Hoe meld ik kwetsbaarheden binnen 24 uur volgens de Cyber Resilience Act?

• CRA Artikel 14: 24-uurs melding van misbruikte kwetsbaarheden/ernstige incidenten.
• Melding via het ENISA-platform aan de coördinerende CSIRT.
• Fabrikanten buiten de EU moeten een gemachtigde vertegenwoordiger aanstellen.
• REP27 — Europe Services, SE: €490/jaar mandaat (prijs geverifieerd).
• Verborgen kosten: interne engineering, ondersteuningsperiode, conformiteitsbeoordeling.
• Aanbieders verschillen in gepubliceerde prijzen, inbegrepen diensten en transparantie.

Bijgewerkt 20 October 2026 · 12 bronnen gecontroleerd

Providers vergeleken

Prijzen zoals gepubliceerd op de website van elke provider op 20 October 2026, exclusief btw tenzij anders vermeld. Elke rij linkt naar zijn bron.

Wat de Cyber Resilience Act vereist (met artikelnummer)

De Cyber Resilience Act (CRA) is een uitgebreide regelgeving die geldt voor alle producten met digitale elementen die op de EU-markt worden gebracht, ongeacht of het hardware of software betreft (Artikel 1, bron). Het hoofddoel is dat producten worden ontworpen, ontwikkeld en onderhouden met cybersecurity als integraal onderdeel van hun levenscyclus. De wet trad in werking op 10 december 2024 (Artikel 71(1)), maar de meeste verplichtingen, inclusief meldingen, worden bindend vanaf 11 september 2026 voor Artikel 14, en volledig vanaf 11 december 2027 (Artikel 71(2)).

Artikel 14 is essentieel voor incidentrespons: fabrikanten moeten elke actief misbruikte kwetsbaarheid of ernstig incident dat de productveiligheid beïnvloedt binnen 24 uur na bekendwording melden. Dit moet via het ENISA-platform aan de coördinerende CSIRT gebeuren. De klok begint te lopen op het moment van bekendwording, niet na onderzoek of bevestiging. Een volledige melding moet binnen 72 uur volgen, en een eindrapport binnen 14 dagen. Het meldvenster omvat weekenden en feestdagen—er zijn geen verlengingen of pauzes.

Artikel 18 vereist dat fabrikanten buiten de EU een gemachtigde vertegenwoordiger binnen de EU aanstellen. Deze vertegenwoordiger fungeert als officiële meldroute en contactpunt voor autoriteiten. Zonder deze vertegenwoordiger wordt de importeur of distributeur standaard verantwoordelijk, wat commerciële en nalevingsrisico's kan veroorzaken.

Producten die vóór 11 december 2027 op de markt zijn gebracht, vallen alleen onder de CRA als ze na die datum een substantiële wijziging ondergaan (Artikel 69(2)). Niet-naleving kan leiden tot boetes tot €15 miljoen of 2,5% van de wereldwijde jaaromzet (bron).

• Artikel 14: 24-uurs melding van misbruikte kwetsbaarheden/ernstige incidenten
• Artikel 18: Gemachtigde vertegenwoordiger voor fabrikanten buiten de EU
• Artikel 69(2): Regels voor legacy-producten

Hoe kiest u een CRA gemachtigde vertegenwoordiger

Het kiezen van de juiste CRA gemachtigde vertegenwoordiger is cruciaal voor fabrikanten buiten de EU. De vertegenwoordiger is uw officiële kanaal voor kwetsbaarheidsmeldingen en regulerende contacten binnen de EU. Hier zijn de belangrijkste aandachtspunten:

