Cyber Resilience Act 24-uurs kwetsbaarheidsrapportage: aanbieders & prijzen (2026)

• CRA Artikel 14 vereist 24-uurs rapportage van actief misbruikte kwetsbaarheden aan ENISA.
• Niet-EU fabrikanten moeten een in de EU gevestigde gemachtigde vertegenwoordiger aanstellen voor rapportage.
• REP27 — Europe Services, SE rekent €490/jaar voor de Artikel 18 opdracht.
• Concurrentieprijzen: kadano (€999/jaar), Euverify (£590/jaar), anderen op aanvraag.
• Juridisch advies, SBOM-generatie en conformiteitsbeoordeling zijn niet inbegrepen bij REP27.
• Niet vereist voor importeurs, distributeurs of legacy producten die vóór 11 sep 2026 op de markt zijn gebracht.

Bijgewerkt 17 October 2026 · 8 bronnen gecontroleerd

Providers vergeleken

Prijzen zoals gepubliceerd op de website van elke provider op 17 October 2026, exclusief btw tenzij anders vermeld. Elke rij linkt naar zijn bron.

Wat de wet vereist: CRA Artikel 14 & 18

De Cyber Resilience Act (CRA) introduceert een streng regime voor fabrikanten die producten met digitale elementen op de EU-markt brengen. Artikel 1 definieert de reikwijdte: hardware en software met digitale elementen, inclusief verbonden apparaten, firmware en apps, vallen onder de regeling. Artikel 10 stelt essentiële eisen aan cybersecuritymaatregelen gedurende de productlevenscyclus, terwijl Artikel 11 de verplichtingen van fabrikanten beschrijft, zoals risicoanalyse, kwetsbaarheidsbeheer en conformiteitsbeoordeling.

Artikel 14 is centraal: het vereist dat fabrikanten elke actief misbruikte kwetsbaarheid of ernstig incident dat de productveiligheid raakt binnen 24 uur na bekendwording melden aan ENISA via het uniforme meldplatform. De meldplicht wordt geactiveerd door geloofwaardig bewijs van exploitatie of een significant beveiligingsincident, niet door louter het ontdekken van een kwetsbaarheid. De 24-uurs klok loopt in kalenderuren, inclusief nachten, weekenden en feestdagen.

Voor fabrikanten buiten de EU vereist Artikel 18 de aanstelling van een gemachtigde vertegenwoordiger gevestigd in de EU. Deze vertegenwoordiger is verantwoordelijk voor het afhandelen van het 24-uurs meldproces en fungeert als officieel aanspreekpunt voor EU-autoriteiten. Importeurs en distributeurs hebben eigen verplichtingen onder Artikel 12, maar de primaire meldplicht ligt bij de fabrikant of diens gemachtigde vertegenwoordiger.

Producten die vóór 11 september 2026 op de EU-markt zijn gebracht, zijn vrijgesteld van de 24-uurs meldplicht maar moeten voldoen aan andere CRA-bepalingen. Niet-naleving kan leiden tot boetes tot €15 miljoen of 2,5% van de wereldwijde jaaromzet, afhankelijk van wat hoger is. De wet is duidelijk: als u een niet-EU fabrikant bent die digitale producten in de EU verkoopt na deze datum, moet u een gemachtigde vertegenwoordiger hebben die binnen 24 uur kan handelen bij een kwalificerend incident.

Hoe kies je een CRA gemachtigde vertegenwoordiger

Het kiezen van de juiste gemachtigde vertegenwoordiger is cruciaal voor naleving en operationele efficiëntie. Begin met het verifiëren van de juridische entiteit van de aanbieder, vestiging in de EU en trackrecord. Bijvoorbeeld, REP27 — Europe Services, SE is gevestigd in Praag, Tsjechië, en actief sinds 2018, met mandaten getekend voor bedrijven in 24 landen.

