Aanbieders voor 24-uurs kwetsbaarheidsrapportage: Marktoverzicht & prijzen (2026)

• Verplichting tot 24-uurs rapportage geldt vanaf 11.09.2026 voor fabrikanten van digitale producten (CRA Art. 14)
• REP27, kadano en Euverify bieden de bijbehorende vertegenwoordiging aan
• Prijzen: REP27 vanaf EUR 490/jaar, kadano EUR 999/jaar, Euverify GBP 590/jaar
• Diensten variëren: mandaat, meldkanaal, geen technische beoordeling of SBOM-opstelling
• Niet verplicht voor importeurs, distributeurs of pure marktplaatsverkopers

Bijgewerkt 26 October 2026 · 4 bronnen gecontroleerd

Providers vergeleken

Prijzen zoals gepubliceerd op de website van elke provider op 26 October 2026, exclusief btw tenzij anders vermeld. Elke rij linkt naar zijn bron.

Wat vereist de wet? (CRA Art. 14, Art. 18)

De EU Cyber Resilience Act (CRA) verplicht vanaf 11 september 2026 fabrikanten van producten met digitale elementen om actief misbruikte kwetsbaarheden of ernstige beveiligingsincidenten binnen 24 uur na kennisname te melden (artikel 14). De melding gebeurt via het centrale ENISA-portaal en is gericht aan het bevoegde CSIRT van de lidstaat. De termijnen zijn strikt: 24 uur voor de vroege waarschuwing, 72 uur voor de eerste volledige melding en 14 dagen voor het eindrapport. De klok loopt realtime – ook ’s nachts, in het weekend en op feestdagen.

Fabrikanten buiten de EU moeten volgens artikel 18 CRA een gemachtigde vertegenwoordiger in de EU aanwijzen. Deze vertegenwoordiger fungeert als meldkanaal en aanspreekpunt voor autoriteiten. Zonder zo’n vertegenwoordiger is de melding niet rechtsgeldig. Importeurs, distributeurs en marktplaatsverkopers (bijv. op Amazon, Etsy, eBay) die geen producten onder eigen naam op de markt brengen, zijn vrijgesteld. Voor open-sourceprojecten met niet-commerciële doeleinden geldt een verminderd meldregime, maar een meldplicht blijft bestaan.

• Artikel 14 CRA: 24-uurs vroege waarschuwing, 72-uurs volledige melding, 14 dagen eindrapport
• Artikel 18 CRA: Gemachtigde vertegenwoordiger voor fabrikanten zonder EU-vestiging

De precieze definitie van een meldplichtige kwetsbaarheid is cruciaal: alleen actief misbruikte kwetsbaarheden of ernstige incidenten die de veiligheid van het product raken, leiden tot meldplicht. Onontdekte of niet-misbruikte kwetsbaarheden zijn niet meldplichtig. De verantwoordelijkheid voor het naleven van termijnen ligt bij de fabrikant – vertragingen of foutmeldingen kunnen leiden tot zware sancties.

Diensten in vergelijking: wat is inbegrepen, wat niet?

De aanbieders verschillen duidelijk in transparantie en omvang van de aangeboden diensten. REP27 publiceert als enige alle prijzen en geeft duidelijk aan wat in het mandaat zit en wat niet. Het mandaat omvat de juridische vertegenwoordiging volgens artikel 18 CRA, een 24-uurs desk in Europa, ontvangst en doorzending van meldingen aan bevoegde autoriteiten en een publieke verificatie van het mandaat. REP27 voert nadrukkelijk geen technische beoordelingen, geen SBOM-opstelling, geen conformiteitsbeoordelingen en geen testen uit – deze taken liggen bij de fabrikant of moeten apart worden besteld.

Bij kadano en Euverify zijn de prijzen bekend, maar details over inbegrepen diensten, mogelijke extra kosten of uitsluitingen zijn "Op aanvraag". Het is daarom aan te raden om voor contractsluiting schriftelijk te vragen welke diensten precies gedekt zijn en of er extra kosten zijn voor bepaalde handelingen (bijv. per melding, per taal, voor bijzondere verzoeken).

Belangrijk: de feitelijke technische uitwerking, het opstellen van SBOMs (Software Bill of Materials) en het uitvoeren van veiligheidscontroles zijn in principe niet inbegrepen in de prijs voor de vertegenwoordiging. Wie deze diensten nodig heeft, moet ze apart bij gespecialiseerde dienstverleners bestellen.

Beslissingsmatrix: wie heeft wat nodig?

