Eisen aan veiligheid van digitale producten

Maakt u producten met digitale onderdelen? Denk aan slimme apparaten, videokaarten, netwerkapparatuur, of software zoals videogames, besturingssystemen of mobiele apps. Dan moet u ernstige digitale veiligheidsproblemen melden.

Wat moet u melden?

De meldplicht geldt voor fabrikanten van digitale producten. Bijvoorbeeld software, apps, slimme apparaten en andere apparaten met digitale functies. U moet deze problemen melden:

• kwetsbaarheden die actief worden misbruikt, zoals fouten in software of hardware waarvan u merkt dat hackers die gebruiken om toegang te krijgen tot een product 
• ernstige beveiligingsincidenten die gevolgen hebben voor de veiligheid van uw digitale product

Waar doet u een melding?

U meldt het probleem bij het Nationaal Cyber Security Centrum (NCSC). Dit kan via MijnNCSC of via het CRA-meldformulier. Het NCSC zorgt dat uw melding ook bij ENISA en de betrokken andere EU-landen terechtkomt. U hoeft dus niet apart bij ENISA te melden. 

Als dat nodig is, moet u gebruikers ook informeren over het probleem en wat zij kunnen doen om de gevolgen te beperken.

Hoe snel moet u melden?

De termijnen beginnen zodra u weet van de kwetsbaarheid of het incident:

• Binnen 24 uur: doe een eerste melding.
• Binnen 72 uur: geef meer informatie over het product, het probleem en de maatregelen die u neemt.
• Daarna: stuur een eindverslag. Bij een kwetsbaarheid moet dit uiterlijk 14 dagen nadat u een oplossing beschikbaar heeft gesteld. Bij een ernstig incident moet dit binnen 1 maand na de melding van 72 uur.

Waarom moet u problemen melden?

De meldplicht is onderdeel van de Verordening cyberweerbaarheid (de Europese Cyber Resilience Act (CRA)). Deze wet moet digitale producten in de Europese Unie beter beveiligen.

De meldplicht geldt sinds 11 september 2026. De meeste andere regels van de CRA gelden vanaf 11 december 2027.