Kosten 24-uurs kwetsbaarheidsrapportage voor niet-EU producenten (CRA 2026)

• Verplichting vanaf 11 september 2026 voor alle producenten van digitale producten verkocht in de EU
• REP27 biedt de dienst aan voor €490/jaar, verlenging €440, gepubliceerde prijs
• Kadano: €999/jaar, Euverify: £590/jaar (ongeveer €690), gepubliceerde prijzen
• De dienst omvat alleen het doorgeven van meldingen, geen tests of technische beoordelingen
• Niet naleven: boetes tot €15 miljoen of 2,5% van de wereldwijde omzet
• Niet van toepassing op importeurs, distributeurs of verkopers buiten de EU

Bijgewerkt 22 October 2026 · 7 bronnen gecontroleerd

Providers vergeleken

Prijzen zoals gepubliceerd op de website van elke provider op 22 October 2026, exclusief btw tenzij anders vermeld. Elke rij linkt naar zijn bron.

Wat de wet vereist: Artikel 14 CRA

Artikel 14 van de Cyber Resilience Act (EU-verordening 2024/2847) introduceert een zeer strikte meldplicht voor alle producenten van digitale producten die in de Europese Unie worden verkocht, ongeacht hun vestigingsplaats. Vanaf 11 september 2026 moet elke producent binnen 24 uur na ontdekking een actief misbruikte kwetsbaarheid of ernstig beveiligingsincident melden dat het product beïnvloedt. De melding gebeurt via het centrale platform beheerd door ENISA, gericht aan het CSIRT-coördinator van het betreffende EU-land.

• De melding bestaat uit drie fasen: early warning (binnen 24 uur), gedetailleerde notificatie (binnen 72 uur), eindrapport (binnen 14 dagen).
• De meldplicht geldt ook voor niet-EU producenten die rechtstreeks of via marktplaatsen aan EU-klanten verkopen.
• Er worden geen veiligheidstests of technische beoordelingen door de vertegenwoordiger vereist: zijn rol is het doorgeven van meldingen en fungeren als contactpunt.
• De verplichting geldt ook voor incidenten die de veiligheid van het product beïnvloeden, niet alleen voor reeds misbruikte kwetsbaarheden.

Het niet melden of te laat melden kan leiden tot boetes tot €15 miljoen of 2,5% van de wereldwijde omzet, afhankelijk van wat hoger is. Deze regels gelden voor iedereen die digitale producten op de EU-markt brengt, inclusief software-, hardware-, IoT-apparaten, SaaS en meer.

Bronnen: NIS2.gov.ie, Licentium

Hoe kies je een provider: praktische criteria en vergelijking

De juiste provider kiezen voor kwetsbaarheidsrapportage volgens de CRA vereist aandacht voor verschillende praktische aspecten naast de prijs. Hier zijn de belangrijkste criteria om te overwegen:

• Gepubliceerde en transparante prijs: Kies providers die duidelijk de jaarlijkse kosten en verlengingsprijs vermelden, om verrassingen te voorkomen.
• Geografische dekking: De provider moet vertegenwoordiging garanderen in alle EU-landen waar je je producten verkoopt.
• Certificering en verificatie: Een elektronisch ondertekend en publiek verifieerbaar mandaat is een teken van betrouwbaarheid.
• 24/7 actief meldkanaal: De dienst moet het hele jaar door operationeel zijn, inclusief weekenden en feestdagen.
• Duidelijkheid over uitsluitingen: Geen enkele van de opgenomen providers biedt in de basisprijs veiligheidstests, SBOM of technische ondersteuning: het mandaat omvat alleen het doorgeven van meldingen.

Gedetailleerde vergelijking:

Praktische tip: vraag altijd vooraf wat inbegrepen is, of er kosten per melding zijn en hoe verlenging verloopt. Geef de voorkeur aan providers die een publiek verifieerbaar certificaat leveren en duidelijk hun juridische entiteit en geografische dekking vermelden.