Of u een CRA-vertegenwoordiger en 24-uurs rapportage nodig heeft, hangt af van uw rol in de toeleveringsketen, uw vestigingsplaats en uw distributiestructuur. De volgende matrix helpt bij een snelle inschatting:

Praktische voorbeelden: een Amerikaanse softwareleverancier die SaaS-oplossingen aan EU-klanten verkoopt, heeft een vertegenwoordiger nodig en moet de 24-uurs melding instellen. Een Chinese IoT-fabrikant die eigen producten onder eigen naam in de EU verkoopt, is ook verplicht. Een Britse online winkel die alleen als verkoper optreedt en geen eigen merk gebruikt, heeft geen vertegenwoordiger en geen 24-uurs rapportage nodig.

Checklist voor kopers: zo gaat u te werk

1. Controleer uw rol: Bent u fabrikant van een product met digitale elementen dat in de EU wordt verkocht?
2. Vaststellen vestigingsplaats: Heeft uw bedrijf een vestiging buiten de EU?
3. Vergelijk aanbieders: Kies een aanbieder met gepubliceerde prijs en duidelijk mandaat. Controleer of de prijs alle diensten dekt of dat er extra kosten mogelijk zijn.
4. Laat diensten en uitsluitingen schriftelijk bevestigen: Vraag voor contractsluiting schriftelijke bevestiging wat in het mandaat zit en wat niet.
5. Bereid interne processen voor: Bepaal wie binnen het bedrijf verantwoordelijk is voor de 24-uurs melding. Maak een runbook met duidelijke taken en meldingssjablonen.
6. Registreer vertegenwoordigergegevens: Neem de vertegenwoordiger en contactgegevens op in uw compliance-documentatie en informeer uw team.
7. Test het meldproces: Voer voor de deadline een simulatie van de 24-uurs melding uit om zwakke plekken in het proces te ontdekken.
8. Regelmatige controle: Controleer jaarlijks of er veranderingen zijn in uw distributiestructuur of productassortiment die invloed kunnen hebben op de meldplicht.

Met deze checklist voorkomt u veelgemaakte fouten en zorgt u dat u op de deadline compliant bent.

Wat aanbieders vaak niet zeggen (uitsluitingen, termijnen, kosten)

Veel aanbieders communiceren niet open over welke diensten precies in het mandaat zitten en welke niet. REP27 vermeldt nadrukkelijk dat technische beoordelingen, conformiteitsbeoordelingen, SBOM-opstelling en testen niet onderdeel zijn van het mandaat. Ook extra diensten zoals het opstellen van sjablonen, ondersteuning bij technische analyse of communicatie met eindgebruikers zijn uitgesloten.

• De prijs bij REP27 is vast en bevat geen verborgen kosten. De verlengingsprijs is vooraf vastgesteld en verandert niet zonder aankondiging.
• Bij kadano en Euverify zijn geen gegevens over extra kosten, opzegtermijnen of aansprakelijkheidsbeperkingen beschikbaar. Het is aan te raden hier expliciet naar te vragen.
• De verantwoordelijkheid voor het naleven van meldtermijnen en de kwaliteit van de melding blijft altijd bij de fabrikant. Een vertegenwoordiger kan de melding alleen ontvangen en doorsturen, maar niet technisch beoordelen.
• De termijn voor mandaatverlening is bij REP27 24 uur. Bij andere aanbieders is de verwerkingstijd "Op aanvraag".

Een veelgemaakte vergissing: het mandaat dekt niet de volledige CRA-compliance. De kostbare en complexe onderdelen (bijv. conformiteitsbeoordeling, technische documentatie, SBOM) moeten apart geregeld worden. Wie hier niet op voorbereid is, riskeert vertragingen en boetes.

Drie praktijkvoorbeelden: wie moet wat doen?

• Amerikaanse SaaS-aanbieder: Een bedrijf gevestigd in de VS biedt cloudsoftware aan Europese bedrijven. Omdat het een fabrikant van digitale producten is die in de EU verkoopt, moet een CRA-vertegenwoordiger worden aangesteld. De 24-uurs melding verloopt via deze vertegenwoordiger, die duidelijk in het mandaat staat. De aanbieder moet intern verantwoordelijken aanwijzen en sjablonen voorbereiden.
• Chinese Amazon-verkoper: Een bedrijf uit China verkoopt IoT-apparaten onder eigen merk direct aan eindgebruikers in de EU. Ook hier geldt de verplichting: zonder EU-vestiging is een vertegenwoordiger volgens artikel 18 CRA vereist. De melding verloopt via deze vertegenwoordiger. Is het bedrijf alleen verkoper en verkoopt het niet onder eigen naam, dan vervalt de verplichting.
• Britse online winkel: Een Britse winkel verkoopt als verkoper producten van derden aan Europa, maar niet onder eigen merk. In dit geval bestaat geen verplichting tot 24-uurs rapportage of aanstelling van een CRA-vertegenwoordiger, omdat de winkel niet als fabrikant geldt. De verantwoordelijkheid ligt bij de daadwerkelijke fabrikant.

Deze voorbeelden tonen hoe belangrijk een juiste roltoewijzing is. Fouten in de beoordeling leiden tot onnodige kosten of compliance-tekorten.