CRA-melding van kwetsbaarheden en incidenten

Sinds 11 september 2026 moeten CRA-fabrikanten actief misbruikte kwetsbaarheden en ernstige incidenten melden via het ENISA Single Reporting Platform. Deze gids legt uit wat een melding activeert, hoe de termijnen van 24 uur, 72 uur, 14 dagen en 1 maand werken, en waar CVD, VEX en gebruikersinformatie in het proces passen.

Wat moet worden gemeld

CRA-melding heeft twee verplichte gebeurtenisstromen en een afzonderlijke plicht om gebruikers te informeren. De plicht ligt bij de fabrikant van het product met digitale elementen op de EU-markt:

1. Meld elke actief misbruikte kwetsbaarheid in het product aan de coördinerende CSIRT en ENISA volgens 24u / 72u / 14d.
2. Meld elk ernstig incident dat gevolgen heeft voor de beveiliging van het product volgens 24u / 72u / 1 maand.
3. Informeer getroffen gebruikers over de kwetsbaarheid of het incident en corrigerende maatregelen zonder onnodige vertraging.

Deze pagina behandelt ook twee aangrenzende controles die de meldbeslissing voeden: het verplichte CVD-beleid en toepasbaarheidsbewijs zoals VEX. Geen van deze plichten heeft een omvangsdrempel. Micro- en kleine ondernemingen krijgen alleen een smalle boetevrijstelling voor de 24h-vroege waarschuwing; zij zijn niet vrijgesteld van melden.

Het ENISA Single Reporting Platform (SRP)

SRP is het enige kanaal voor verplichte CRA-meldingen over kwetsbaarheden en incidenten. De fabrikant meldt een keer via het elektronische punt van de coördinerende CSIRT; de melding is tegelijk beschikbaar voor ENISA tenzij het uitzonderlijke mechanisme voor vertraagde verspreiding wordt toegepast. De coördinerende CSIRT verspreidt de informatie daarna naar betrokken CSIRT's in andere lidstaten.

Die uitstelregel laat de coördinerende CSIRT de verdere verspreiding uitstellen in uitzonderlijke omstandigheden, op gerechtvaardigde cyberbeveiligingsgronden en zolang dat strikt noodzakelijk is. U kunt erom vragen en u kunt aangeven hoe gevoelig de informatie is, maar het besluit ligt bij de CSIRT en niet bij u. Er is een tweede, aparte vertraging voor een kwetsbaarheid waarvan de coördinerende CSIRT via een gecoördineerde openbaarmakingsprocedure kennis heeft gekregen. Daar kan de CSIRT de melding tegenhouden op gerechtvaardigde cyberbeveiligingsgronden, niet langer dan strikt noodzakelijk is en tot de partijen bij die openbaarmaking instemmen met bekendmaking. Dat is het weten waard als u een CVD-traject draait, maar ook hier ligt het besluit bij de CSIRT, dus reken er niet op dat een embargo standhoudt.

Zeer uitzonderlijke omstandigheden, kortweg PEC, is een smaller en apart mechanisme. Het geldt alleen voor de 72-uurskennisgeving over een actief misbruikte kwetsbaarheid, en alleen wanneer het misbruik beperkt blijft tot de lidstaat van uw coördinator, wanneer bredere openbaarmaking ingaat tegen de wezenlijke belangen van die staat, of wanneer de verspreiding zelf een onmiddellijk hoog cyberbeveiligingsrisico oplevert. U zet er in het platform een schakelaar voor om en kunt een onderbouwing meegeven; de coördinerende CSIRT beslist. Zolang het geldt, krijgt ENISA nog steeds een beperkte set: dat er een melding is gedaan, algemene productinformatie, de algemene aard van het misbruik en het gegeven dat beveiligingsgronden zijn ingeroepen. De volledige melding volgt zodra de vertraging afloopt. Het PEC-richtsnoer van ENISA beschrijft de procedure.