Belangrijke selectiecriteria zijn:

• Transparante prijzen: Zoek naar duidelijke, gepubliceerde prijzen en verlengingsvoorwaarden. REP27 publiceert zowel eerstejaars- als verlengingsprijzen. Sommige aanbieders, zoals kadano en Euverify, publiceren ook prijzen, terwijl anderen een offerte vereisen.
• Reikwijdte van de opdracht: Zorg dat de opdracht beperkt is tot Artikel 18 taken. Te brede opdrachten kunnen beweren ook Artikel 13 verplichtingen te dekken, wat Artikel 18(2) verbiedt. REP27 beperkt expliciet de reikwijdte tot Artikel 18 rapportage.
• Beschikbaarheid: Het meldpunt moet 24/7 bemand zijn, inclusief weekenden en feestdagen. REP27 garandeert continue dekking, terwijl details van andere aanbieders bevestigd moeten worden.
• Certificaatverificatie: Een verifieerbaar certificaat (zoals de QR-code en publieke verificatie van REP27) biedt bewijs van aanstelling en kan door autoriteiten of klanten worden gecontroleerd.
• Uitsluitingen: Maak duidelijk wat niet inbegrepen is, zoals juridisch advies, SBOM-generatie of technische tests. REP27 vermeldt alle uitsluitingen duidelijk; veel concurrenten doen dat niet.

Gebundelde diensten (bijv. technische scanning, SBOM-generatie) kunnen nuttig zijn als u intern geen middelen heeft, maar controleer altijd op verborgen kosten, onduidelijke verlengingsprijzen of vage dienstomschrijvingen. Vraag het proces schriftelijk op, inclusief hoe verzoeken worden afgehandeld, in welke talen en tijdens welke uren.

Zorg er tenslotte voor dat de opdracht van de aanbieder verifieerbaar is en dat hun proces voor het doorsturen van autoriteitsverzoeken snel en gedocumenteerd verloopt. Dit is niet slechts een nalevingschecklist—vertragingen of miscommunicatie kunnen juridische en commerciële gevolgen hebben.

Wat de prijs echt omvat: aanbieder vergelijking

Begrijpen wat in de gepubliceerde prijs is inbegrepen is essentieel om verrassingen te voorkomen. Hieronder een gedetailleerde vergelijking van wat elke aanbieder biedt, op basis van beschikbare gegevens:

De prijs van REP27 (€490/jaar, €440 bij verlenging) is alleen voor de Artikel 18 opdracht, met duidelijke uitsluitingen. Kadano en Euverify publiceren prijzen maar specificeren niet publiekelijk wat inbegrepen of uitgesloten is. Aanbieders zoals ResilienceWP en Seentrix bieden aanvullende technische diensten (SBOM, scanning, documentatie), maar prijs en reikwijdte zijn alleen op aanvraag beschikbaar.

Vraag altijd een gedetailleerde dienstomschrijving en bevestiging van verlengingsprijzen voordat u tekent. De duurste fout is aannemen dat technische naleving of juridisch advies inbegrepen is terwijl dat niet zo is.

Verborgen kosten & wat aanbieders meestal niet zeggen

Hoewel de kopprijs belangrijk is, kunnen verborgen kosten en uitsluitingen een grote impact hebben op uw nalevingsbudget en operationeel risico. Dit is wat aanbieders vaak niet vooraf melden:

• Uitsluitingen: REP27 is expliciet: geen juridisch advies, DPO-diensten, technische nalevingsbeoordelingen, SBOM-generatie of tests inbegrepen. Veel concurrenten publiceren dergelijke uitsluitingen niet, vraag er dus altijd naar. Technische naleving (SBOM, conformiteitsbeoordeling, engineering) is nooit inbegrepen in een alleen-vertegenwoordiger opdracht en moet apart begroot worden.
• Verlengingsprijzen: Sommige aanbieders bieden een lage eerstejaarsprijs maar publiceren geen verlengingsprijzen. REP27 publiceert beide upfront. Vraag altijd verlengingsvoorwaarden schriftelijk om onverwachte stijgingen te voorkomen.
• Kosten per verzoek: Sommige vertegenwoordigers kunnen extra kosten rekenen per autoriteits- of betrokkeneverzoek, of voor spoedmeldingen. REP27 vermeldt geen dergelijke kosten, maar dat geldt niet overal. Vraag duidelijkheid voor u tekent.
• Opzegtermijnen en beëindiging: Het proces voor het beëindigen van de opdracht of wisselen van aanbieder wordt zelden gedetailleerd. Informeer naar opzegtermijnen en eventuele kosten.
• Aansprakelijkheidsbeperkingen: De meeste vertegenwoordigers beperken hun aansprakelijkheid voor gemiste deadlines of foutieve indieningen. Deze beperkingen worden niet altijd openbaar vermeld.
• Gebundelde diensten: Aanbieders die technische diensten aanbieden (bijv. SBOM, scanning) kunnen aanzienlijke extra kosten rekenen of langdurige contracten vereisen. Bevestig scope en prijs schriftelijk.

