Vergelijking leveranciers rapportagediensten kwetsbaarheden Cyber Resilience Act (CRA)

• Rapportage van kwetsbaarheden CRA is verplicht vanaf 11 september 2026
• Slechts enkele leveranciers publiceren prijzen en inbegrepen details
• Vertegenwoordiging dekt het doorgeven van meldingen, geen technische beoordeling
• Vergelijk uitsluitingen, verlengingen en verificatieprocessen
• Boetes bij niet-rapporteren kunnen oplopen tot €15 miljoen of 2,5% van de omzet
• Mandaat vertegenwoordiger dekt geen assessments, SBOM of technische ondersteuning

Bijgewerkt 21 October 2026 · 12 bronnen gecontroleerd

Providers vergeleken

Prijzen zoals gepubliceerd op de website van elke provider op 21 October 2026, exclusief btw tenzij anders vermeld. Elke rij linkt naar zijn bron.

Wat de wet vereist: verplichtingen, artikelen en deadlines

De Cyber Resilience Act (CRA), Verordening (EU) 2024/2847, stelt strenge verplichtingen voor wie digitale producten (hardware en software) op de EU-markt brengt, ongeacht vestigingsplaats. De belangrijkste verplichtingen zijn:

• Aanstelling van een gemachtigde vertegenwoordiger (Art. 18): Als de producent niet in de EU gevestigd is, moet hij schriftelijk een vertegenwoordiger in de Unie aanwijzen. Deze vertegenwoordiger is verantwoordelijk voor het doorgeven van meldingen van kwetsbaarheden en ernstige incidenten aan bevoegde autoriteiten (CSIRT, ENISA).
• Rapportage van kwetsbaarheden (Art. 14): Vanaf 11 september 2026 moet elke producent binnen 24 uur na kennisname van een actief misbruikte kwetsbaarheid of ernstig incident dat de productveiligheid beïnvloedt, dit melden via het ENISA-platform aan de coördinerende CSIRT.
• Volledige melding en eindrapport: Binnen 72 uur na de eerste melding moet een gedetailleerde melding met eerste corrigerende maatregelen worden verstrekt. Binnen 14-30 dagen volgt een eindrapport met details over de kwetsbaarheid en de oplossing.
• Toepassing op alle digitale producten: De verplichting geldt voor zowel nieuwe als reeds op de markt zijnde producten, inclusief updates en ondersteuning gedurende de levenscyclus.
• Sancties: Niet-naleving kan leiden tot boetes tot €15 miljoen of 2,5% van de wereldwijde omzet, afhankelijk van wat hoger is.

Het is essentieel onderscheid te maken tussen CRA-rapportage (productkwetsbaarheden) en andere verplichtingen zoals GDPR (datalekken) of NIS2 (dienstincidenten). Elk regime heeft andere ontvangers, deadlines en platforms.

Hoe een leverancier kiezen: praktische criteria en risico's

De keuze van een leverancier voor CRA-rapportagediensten moet gebaseerd zijn op praktische en transparante criteria. Hier de belangrijkste punten om te beoordelen:

• Gepubliceerde en transparante prijs: Geef de voorkeur aan leveranciers die duidelijk hun prijs en verlengingskosten vermelden. Vermijd aanbiedingen met "introductieprijzen" of verborgen verlengingskosten.
• Wat inbegrepen is: Controleer of de dienst alleen het mandaat vertegenwoordiger en het doorsturen van meldingen omvat, of ook technische ondersteuning, documentatie, SBOM of geavanceerde workflows. De meeste providers beperken zich tot juridische vertegenwoordiging.
• Verifieerbaar certificaat: Een certificaat met QR-code en openbare verificatiepagina vermindert het risico op betwistingen tijdens audits of incidenten.
• 24/7 desk: Rapportage moet op elk moment mogelijk zijn, ook ’s nachts, in het weekend en op feestdagen. Vraag expliciet of de desk het hele jaar door actief is.
• Taal en reactietijden: Zorg dat de provider verzoeken in het Engels en indien nodig andere EU-talen kan afhandelen. Doorsturing langer dan 24 uur kan de naleving in gevaar brengen.
• Uitsluitingen en limieten: Geen enkele vertegenwoordiger dekt technische assessments, veiligheidstests, SBOM-generatie of engineeringondersteuning: deze blijven voor rekening van de producent of gespecialiseerde leveranciers.

Beoordeel altijd de duidelijkheid van uitsluitingen: een provider die deze niet expliciteert, heeft mogelijk de reikwijdte van de dienst niet goed gedefinieerd.

Wat de prijs echt omvat: vergelijkende tabel en analyse

De meeste providers bieden het mandaat vertegenwoordiger en het doorsturen van meldingen, maar weinig bieden extra technische diensten. Hier een vergelijkende tabel:

Het fundamentele verschil tussen "klassieke" providers (REP27, kadano, Euverify) en degenen die bredere diensten aanbieden (Attestra AI, Seentrix, Illicium) is dat de eersten zich beperken tot minimale wettelijke verplichtingen, terwijl de laatsten ook beveiligingsworkflows, geautomatiseerde SBOM of pentesting aanbieden. Voor naleving van Art. 18 en 14 CRA is echter alleen het mandaat vertegenwoordiger en tijdige doorsturing van meldingen vereist.

