CRA in Nederland: melden bij het NCSC, toezicht door de RDI

2026-09-26 · Yunus Yildiz

De Cyber Resilience Act (CRA) heet in het Nederlands de Verordening cyberweerbaarheid. Omdat het een verordening is, geldt hij rechtstreeks: er is geen Nederlandse wet nodig om de verplichtingen van fabrikanten van kracht te laten zijn. Wel is een wet nodig om te regelen wie in Nederland meldingen ontvangt, wie toezicht houdt en hoe wordt gehandhaafd.

Die verdeling is inmiddels helder: melden bij het NCSC, toezicht door de RDI.

Melden: sinds 11 september bij het NCSC

Sinds 11 september 2026 meld je als fabrikant een actief misbruikte kwetsbaarheid of een ernstig incident in je product bij het Nationaal Cyber Security Centrum. Dat geldt als je hoofdvestiging in Nederland staat: de EU-vestiging waar de beslissingen over de cyberbeveiliging van je producten in hoofdzaak worden genomen (artikel 14, lid 7).

Wie moet melden. Iedere fabrikant van een product met digitale elementen dat op de Europese markt wordt aangeboden. Het NCSC is er expliciet over: "De omvang van je organisatie maakt niet uit. Ook als softwareontwikkeling een nevenactiviteit is, val je onder de meldplicht." En de plicht geldt ook voor producten die je jaren geleden op de markt hebt gebracht.

Wat je meldt. Een actief misbruikte kwetsbaarheid, of een ernstig incident dat de beveiliging van je product raakt. Het NCSC voegt eraan toe wat je níet hoeft te melden: "Een kwetsbaarheid die je zelf vindt of die via responsible disclosure bij je binnenkomt en die nog niet aantoonbaar is misbruikt, hoef je niet te melden." Zit de kwetsbaarheid in een component van een leverancier, dan meld jij die voor jouw product.

Hoe je meldt. Er zijn twee wegen:

1. Via MijnNCSC (aanbevolen door het NCSC). Je logt in met eHerkenning of SSOnRijk. Het voordeel: je vroegtijdige waarschuwing, je melding binnen 72 uur en je eindverslag blijven bij elkaar in één zaak, en je bouwt elke vervolgmelding op de vorige. Val je ook onder de Cyberbeveiligingswet, dan gebruik je hetzelfde account.
2. Via het CRA-meldformulier op ncsc.nl, zonder account en zonder inlogmiddel. Je krijgt een referentienummer per e-mail; bewaar dat, want je hebt het nodig om je vervolgmeldingen te koppelen.

Geen registratieplicht. "De CRA kent geen registratieplicht." Je hoeft je niet vooraf aan te melden. De registratieplicht op MijnNCSC komt uit de Cyberbeveiligingswet en staat daar los van (zie registreren voor de Cyberbeveiligingswet).

Eén melding, niet twee. Het NCSC zorgt dat je melding bij ENISA terechtkomt en bij de CSIRT's van de andere lidstaten waar je product beschikbaar is. "Je hoeft dus niet op 2 plekken te melden." Vind je je melding gevoelig, bijvoorbeeld omdat de details als aanvalstechniek bruikbaar zijn, geef dat dan aan: het NCSC weegt dat mee bij het verspreiden.

De termijnen zijn die van de verordening: een vroegtijdige waarschuwing binnen 24 uur, een melding binnen 72 uur, en een eindverslag uiterlijk 14 dagen nadat een oplossing beschikbaar is (kwetsbaarheden) of binnen een maand na de melding (incidenten). Welke gegevens je per stap nodig hebt, staat in de Article 14 notification template.

Kleine en micro-ondernemingen hebben dezelfde meldplicht. Het NCSC schrijft: "Maar je krijgt geen boete als je de eerste termijn van 24 uur niet haalt." Dat volgt uit artikel 64, lid 10, onder a; de 72-uursmelding en het eindverslag vallen daar niet onder. De opbouw van de boetes staat in CRA Penalties (Article 64).

Wat het NCSC met je melding doet

Het NCSC is uitdrukkelijk geen toezichthouder: "Een melding bij het NCSC is geen boetemelding en geen aangifte." Het gebruikt je melding om misbruik dat ook andere organisaties raakt snel te zien, om ENISA en andere lidstaten te informeren, en om gebruikers te waarschuwen als jij dat niet op tijd doet. Dat laatste is geen vrijblijvende mogelijkheid: artikel 14, lid 8, verplicht jou om getroffen gebruikers te informeren, en geeft het CSIRT de bevoegdheid dat te doen als jij het nalaat.

Toezicht: de RDI

Het toezicht op de CRA ligt in Nederland bij de Rijksinspectie Digitale Infrastructuur (RDI). De RDI schrijft zelf dat de Uitvoeringswet verordening cyberweerbaarheid is opgesteld "om nationale bevoegdheden te regelen, zoals de toezichtstaak van de RDI".

Hoe ver is die wet?

Voor de meeste productverplichtingen maakt de timing weinig uit: die gelden pas vanaf 11 december 2027. Wie wil weten of zijn product een regulier, belangrijk (klasse I of II) of kritiek product is, kan terecht in de Gids Cyber Resilience Act van de RDI, waar het NCSC ook naar verwijst.

Wat je nu regelt als Nederlandse fabrikant

1. Bepaal je hoofdvestiging in de zin van artikel 14, lid 7. Ligt die in Nederland, dan meld je bij het NCSC.
2. Kies je meldroute. MijnNCSC met eHerkenning (EH2+ met machtiging, gekoppeld aan je KvK-nummer) is de route die meldingen bij elkaar houdt; regel het inlogmiddel voordat je het nodig hebt. Het formulier is de terugvaloptie.
3. Leg vast wie meldt, met een vervanger, en waar het referentienummer of de zaak wordt bijgehouden.
4. Bereid de productgegevens voor: productnamen, versies en de lidstaten waar je product beschikbaar is. Die heb je binnen 24 uur nodig.
5. Regel het informeren van gebruikers (artikel 14, lid 8), zodat het NCSC dat niet voor je hoeft te doen.

Bronnen

• NCSC, Melden onder de Cyber Resilience Act en Cyber Resilience Act (CRA).
• RDI, Cyber Resilience Act (CRA).
• Eerste Kamer, Uitvoeringswet verordening cyberweerbaarheid (36.875): stand van zaken.
• Verordening (EU) 2024/2847, artikel 14 en artikel 64, letterlijke tekst uit het Publicatieblad op deze site.

Dit artikel geeft onze lezing van de genoemde bronnen weer op de datum hierboven. De Uitvoeringswet kan nog wijzigen in de Eerste Kamer. Het is geen juridisch advies.