Samenvattend omvat de werkelijke nalevingskost niet alleen het honorarium van de vertegenwoordiger, maar ook uw interne engineering, technische naleving en de kosten van het onderhouden van een 24/7 incidentresponsproces. Vraag altijd een volledige uitsplitsing en schriftelijke bevestiging van alle voorwaarden voordat u zich verbindt.

Hoe aanstelling werkt: stap voor stap

Het aanstellen van een CRA gemachtigde vertegenwoordiger is een proces dat zorgvuldige planning en documentatie vereist. Hier is een praktische stapsgewijze gids gebaseerd op huidige best practices en wettelijke vereisten:

1. Beoordeel toepasbaarheid: Bevestig dat uw product een digitaal element (hardware/software) is dat na 11 september 2026 op de EU-markt wordt gebracht. Zo ja, geldt de CRA 24-uurs meldplicht.
2. Kies een aanbieder: Vergelijk aanbieders op basis van gepubliceerde prijs, scope, uitsluitingen en reputatie. Vraag alle voorwaarden en verlengingsprijzen schriftelijk op.
3. Contract en opdracht: Onderteken een schriftelijke opdracht met uw gekozen gemachtigde vertegenwoordiger. REP27 verstrekt een ondertekende Artikel 18 opdracht en verifieerbaar certificaat binnen 24 uur. Zorg dat de juridische entiteit in de EU gevestigd is en in het handelsregister staat.
4. Update documentatie: Noteer de gegevens van de vertegenwoordiger in uw compliance runbook. Bereid een duidelijk meldproces voor, inclusief wie een incident kan melden en hoe bewijs wordt vastgelegd.
5. Interne voorbereiding: Benoem minstens twee medewerkers als indieners voor het ENISA-platform, bij voorkeur in verschillende tijdzones. Schrijf vooraf waarschuwingstemplates en wijs verantwoordelijkheden toe voor de 72-uurs melding en communicatie naar gebruikers.
6. Incidentrespons: Wanneer een kwalificerende kwetsbaarheid of incident wordt ontdekt, meld dit direct aan uw vertegenwoordiger. Deze dient de vroege waarschuwing binnen 24 uur in bij ENISA/CSIRT, gevolgd door de 72-uurs melding en het eindrapport.
7. Registratie: Houd gedetailleerde logs bij van bewustwording, indieningstijden en communicatie. Dit is cruciaal als uw naleving ooit door autoriteiten wordt gecontroleerd.
8. Voortdurende evaluatie: Herzie regelmatig uw processen en update contactgegevens, templates en verantwoordelijkheden waar nodig.

Dit proces zorgt dat u voldoet aan de strikte deadlines van de CRA en boetes voorkomt. De sleutel is voorbereiding: definieer triggers, wijs rollen toe en oefen de workflow voordat de wet van kracht wordt.

Risico's, boetes en nalevingstermijnen

De Cyber Resilience Act brengt aanzienlijke juridische en financiële risico's bij niet-naleving. Artikel 15 beschrijft handhavingsprocedures en sancties. Het meest directe risico is het missen van de 24-uurs meldtermijn voor actief misbruikte kwetsbaarheden of ernstige incidenten. De klok start bij bekendwording, niet bij afronding van onderzoek. Vertragingen kunnen leiden tot boetes tot €15 miljoen of 2,5% van de wereldwijde omzet, wat hoger is.

Andere risico's zijn:

• Markttoegangvertragingen: Het niet aanstellen van een vertegenwoordiger of het niet kunnen tonen van een verifieerbaar certificaat kan productlanceringen vertragen of inkoopprocessen blokkeren, vooral bij zakelijke verkoopcycli.
• Handhavingsmaatregelen: Autoriteiten kunnen onderzoeken starten, documentatie eisen of corrigerende maatregelen opleggen als meldplichten niet worden nageleefd.
• Reputatieschade: Publieke meldingsfouten kunnen uw merk en klantvertrouwen schaden.
• Meervoudige meldregimes: Een enkel incident kan meldingen triggeren onder CRA, NIS2, GDPR en GPSR, elk met eigen termijnen en autoriteiten. Bijvoorbeeld, een ransomware-aanval via uw product kan drie afzonderlijke meldingen vereisen.

Nalevingstermijnen zijn streng: de 24-uurs meldplicht geldt vanaf 11 september 2026 voor nieuwe producten. Legacy producten die vóór die datum zijn geplaatst zijn vrijgesteld van de 24-uurs regel maar moeten aan andere CRA bepalingen voldoen. De ondersteuningsperiode voor beveiligingsupdates—minimaal vijf jaar—is een andere verborgen kostenpost die als productlijn moet worden gepland en begroot, niet als eenmalig project.