Let op: de gepubliceerde prijs dekt alleen wat expliciet is vermeld. Extra technische diensten worden vaak apart geprijsd en kunnen veel duurder zijn.

Verborgen kosten, uitsluitingen en wat leveranciers niet zeggen

Veel leveranciers publiceren de verlengingsprijs niet of rekenen extra kosten voor verzoeken buiten kantooruren, uitgifte van extra certificaten of ondersteuning in andere talen dan Engels. Hier wat aandachtspunten:

• Verlengingen: Vraag altijd vooraf de schriftelijke verlengingsprijs voordat je tekent. REP27 publiceert deze duidelijk (€440), anderen geven dit alleen op aanvraag door.
• Uitsluitingen: Geen enkele provider dekt conformiteitsassessments, veiligheidstests, SBOM-generatie of technische ondersteuning. Deze diensten zijn apart en vaak veel duurder dan het mandaat vertegenwoordiger.
• Aansprakelijkheidsbeperkingen: Providers nemen geen verantwoordelijkheid voor technische fouten, het niet melden door de klant of het beheer van kwetsbaarheden zelf.
• Kennisgevingstermijn: Sommige providers vragen een opzegtermijn voor beëindiging van de dienst of wisseling van vertegenwoordiger. Controleer altijd de contractvoorwaarden.
• Kosten per verzoek: Bij gebrek aan openbare info, vraag of er kosten zijn voor extra verzoeken, nieuwe certificaten of noodondersteuning.

Beslissingstabel:

Samengevat is duidelijkheid over uitsluitingen en verborgen kosten essentieel om verrassingen te voorkomen en volledige naleving te garanderen.

Hoe werkt de aanstelling: stap voor stap en praktische checklist

De aanstelling van de CRA-vertegenwoordiger volgt enkele belangrijke stappen. Hier een gedetailleerde handleiding:

1. Controleer de verplichting: Ben je producent van digitale producten (hardware/software) verkocht in de EU en niet gevestigd in de Unie? Zo ja, dan ben je verplicht.
2. Kies de provider: Vergelijk prijzen, inbegrepen diensten, uitsluitingen en verificatieprocessen. Geef voorkeur aan providers met 24/7 desk en openbaar verifieerbaar certificaat.
3. Onderteken het mandaat: Het mandaat moet schriftelijk zijn, ondertekend door de rechtspersoon van de provider (bijv. Europe Services, SE voor REP27), en beperkt tot de verplichtingen van Art. 18. Vermijd mandaten die ook Art. 13 claimen te dekken.
4. Ontvang het certificaat: De provider verstrekt een benoemingscertificaat, bij voorkeur met QR-code en online verificatiepagina.
5. Bereid de interne runbook voor: Voeg de gegevens van de vertegenwoordiger, escalatieprocedure en contactgegevens voor rapportage toe aan de interne documentatie.
6. Configureer het rapportagekanaal: Richt een intern kanaal in om meldingen van kwetsbaarheden en incidenten te verzamelen, met minimaal twee personen als submitters op het ENISA-platform.
7. Train het team: Zorg dat personeel weet wat en wanneer te melden, en dat procedures getest zijn met simulaties.

Praktische checklist:

1. Heb je de productklassen en hun bestemming in de EU geïdentificeerd?
2. Heb je alle verkoop- en distributiekanalen in kaart gebracht?
3. Heb je een provider gekozen met 24/7 desk en transparante verlengingsprijs?
4. Heb je escalatie- en rapportageprocedures opgesteld?
5. Heb je minstens twee submitters op het ENISA-platform benoemd?
6. Heb je de meldingsflow getest met een simulatie?

Door deze stappen te volgen minimaliseer je het risico op niet-naleving en boetes.

Risico's, boetes en praktijkvoorbeelden: wat kan er gebeuren

Het niet melden van een kwetsbaarheid binnen 24 uur kan leiden tot boetes tot €15 miljoen of 2,5% van de wereldwijde omzet, naast reputatieschade en verkoopblokkades in de EU. Drie realistische scenario's om de verplichtingen te verduidelijken:

• USA SaaS: Een Amerikaans SaaS-bedrijf dat diensten aan EU-klanten levert, moet een CRA-vertegenwoordiger aanstellen, een 24/7 rapportagekanaal activeren en elke misbruikte kwetsbaarheid melden. De vertegenwoordiger stuurt meldingen via ENISA door en beantwoordt autoriteitsvragen.
• Chinese Amazon-verkoper: Als de verkoper ook producent is van het digitale product, moet hij een CRA-vertegenwoordiger aanstellen en rapportagedeadlines respecteren. Is hij alleen wederverkoper, dan ligt de verplichting bij de producent. Het rapportagekanaal moet klaar zijn vanaf 11 september 2026.
• Britse online winkel: Een Brits online winkel die apparaten met firmware aan EU-klanten verkoopt, moet een CRA-vertegenwoordiger aanstellen. Verkoopt hij alleen niet-digitale diensten, dan geldt de verplichting niet. Bij een incident moet binnen 24 uur gerapporteerd worden, ook al is de zetel buiten de EU.

In alle gevallen kan het ontbreken van voorbereiding (geen runbook, ongetest rapportagekanaal, niet-verifieerbare vertegenwoordiger) de reactie vertragen en juridische en financiële gevolgen verergeren.