• Prijs transparantie: Slechts enkele aanbieders publiceren geverifieerde prijzen. REP27 — Europe Services, SE biedt een duidelijk mandaat van €490/jaar (verlenging €440), kadano vermeldt €999/jaar en Euverify £590/jaar. Andere geven een offerte op aanvraag.
• Dienstomvang: Controleer wat bij de prijs is inbegrepen. Het mandaat volgens Artikel 18 is het minimum, maar sommige aanbieders bieden extra diensten zoals monitoring, bewijsbewaring of zelfbeoordelingsdocumentatie (zie CRAguard, ProvenVEX, SECURiMENT).
• Uitsluitingen: Geen enkele aanbieder hierboven neemt conformiteitsbeoordeling, beveiligingstesten of SBOM-generatie op in het mandaat. Dit zijn aparte kosten voor engineering of aangemelde instanties.
• Certificaat en verificatie: Zoek een aanbieder die een verifieerbaar certificaat biedt (REP27 levert QR-code en publieke verificatiepagina).
• Verlengingsvoorwaarden: Zorg dat de verlengingsprijs schriftelijk wordt bevestigd voordat u de eerste factuur betaalt. Stille of onduidelijke verlengingen zijn een veelvoorkomend probleem in deze markt.
• Reactieproces: Vraag hoe verzoeken van autoriteiten worden afgehandeld, in welke talen en tijdens welke uren. Een 24/7 bemand meldpunt is essentieel om de 24-uurs meldtermijn te halen.

Hieronder een vergelijking van wat elke aanbieder wel en niet omvat, gebaseerd op gepubliceerde informatie:

Vraag altijd om een schriftelijk contract waarin alle inclusies, exclusies en verlengingsvoorwaarden staan vermeld.

Wat de prijs echt omvat

Begrijpen wat wel (en niet) in de gepubliceerde prijs is inbegrepen is cruciaal voor budgettering en nalevingsplanning. De mandaatvergoeding volgens Artikel 18 dekt doorgaans alleen de wettelijke aanstelling en de exploitatie van een meldpunt binnen de EU. Dit betekent in de praktijk het volgende:

• Mandaat en meldpunt: De vertegenwoordiger is bevoegd om als uw officiële contactpunt voor kwetsbaarheidsmeldingen te fungeren. Voor REP27 omvat dit een 24/7 bemand meldpunt, beheer van CSIRT/ENISA-kanaal en een verifieerbaar certificaat met QR-code. Kadano en Euverify bieden vergelijkbare mandaten maar specificeren geen extra functies op hun openbare pagina's.
• Gebundelde diensten: Sommige aanbieders (CRAguard, ProvenVEX, SECURiMENT) bieden extra diensten zoals monitoring van afhankelijkheden, bewijsbewaring of incidentrespons-workflows. Deze zijn echter niet openbaar geprijsd en kunnen aanzienlijke extra kosten met zich meebrengen.
• Wat niet is inbegrepen: Geen enkele aanbieder in deze vergelijking omvat conformiteitsbeoordeling, beveiligingstesten of SBOM-generatie. Dit zijn aparte, vaak aanzienlijke kosten die door aangemelde instanties of uw interne engineeringteam worden afgehandeld.
• Verlengingsprijs: Alleen REP27 publiceert een verlengingsprijs (€440/jaar), die lager is dan het eerstejaarsbedrag. Kadano en Euverify vermelden geen verlengingsvoorwaarden publiekelijk.

Vraag bij het vergelijken van aanbieders altijd om een gedetailleerde uitsplitsing van wat bij de prijs is inbegrepen en wat extra kosten veroorzaakt. Sommige aanbieders bieden ook gebundelde GDPR Artikel 27 of NIS2 vertegenwoordiging voor een gecombineerde prijs (REP27: €690/jaar voor CRA+GDPR, €990/jaar voor CRA+GDPR+NIS2).

Samenvattingstabel:

Verborgen kosten en uitsluitingen

Hoewel de mandaatvergoeding vaak het kleinste onderdeel is van CRA-naleving, kunnen verborgen kosten en uitsluitingen aanzienlijk zijn:

• Interne engineeringtijd: Zelfbeoordeling, documentatie en het voorbereiden van SBOM's zijn verplicht maar niet inbegrepen in de mandaatvergoeding. Deze taken vereisen toegewijde technische middelen.
• Ondersteuningsperiode: De CRA vereist minstens vijf jaar beveiligingsupdates voor de meeste producten. Houd rekening met doorlopende onderhoudskosten als productlijn, niet als eenmalig project.
• Conformiteitsbeoordeling: Voor belangrijke klasse II of kritieke producten is beoordeling door een aangemelde instantie verplicht. Dit kan duizenden euro's kosten en maanden duren. Geen enkele vertegenwoordiger neemt deze kosten voor zijn rekening.
• Incidentdetectie: De vertegenwoordiger monitort uw systemen niet op kwetsbaarheden. Uw beveiligingsteam is verantwoordelijk voor detectie en eerste triage.
• Per-incident of per-verzoek kosten: Hoewel REP27 geen extra kosten voor verzoeken vermeldt, kunnen andere aanbieders kosten rekenen voor aanvullende diensten of incidentbeheer. Leg dit altijd schriftelijk vast.
• Aansprakelijkheidsbeperkingen: Aanbieders beperken doorgaans hun aansprakelijkheid tot het mandaat. Zij zijn niet verantwoordelijk voor gemiste meldingen door interne fouten.
• Kennisgevings- en verlengingsvoorwaarden: Stille of onduidelijke verlengingen kunnen leiden tot onverwachte kosten of onderbrekingen in dekking. REP27 publiceert verlengingsprijzen en voorwaarden; anderen mogelijk niet.

Wat aanbieders meestal niet zeggen:

• Het mandaat dekt geen kwetsbaarheidsdetectie, patching of gebruikersmelding—dit blijft uw verantwoordelijkheid.
• Documentatieverzoeken van autoriteiten kunnen vertraging oplopen als uw runbook onvolledig is of uw team niet voorbereid is.
• Van aanbieder wisselen kan complex zijn als uw mandaat niet duidelijk beperkt is tot Artikel 18(3).

Vraag altijd om een lijst met uitsluitingen en bevestig alle voorwaarden schriftelijk voordat u tekent.

Hoe werkt de aanstelling: stap voor stap

Het aanstellen van een CRA gemachtigde vertegenwoordiger is een gestructureerd proces. Zo werkt het in de praktijk, met concrete stappen en tips:

1. Bepaal uw status: Bent u de fabrikant van een product met digitale elementen dat op de EU-markt wordt gebracht? Zo ja, ga door. Bent u alleen importeur of distributeur, controleer dan of u het product onder uw eigen naam op de markt brengt.
2. Controleer uw vestiging: Heeft u geen rechtspersoon binnen de EU, dan moet u een gemachtigde vertegenwoordiger aanstellen. Heeft u een EU-dochteronderneming die als fabrikant optreedt, dan meldt u direct.
3. Kies een aanbieder: Vergelijk aanbieders op basis van gepubliceerde prijzen, scope en transparantie. REP27, kadano en Euverify publiceren prijzen; anderen geven details op aanvraag.
4. Onderteken een schriftelijk mandaat: De aanbieder (bijv. REP27) verstrekt een ondertekende aanwijzingsbrief, meestal met eIDAS elektronische handtekening en een verifieerbaar certificaat. Bevestig dat het mandaat beperkt is tot Artikel 18(3) taken.
5. Werk uw nalevingsdocumentatie bij: Voeg de gegevens van de vertegenwoordiger toe aan uw technische dossiers, runbook en productdocumentatie die de CRA vereist.
6. Stel het meldproces in: Benoem minstens twee indieners met toegang tot het ENISA meldplatform. Bereid vroegtijdige waarschuwing- en meldingssjablonen voor.
7. Definieer triggers en intern proces: Documenteer wat het moment van bekendwording van een misbruikte kwetsbaarheid of ernstig incident inhoudt. Bepaal wie dit kan verklaren en welk bewijs nodig is (bijv. geconstateerd misbruik, geloofwaardige klantmelding).
8. Bewaar registraties: Houd tijdstempels bij van bekendwording, indiening en updates. Dit is uw bewijs bij twijfel over de deadline.
9. Blijf paraat: Train uw team, test het meldproces en herzie uw runbook regelmatig.

Dit proces zorgt ervoor dat u klaar bent om de 24-uurs meldtermijn te halen en nalevingslacunes te voorkomen.

Risico's en boetes

De risico's van niet-naleving van de CRA zijn aanzienlijk, zowel financieel als operationeel:

• Boetes: Niet-naleving kan leiden tot administratieve boetes tot €15 miljoen of 2,5% van de wereldwijde jaaromzet, afhankelijk van wat hoger is. Deze sancties gelden voor gemiste meldtermijnen, het niet aanstellen van een vertegenwoordiger of inadequate incidentrespons (bron).
• Operationele risico's: Vertragingen in meldingen kunnen leiden tot regulerende onderzoeken, productterugroepacties of markttoegangverboden. Inkoop en distributie kunnen worden geblokkeerd als u geen geldige EU-vertegenwoordiger kunt aantonen.
• Reputatieschade: Het niet tijdig informeren van gebruikers of autoriteiten kan negatieve publiciteit en verlies van klantvertrouwen veroorzaken.
• Interne verstoring: Zonder een duidelijk meldproces kunnen kostbare uren verloren gaan tijdens een incident, wat risico en kosten verhoogt.