Status, 6 november 2026: het SRP is sinds 11 september 2026 beschikbaar op portal.cra-srp.enisa.europa.eu. U kiest op de startpagina de rol Assigned Representative en logt in met een persoonlijk EU Login-account met multifactorauthenticatie. Dat account meldt namens een fabrikant of een opensourcesoftwaresteward en is niet hetzelfde als een gemachtigde vertegenwoordiger onder de CRA. ENISA heeft het platform op 4 november 2026 opgewaardeerd naar versie 1.3 en zegt dat de documentatie nog wordt bijgewerkt. De FAQ draagt de datum 15 oktober 2026, en de registratiegids voor de Assigned Representative, de gids over de platforminterface en de gids over het indienen en bijwerken van meldingen dragen de datum 12 september 2026. Op 9 september 2026 verscheen eerst de AR User Manual, op 4 november 2026 opnieuw uitgegeven als versie 1.3: de weg scherm voor scherm door de registratie, de drie meldingsfasen en het bijwerken van een melding. De SRP Glossary is versie 1.6 en geeft de veld-voor-veldreferentie, alleen in het Engels. De lijst met CSIRT's die als coördinator zijn aangewezen draagt 10 september 2026. Er is bij de eerste release geen SRP-API; u dient meldingen in via de platforminterface. Vrijwillige melding is nog niet beschikbaar. ENISA merkt zijn richtsnoeren aan als huidige kennis die nog kan wijzigen. Maak een EU Login-account aan voordat u het nodig heeft, gebruik de ENISA SRP-onboardinggids en neem zo nodig contact op via cra-srp-helpdesk@enisa.europa.eu.

Meldtermijnen in detail

Meldschema

Wat elke indiening bevat

Vroegtijdige waarschuwing (24 uur). De vroegtijdige waarschuwing is een alarmsignaal, geen volledige analyse. Voor kwetsbaarheden moet ze zonder onnodige vertraging en binnen 24 uur na kennisname worden verstuurd, en ze vermeldt in voorkomend geval de lidstaten waar de fabrikant weet dat het product beschikbaar is gesteld. Voor ernstige incidenten moet ze ten minste ook vermelden of het incident vermoedelijk door onwettige of kwaadwillige handelingen is veroorzaakt. Interne sjablonen kunnen velden toevoegen voor productversie, ernst, reikwijdte van de impact en eigenaar, maar dat zijn operationele velden, niet allemaal wettelijke minimumeisen.

Gedetailleerde melding (72 uur). In deze fase horen twee afzonderlijke plichten. De kwetsbaarheidsmelding van 72 uur geldt voor actief uitgebuite kwetsbaarheden en geeft algemene informatie over het product, het misbruik, de kwetsbaarheid, de genomen maatregelen, de maatregelen die gebruikers kunnen nemen en, waar relevant, de gevoeligheid. De incidentmelding van 72 uur geldt voor ernstige incidenten en geeft algemene informatie over het incident, een eerste beoordeling, de genomen maatregelen, de maatregelen die gebruikers kunnen nemen en, waar relevant, de gevoeligheid.

Eindrapport. Bij kwetsbaarheden begint de klok van 14 dagen zodra een corrigerende of risicobeperkende maatregel beschikbaar is, niet bij de ontdekking en niet bij de melding van 72 uur. Het eindrapport bevat ten minste de beschrijving van de kwetsbaarheid, de ernst en de gevolgen, informatie over kwaadwillige actoren waar beschikbaar en details over de beveiligingsupdate of andere corrigerende maatregelen. Bij ernstige incidenten is de klok van 1 maand verankerd aan de incidentmelding van 72 uur, en het eindrapport bevat ten minste een gedetailleerde beschrijving van het incident, de ernst en de gevolgen, het soort bedreiging of de grondoorzaak die waarschijnlijk tot het incident heeft geleid en de toegepaste en lopende beperkende maatregelen.

1. Fabrikant krijgt kennis. De 24u-klok start wanneer een snelle eerste beoordeling de fabrikant een redelijke mate van zekerheid geeft dat een kwetsbaarheid in zijn product actief wordt misbruikt.
2. +24h. Dien de eerste waarschuwing in via ENISA SRP.
3. +72h. Voeg technische details, getroffen versies, misbruikstatus en herstelstatus toe.
4. Maatregel beschikbaar. Voor kwetsbaarheden begint de klok voor het eindrapport hier, niet bij ontdekking.
5. +14d. Dien de eindgegevens voor de kwetsbaarheids- of incidentstroom in.

