldtermijn voorschrijven, maar uiteindelijk bepalen monitoring, detectie, processen en verantwoordelijkheden of een organisatie daar in de praktijk ook aan kan voldoen. Voor MSP's en MSSP's ligt hier een belangrijke rol: organisaties helpen om compliance niet alleen op papier te regelen, maar daadwerkelijk onderdeel te maken van de dagelijkse securityoperatie.