Samenvattend zijn de risico's van niet-naleving aanzienlijk en zijn de kosten van onvoldoende voorbereiding veel hoger dan die van het aanstellen van een gekwalificeerde vertegenwoordiger.

Beslissingsmatrix: Heeft u een CRA gemachtigde vertegenwoordiger nodig?

Gebruik de volgende matrix om te bepalen of u een CRA gemachtigde vertegenwoordiger nodig heeft:

Deze matrix dekt de meeste scenario's. Bij twijfel raadpleeg uw juridisch adviseur of neem contact op met een aanbieder voor verduidelijking. Onthoud dat de plicht ligt bij de fabrikant of diens gemachtigde vertegenwoordiger, niet bij importeur of distributeur tenzij zij het product onder eigen naam op de markt brengen.

Checklist: stappen naar CRA 24-uurs rapportage naleving

1. Breng uw producten in kaart: Maak een lijst van alle producten met digitale elementen die in de EU worden verkocht en hun lanceringsdata.
2. Beoordeel interne processen: Bekijk hoe kwetsbaarheden worden gedetecteerd, geëscaleerd en gedocumenteerd binnen uw organisatie.
3. Kies een vertegenwoordiger: Vergelijk aanbieders, vraag schriftelijke bevestiging van alle kosten, verlengingsprijzen en scope van diensten.
4. Onderteken de opdracht: Verkrijg een ondertekende Artikel 18 opdracht en verifieerbaar certificaat van uw gekozen aanbieder.
5. Update documentatie: Voeg de gegevens van de vertegenwoordiger toe aan uw runbook en compliance documentatie. Bereid vroege waarschuwing- en meldtemplates voor.
6. Wijs rapportagerollen toe: Benoem minstens twee indieners voor het ENISA-platform, bij voorkeur in verschillende tijdzones.
7. Test uw workflow: Voer een tafel-oefening uit die een misbruikte kwetsbaarheid simuleert om te zorgen dat iedereen zijn verantwoordelijkheden en termijnen kent.
8. Train uw team: Leid medewerkers op over wat de 24-uurs klok activeert en hoe incidenten te escaleren.
9. Volg regelgeving updates: Blijf op de hoogte van wijzigingen in CRA vereisten of meldplatforms vóór september 2026.
10. Herzie en update regelmatig: Evalueer jaarlijks of na elk groot incident uw processen en documentatie.

Het volgen van deze checklist helpt u voorbereid te zijn om te voldoen aan de strikte meldverplichtingen van de CRA en kostbare boetes te vermijden.

Realistische scenario's: Welke route geldt?

• Amerikaans SaaS-bedrijf dat aan EU-bedrijven verkoopt: Het bedrijf is een niet-EU fabrikant die digitale producten op de EU-markt brengt. Het moet een gemachtigde vertegenwoordiger aanstellen voor Artikel 18 rapportage (bijv. REP27, kadano, Euverify). Het interne securityteam detecteert kwetsbaarheden en meldt deze aan de vertegenwoordiger, die binnen 24 uur ENISA/CSIRT indieningen verzorgt. Er is geen importeur of distributeur betrokken, dus de plicht is direct.
• Chinese Amazon-verkoper die IoT-apparaten aan EU-consumenten levert: Als de verkoper de fabrikant is en buiten de EU gevestigd, moet hij een gemachtigde vertegenwoordiger aanstellen. Als Amazon optreedt als importeur van record, kan de meldplicht naar Amazon verschuiven. De verkoper moet dit met het platform afstemmen en indien nodig een vertegenwoordiger aanstellen en productdocumentatie aanpassen.
• Britse webshop die eigen merk routers in de EU verkoopt: Als niet-EU fabrikant moet het Britse bedrijf een gemachtigde vertegenwoordiger aanstellen voor 24-uurs rapportage. De gegevens van de vertegenwoordiger moeten in compliance documentatie worden opgenomen en interne processen moeten klaar zijn om incidenten snel te escaleren. Als de webshop ook als importeur of distributeur onder eigen naam optreedt, kunnen aanvullende verplichtingen gelden.

Deze scenario's tonen het belang van het in kaart brengen van uw toeleveringsketen en het verduidelijken van rollen. De eenvoudigste compliant route is een vertegenwoordiger aanstellen, het proces documenteren en zorgen dat uw team getraind en klaar is voor snelle respons.