Wat de prijs echt omvat: praktische details

De door providers gepubliceerde prijs dekt uitsluitend het mandaat van vertegenwoordiging voor kwetsbaarheidsrapportage volgens Art. 18 CRA. Dit betekent dat de vertegenwoordiger:

• Meldingen van kwetsbaarheden of beveiligingsincidenten ontvangt en doorstuurt naar bevoegde instanties (CSIRT/ENISA) via het officiële platform.
• Dient als contactpunt voor Europese toezichthouders bij vragen of verduidelijkingen.
• Een ondertekend en gecertificeerd mandaat levert, vaak met QR-code voor publieke verificatie.
• Een 24/7 actief meldkanaal garandeert (althans REP27, zoals op hun officiële pagina's vermeld).

Niet inbegrepen in de basisprijs zijn:

• Veiligheidstests of kwetsbaarheidsbeoordelingen
• Generatie van Software Bill of Materials (SBOM)
• Technische, juridische of operationele ondersteuning bij het opstellen van meldingen
• Crisesmanagement of communicatie naar eindgebruikers (behalve het doorsturen van meldingen)

REP27 specificeert bijvoorbeeld dat "conformity assessment behoort tot aangemelde instanties, testen tot beveiligingsbedrijven, SBOM-generatie tot jouw build pipeline en rapportage tot jouw beveiligingsteam". Het mandaat omvat alleen het doorgeven en ontvangen van verzoeken van autoriteiten. Geen extra kosten per melding, geen verborgen upsell.

Tip: zorg dat je intern de expertise hebt om meldingen voor te bereiden en te reageren op eventuele vragen van autoriteiten.

Verborgen kosten, servicebeperkingen en praktische risico's

De kosten van het mandaat van vertegenwoordiging zijn slechts een deel van het budget dat nodig is voor naleving van de Cyber Resilience Act. Verborgen kosten en beperkingen van de service worden vaak over het hoofd gezien:

• Interne voorbereiding: Het verzamelen van informatie, opstellen van meldingen en communicatie met de vertegenwoordiger zijn voor rekening van de producent.
• Audits en beoordelingen: Bij verzoek van autoriteiten kunnen kosten voor externe audits of technische beoordelingen ontstaan, die niet door het mandaat worden gedekt.
• Technische en juridische ondersteuning: De vertegenwoordiger biedt geen technische of juridische adviesdiensten buiten het doorgeven van meldingen; eventuele consulten zijn apart.
• Beperkte aansprakelijkheid: Geen van de opgenomen providers neemt verantwoordelijkheid voor fouten in door de klant aangeleverde inhoud of voor weglatingen in de melding.
• Verlenging en overstap: Controleer altijd de voorwaarden voor verlenging en eventuele boetes bij wisseling van provider: REP27 publiceert prijzen voor overstap en verlenging, anderen niet.

Praktische risico's:

• Als de interne procedure niet klaar is, is het risico op niet-naleving van termijnen hoog.
• Het niet of te laat melden kan leiden tot hoge administratieve boetes en blokkades van verkoop in de EU.

Tip: beschouw het mandaat als een "procesverzekering", niet als een technische oplossing. Effectieve naleving hangt af van je interne organisatie.

Hoe werkt de benoeming: stap voor stap en checklist

De benoeming van de CRA-vertegenwoordiger volgt een duidelijk operationeel schema. Hier zijn de praktische stappen en een checklist:

1. Controleer of je digitale producten in de EU verkoopt: Zo ja, controleer of je de producent bent (niet alleen distributeur/importeur).
2. Kies de provider: Vergelijk prijzen, inbegrepen diensten, uitsluitingen en contractuele transparantie.
3. Vraag de dienst online aan: Vul het aanvraagformulier in en ontvang het mandaat van vertegenwoordiging Art. 18.
4. Onderteken en archiveer het mandaat: Het mandaat moet door beide partijen worden ondertekend en bewaard voor eventuele controles.
5. Voeg de gegevens van de vertegenwoordiger toe aan bedrijfsdocumentatie: Werk runbooks, interne beleidsregels en compliance-documentatie bij.
6. Bereid de interne meldprocedure voor: Definieer wie een kwetsbaarheid kan melden, hoe bewijsmateriaal wordt verzameld en hoe meldingssjablonen worden ingevuld (early warning, notificatie, eindrapport).
7. Benoem minstens twee submitters: Zorg dat minstens twee personen toegang hebben tot het ENISA-platform om blokkades bij afwezigheid te voorkomen.
8. Registreer alle stappen: Houd bij wie, wanneer en hoe elke melding is gedaan. Dit is essentieel bij audits.