Ernstige incidenten volgen dezelfde openingsstappen van 24 uur en 72 uur; het eindrapport is uiterlijk 1 maand na de 72u-melding vereist.

Gegevensvelden in de SRP-meldingssjabloon

De SRP Glossary van ENISA is de veld-voor-veldreferentie voor wat het platform in elke fase vraagt. Versie 1.6 telt 43 velden: 19 die voor beide stromen gelden, 13 die alleen bij een actief misbruikte kwetsbaarheid horen, 9 die alleen bij een ernstig incident horen en 2 afsluitende opmerkingenvelden. De Glossary bestaat alleen in het Engels en ENISA merkt hem aan als huidige kennis die nog kan wijzigen. Codes: X verplicht, O optioneel, C overgenomen van de vorige stap of bijgewerkt, I verplicht als de informatie beschikbaar is, - niet van toepassing in die fase.

Ernstcriteria (i34): een ernstig incident is een incident dat (1) de mogelijkheid van het product om de beschikbaarheid, authenticiteit, integriteit of vertrouwelijkheid van gevoelige of belangrijke gegevens of functies te beschermen negatief beïnvloedt of kan beïnvloeden, of (2) heeft geleid of kan leiden tot het introduceren of uitvoeren van kwaadaardige code in het product of in de netwerk- en informatiesystemen van een gebruiker.

Bron: SRP Glossary van ENISA, versie 1.6, laatst bijgewerkt op 21 oktober 2026.

Wat een meldplicht activeert

De CRA kent twee triggers voor melding: actief uitgebuite kwetsbaarheden en ernstige incidenten die gevolgen hebben voor de beveiliging van het product.

1. Actief uitgebuite kwetsbaarheden

Een actief uitgebuite kwetsbaarheid is een kwetsbaarheid in het product waarvoor betrouwbaar bewijs bestaat dat een kwaadwillende actor haar zonder toestemming in een systeem heeft uitgebuit. De fabrikant moet daarvan ook kennis hebben gekregen voordat de meldklok start.

Dat is niet hetzelfde als openbaarmaking, een gepubliceerde proof-of-concept of een onderzoeker die in een lab aantoont dat misbruik mogelijk is. Zulke signalen horen thuis in kwetsbaarheidsafhandeling en CVD-triage, tenzij ze betrouwbaar bewijs opleveren van kwaadwillig misbruik tegen een echt systeem.

2. Ernstige incidenten

Een ernstig incident is een incident dat gevolgen heeft voor de beveiliging van het product en aan een van de volgende criteria voldoet:

• het beïnvloedt, of kan beïnvloeden, de mogelijkheid van het product om de beschikbaarheid, authenticiteit, integriteit of vertrouwelijkheid van gevoelige of belangrijke gegevens of functies te beschermen, of
• het heeft geleid of kan leiden tot het introduceren of uitvoeren van kwaadaardige code in het product of in de netwerk- en informatiesystemen van een gebruiker.

Meldplichtige en niet-meldplichtige scenario's

Kennis en bewijs

De CRA-definitie gebruikt betrouwbaar bewijs om een actief misbruikte kwetsbaarheid vast te stellen. Kennis is een afzonderlijke toets: na een snelle eerste beoordeling moet de fabrikant een redelijke mate van zekerheid hebben dat een kwetsbaarheid in zijn product actief wordt misbruikt. Een afgerond forensisch onderzoek is niet vereist.

CVD-intake en meldpoort

Het CVD-beleid is het intakeproces dat externe rapporten van onderzoekers omzet in gestructureerde triage. Wijst de triage op actief misbruik, beoordeel dit dan direct. De meldklok start wanneer die eerste beoordeling de fabrikant een redelijke mate van zekerheid geeft. Het beleid is verplicht voor elk product met digitale elementen en er is geen drempel voor mkb of omvang. Een publieke CVD-pagina en een security.txt-bestand onder /.well-known/security.txt zijn de praktische manier om het meldkanaal vindbaar te maken.

