Meldplicht CRA van kracht: fabrikanten melden kwetsbaarheden vanaf 11 september

Vanaf 11 september 2026 geldt de eerste verplichting uit de Europese Cyberweerbaarheidsverordening (CRA). Fabrikanten van producten met digitale elementen zijn sindsdien verplicht om actief uitgebuite kwetsbaarheden en ernstige beveiligingsincidenten te melden. Daarnaast moeten zij getroffen gebruikers hierover actief informeren. Dat meldt PIANOo, het kenniscentrum voor aanbesteden.

Inkopers bij decentrale overheden — en breder: alle organisaties die slimme installaties, toegangscontrole of andere digitaal verbonden producten aanschaffen — krijgen daarmee een sterkere informatiepositie. Waar zij voorheen afhankelijk waren van wat een leverancier vrijwillig deelde over beveiligingsproblemen, verplicht de CRA fabrikanten nu tot actieve en tijdige communicatie. Voor vastgoed- en huisvestingsbeheerders die werken met gebouwgebonden technologie betekent dit dat zij bij incidenten sneller en vollediger geïnformeerd moeten worden door de leverancier, wat risicobeheer en opvolging concreter maakt.

De CRA-meldplicht is een eerste stap in een bredere Europese aanpak om de digitale weerbaarheid van producten te vergroten. Voor wie nu producten met digitale elementen inkoopt of contracten hernieuwt, is het verstandig te controleren of leveranciers aan deze meldplicht voldoen en hoe zij getroffen gebruikers in de praktijk informeren.