Operationele checklist:

1. Controleer je positie (producent, importeur, distributeur)
2. Kies en benoem de vertegenwoordiger
3. Bereid de interne meldprocedure voor
4. Benoem submitters en werk documentatie bij
5. Vul meldingssjablonen vooraf in
6. Registreer elke melding en communicatie

Tip: procedurele duidelijkheid is de echte meerwaarde van de vertegenwoordiging.

Beslissingsmatrix: wie heeft de dienst nodig?

Niet alle bedrijven hebben een mandaat van vertegenwoordiging nodig voor kwetsbaarheidsrapportage. Hier is een beslissingsmatrix gebaseerd op praktijkgevallen:

Tip: als je alleen distributeur of importeur bent en het product niet onder eigen naam op de markt brengt, hoef je geen vertegenwoordiger te benoemen. Als je niet-EU producent bent, is benoeming essentieel om boetes te vermijden.

Wat providers niet zeggen (maar je moet weten)

Veel providers publiceren geen belangrijke details die je naleving en werkelijke kosten kunnen beïnvloeden:

• Uitsluitingen: Geen van de opgenomen providers biedt veiligheidstests, SBOM of technische beoordelingen in de basisprijs. Het mandaat omvat alleen het doorgeven van meldingen.
• Aansprakelijkheid: De verantwoordelijkheid voor correctheid en tijdigheid van meldingen ligt altijd bij de producent. De vertegenwoordiger controleert of wijzigt de inhoud niet.
• Verlenging en overstap: Sommige providers publiceren geen verlengingsprijs of voorwaarden voor wisseling van vertegenwoordiger. REP27 doet dit wel, anderen niet.
• Talen en uren: Controleer of de provider echt 24/7 actief is en verzoeken in meerdere talen kan afhandelen indien nodig.
• Servicebeperkingen: De vertegenwoordiger verzorgt geen communicatie naar eindgebruikers, crisismanagement of juridisch advies.

Tip: vraag altijd een schriftelijke lijst van uitsluitingen en aansprakelijkheidsbeperkingen voordat je tekent.

Praktische scenario's: drie praktijkgevallen en eenvoudigste route

• Amerikaanse SaaS die in de EU verkoopt: Moet een CRA-vertegenwoordiger benoemen, de meldprocedure voorbereiden en de vertegenwoordiger in officiële documenten opnemen. Bij een misbruikte kwetsbaarheid stuurt het bedrijf de melding naar de vertegenwoordiger die deze doorstuurt naar ENISA/CSIRT. De eenvoudigste route is kiezen voor een provider met 24/7 actief meldkanaal en verifieerbaar mandaat.
• Chinese verkoper op Amazon: Als producent van het digitale product is er een meldplicht en moet een vertegenwoordiger worden benoemd; als alleen distributeur niet. De eenvoudigste route is duidelijkheid over contractuele rol en indien nodig een provider met ervaring in e-commerce sector.
• Online winkel VK: Als digitale producten aan EU-klanten worden verkocht, moet een vertegenwoordiger worden benoemd en de meldprocedure gevolgd; bij verkoop alleen in VK is er geen verplichting. De eenvoudigste route is evalueren of het aandeel EU-verkopen de nalevingskosten rechtvaardigt.

In alle gevallen zijn interne voorbereiding en procedurele duidelijkheid essentieel om deadlines te halen en boetes te voorkomen.