Voorbeelden van wat mis kan gaan:

• De eerste uren van een incident besteden aan het zoeken naar de juiste CSIRT of meldroute, waardoor kostbare tijd verloren gaat.
• Documentatieverzoeken die bij een kantoor in een andere tijdzone terechtkomen, wat vertraging veroorzaakt.
• Een distributeur die standaard als uw meldroute wordt behandeld, waardoor u de controle over incidentafhandeling verliest.
• Stille onderbrekingen in mandaatdekking door onduidelijke verlengingsvoorwaarden.

Beperk deze risico's door een transparante, responsieve vertegenwoordiger aan te stellen en een robuust intern proces te onderhouden.

Beslissingsmatrix: Heeft u een CRA vertegenwoordiger nodig?

Gebruik onderstaande matrix om te bepalen of u een CRA gemachtigde vertegenwoordiger nodig heeft op basis van uw bedrijfsmodel en locatie:

Verifieer altijd uw status en verplichtingen voordat u een vertegenwoordiger aanstelt.

Checklist: Stappen naar CRA 24-uurs meldingsnaleving

1. Bepaal of uw product onder de CRA valt (digitaal element, EU-markt).
2. Bevestig of u de fabrikant bent (niet alleen importeur/distributeur).
3. Als u buiten de EU bent, stel een CRA gemachtigde vertegenwoordiger aan en verkrijg een ondertekend mandaat.
4. Documenteer de gegevens van de vertegenwoordiger in uw technische dossiers en nalevingsadministratie.
5. Stel een 24/7 meldkanaal in voor kwetsbaarheidsrapportages (intern of via uw vertegenwoordiger).
6. Benoem minstens twee indieners met toegang tot het ENISA meldplatform.
7. Schrijf vooraf waarschuwing- en meldingssjablonen voor snelle invulling.
8. Train personeel over wat een melding triggert en hoe binnen 24 uur te reageren.
9. Definieer en documenteer het bewijs dat nodig is om "bekendwording" van een kwetsbaarheid of incident aan te tonen.
10. Leg alle relevante tijdstempels vast als bewijs voor naleving en audits.
11. Herzie en update uw runbook en meldproces regelmatig.

Het volgen van deze checklist helpt u de meest voorkomende nalevingsfouten te voorkomen.

Realistische scenario's: Welke verplichting geldt?

• Amerikaans SaaS-bedrijf dat aan de EU verkoopt: Als fabrikant buiten de EU moet u een CRA gemachtigde vertegenwoordiger aanstellen (bijv. REP27) als meldroute. Richt een 24/7 meldkanaal in en zorg dat minstens twee medewerkers rapporten via het ENISA-platform kunnen indienen. Bereid waarschuwing-sjablonen voor en documenteer uw proces om te bepalen wanneer een kwetsbaarheid actief wordt misbruikt.
• Chinese Amazon-verkoper (eigen merk): Als u uw eigen merk digitale producten produceert en verkoopt aan EU-kopers, heeft u een CRA vertegenwoordiger nodig. Als u alleen merken van derden doorverkoopt, niet. Stel een vertegenwoordiger aan, werk uw nalevingsdossiers bij en bereid u voor op 24-uurs melding.
• Britse online winkel met eigen IoT-apparaat: Als u rechtstreeks aan EU-consumenten verkoopt, bent u fabrikant en moet u een CRA vertegenwoordiger aanstellen. Verkoopt u alleen in het VK, dan geldt de CRA niet. Als u een EU-distributeur gebruikt die het product onder eigen naam op de markt brengt, ligt de verantwoordelijkheid bij hen.

In alle gevallen is de eenvoudigste nalevingsroute het aanstellen van een transparante vertegenwoordiger met vaste prijs, het documenteren van uw meldproces en het trainen van uw team vóór de ingangsdatum van de wet.