Fabrikanten van producten met digitale componenten moeten vanaf 11 september 2026 actief misbruikte kwetsbaarheden en ernstige incidenten melden bij het Nationaal Cyber Security Centrum (NCSC). De meldplicht komt voort uit de Cyber Resilience Act (CRA) en is het eerste onderdeel van de Europese verordening dat van toepassing wordt.
Een melding is nodig wanneer er betrouwbaar bewijs is dat een kwetsbaarheid in een product actief door iemand met kwade bedoelingen wordt misbruikt. Ook ernstige incidenten die de beveiliging van het product raken, vallen onder de meldplicht. Daarnaast geldt de verplichting voor oudere producten die op 11 september 2026 op de Europese markt beschikbaar zijn. Een kwetsbaarheid die nog niet aantoonbaar is misbruikt, hoeft niet te worden gemeld.
Fabrikanten moeten binnen 24 uur een vroegtijdige waarschuwing doen en binnen 72 uur een uitgebreidere melding versturen. Daarna volgt een eindverslag. Bij een kwetsbaarheid moet dat uiterlijk 14 dagen nadat een oplossing beschikbaar is gesteld, bij een incident binnen één maand na de melding. De termijnen beginnen zodra de fabrikant kennis krijgt van de kwetsbaarheid of het incident.
Melden kan via MijnNCSC of via het meldformulier op de website van het NCSC. De CRA kent geen registratieplicht, waardoor melden zonder account mogelijk is. De overige verplichtingen uit de verordening, waaronder producteisen en CE-markering, gaan volgens het NCSC in op 11 december 2027.