Voor het CVD-beleid zelf, met de vereiste inhoud, conventies voor openbaarmakingstermijnen, safe-harbour-taal en sjablonen voor communicatie met onderzoekers, zie de gids over gecoördineerde kwetsbaarheidsopenbaarmaking. Voor de plaats van CVD in de bredere levenscyclus van kwetsbaarheidsafhandeling, zie CRA-kwetsbaarheidsafhandeling. Voor het gecombineerde overzicht van afhandeling en melding onder artikel 14, zie kwetsbaarheidsafhandeling en -melding.

VEX en kwetsbaarheidstoepasbaarheid

VEX (Vulnerability Exploitability eXchange) is een gestructureerde, machineleesbare verklaring over de vraag of een kwetsbaarheid in een SBOM-component een specifiek product werkelijk raakt. Het zet ruwe CVE-treffers om in een verdedigbare, productspecifieke status:

Voor melden draait het om toepasbaarheid plus actief misbruik. Een kwetsbaarheid met status affected en betrouwbaar bewijs van actief misbruik is precies het soort gebeurtenis dat de 24u-klok voor de eerste waarschuwing start. Een kwetsbaarheid met status not_affected en een deugdelijke motivering onderbouwt een besluit om niet te melden. De CRA noemt VEX niet bij naam, maar VEX is een praktische manier om die motivering te bewaren. Voor VEX-formaten, voorbeelden, motiveringstypen, tooling en SBOM-integratie, zie de VEX-gids.

Verlichting voor kleine fabrikanten

Micro- en kleine ondernemingen (minder dan 50 werknemers en een jaaromzet of balanstotaal tot EUR 10 miljoen; micro: minder dan 10 werknemers, EUR 2 miljoen) zijn alleen vrijgesteld van boetes voor het missen van de eerste 24h-vroege waarschuwing. De verlichting geldt alleen voor die eerste stap.

Blijft verplicht, zonder mkb-verlichting:

• De gedetailleerde 72h-melding.
• Het 14-dagen-eindrapport voor kwetsbaarheden en het 1-maands-eindrapport voor ernstige incidenten.
• Het CVD-beleid.
• Alle overige CRA-productbeveiligingsplichten, inclusief de baseline zonder bekende uitbuitbare kwetsbaarheden.

Middelgrote ondernemingen vallen hier niet onder. Het is een smalle boetevrijstelling, geen lichter meldregime. Zie CRA-boetes en handhaving voor de bredere sanctiestructuur, inclusief terugroepacties en bevoegdheden voor markttoezicht.

Veelgemaakte fouten

• Wachten op forensische zekerheid voordat de klok start. Een snelle eerste beoordeling en een redelijke mate van zekerheid zijn genoeg; een afgerond forensisch onderzoek is niet vereist.
• CVD en urgente melding verwarren. Het rapport van een onderzoeker is CVD-intake. Urgente melding begint pas wanneer de eerste beoordeling de fabrikant een redelijke mate van zekerheid over actief misbruik geeft. Het CVD-beleid moet daarvoor een expliciete poort bevatten.
• Een enkele escalatiepersoon. Eén persoon die mag melden en vrijdagnacht onbereikbaar is. De klok van 24 uur pauzeert niet.
• Het eerste contact met de coördinerende CSIRT tijdens een incident. Leg de relatie en de routering nu vast, zolang er geen klok loopt.
• Geen gepubliceerd CVD-beleid. Een openbaar beleid is verplicht, een intern document is niet genoeg.
• Geen toepasbaarheidsbesluiten. Zonder VEX of een gelijkwaardig record is moeilijk te verdedigen waarom een bekende CVE in uw SBOM in uw product niet uitbuitbaar is.
• SRP als toekomstprobleem behandelen. Sjablonen, escalatieroosters en CSIRT-relaties moeten klaarstaan vóór de eerste meldplichtige gebeurtenis, niet tijdens die gebeurtenis worden opgebouwd.

1. De Glossary legt dit veld uit als het moment waarop u of een andere relevante partij de kwetsbaarheid voor het eerst detecteerde (“first detected”). Detectie is niet hetzelfde als kennisname, dus leg beide vast. ↩︎