--- title: "Verordening cyberweerbaarheid II: kwetsbaarheden aanpakken…" description: "Wat fabrikanten sinds 11 september 2026 onder artikel 14 van Verordening (EU) 2024/2847 moeten melden, binnen 24 uur, 72 uur, 14 dagen en één maand, en welke…" url: https://pitch.law/nl/academy/cyber-resilience-act-vulnerability-handling-and-reporting --- [pitch](https://pitch.law/nl) [Academy](https://pitch.law/nl/academy) [Data](https://pitch.law/nl/academy/topics/information-technology) # Verordening cyberweerbaarheid II: kwetsbaarheden aanpakken en melden sinds 11-09-2026 Wat fabrikanten sinds 11 september 2026 onder artikel 14 van Verordening (EU) 2024/2847 moeten melden, binnen 24 uur, 72 uur, 14 dagen en één maand, en welke plichten rond kwetsbaarheden uit bijlage I, deel II, volgen vanaf 11 december 2027. - - Door [Bart Lieben](https://pitch.law/nl/team/bart-lieben), Advocaat - 13 november 2026 - Bijgewerkt 13-11-2026 ## Het juridisch kader De verordening cyberweerbaarheid (Cyber Resilience Act, CRA) is [Verordening (EU) 2024/2847](https://eur-lex.europa.eu/legal-content/NL/TXT/?uri=CELEX:32024R2847). Het grootste deel geldt pas vanaf 11 december 2027, maar de meldplicht van [artikel 14](https://eur-lex.europa.eu/legal-content/NL/TXT/HTML/?uri=CELEX:32024R2847#art_14) is van toepassing sinds 11 september 2026 ([artikel 71, lid 2](https://eur-lex.europa.eu/legal-content/NL/TXT/HTML/?uri=CELEX:32024R2847#art_71)). Ze geldt voor elk product met digitale elementen binnen het toepassingsgebied, ook voor producten die lang vóór 11 december 2027 in de handel kwamen ([artikel 69, lid 3](https://eur-lex.europa.eu/legal-content/NL/TXT/HTML/?uri=CELEX:32024R2847#art_69)). De klok loopt dus al voor alles wat je ooit verkocht hebt. Of je product er überhaupt onder valt, lees je in [deel I van deze reeks](https://pitch.law/nl/academy/cyber-resilience-act-products-and-classes). Dit deel gaat over twee zaken: wat je meldt, en hoe je kwetsbaarheden aanpakt tijdens de levensduur van het product. ### Twee meldsporen Artikel 14 kent twee aanleidingen. Elke melding gaat "tegelijkertijd" naar het als coördinator aangewezen CSIRT en naar Enisa, het EU-agentschap voor cyberbeveiliging. **Spoor 1: een actief uitgebuite kwetsbaarheid (artikel 14, leden 1 en 2).** Dat is "een kwetsbaarheid waarvoor betrouwbare bewijzen bestaan dat een kwaadwillige actor die heeft uitgebuit in een systeem zonder toestemming van de systeemeigenaar" ([artikel 3, punt 42](https://eur-lex.europa.eu/legal-content/NL/TXT/HTML/?uri=CELEX:32024R2847#art_3)). Een lek dat je zelf bij het testen vindt, volstaat niet. Je dient in: - een **vroegtijdige waarschuwing**, zonder onnodige vertraging en in elk geval binnen **24 uur** nadat je er kennis van kreeg, waar nodig met de lidstaten waar het product voor zover je weet beschikbaar is; - een **kwetsbaarheidsmelding** binnen **72 uur**, met algemene informatie over het product, de aard van de uitbuiting en de kwetsbaarheid, de genomen corrigerende of risicobeperkende maatregelen en wat gebruikers zelf kunnen doen, en hoe gevoelig je de informatie vindt; - een **eindverslag** uiterlijk **14 dagen nadat een corrigerende of risicobeperkende maatregel beschikbaar is**, met een beschrijving van de kwetsbaarheid, de ernst en de gevolgen, informatie over de kwaadwillige actor als je die hebt, en details over de beveiligingsupdate of andere oplossing. **Spoor 2: een ernstig incident dat gevolgen heeft voor de beveiliging van het product (artikel 14, leden 3 en 4).** Een incident is ernstig als het het vermogen van het product aantast of kan aantasten om de beschikbaarheid, authenticiteit, integriteit of vertrouwelijkheid van gevoelige of belangrijke gegevens of functies te beschermen, of als het heeft geleid of kan leiden tot kwaadwillige code in het product of in de netwerk- en informatiesystemen van een gebruiker (artikel 14, lid 5). Denk aan een aanvaller die je updateserver overneemt. Je dient in: - een **vroegtijdige waarschuwing** binnen **24 uur**, met minstens de vermelding of het incident vermoedelijk door onwettige of kwaadwillige handelingen is veroorzaakt; - een **incidentmelding** binnen **72 uur**, met een eerste beoordeling en de genomen en beschikbare maatregelen; - een **eindverslag** binnen **één maand** na de incidentmelding, met een gedetailleerde beschrijving, het type dreiging of de grondoorzaak, en de toegepaste en lopende maatregelen. In beide sporen kan het CSIRT een tussentijds verslag met de stand van zaken vragen (artikel 14, lid 6). ### Waar je meldt Alle meldingen lopen via het **centrale meldingsplatform** dat Enisa opzet en beheert ([artikel 16](https://eur-lex.europa.eu/legal-content/NL/TXT/HTML/?uri=CELEX:32024R2847#art_16)). Je gebruikt het elektronische meldpunt van het als coördinator aangewezen CSIRT in de lidstaat van je **hoofdvestiging** in de Unie, en Enisa heeft tegelijk toegang (artikel 14, lid 7). De hoofdvestiging is waar de beslissingen over de cyberbeveiliging van je producten overwegend worden genomen. Lukt dat niet, dan is het de vestiging in de Unie met de meeste werknemers. Een fabrikant zonder vestiging in de Unie volgt een vaste volgorde: de lidstaat van de gemachtigde vertegenwoordiger die voor de meeste van zijn producten optreedt, dan die van de importeur die de meeste producten in de handel brengt, dan die van de distributeur, en tot slot waar de meeste gebruikers zitten (artikel 14, lid 7, derde alinea). Het CSIRT dat de melding ontvangt, stuurt ze door naar de CSIRT's van de lidstaten waar het product beschikbaar is. Dat doorsturen kan in uitzonderlijke omstandigheden worden uitgesteld op gerechtvaardigde cyberbeveiligingsgronden, bijvoorbeeld als je aangeeft dat de informatie gevoelig is of als de kwetsbaarheid in een procedure voor gecoördineerde openbaarmaking zit (artikel 16, leden 2 en 6). De CSIRT's geven de markttoezichtautoriteiten ook door wat die nodig hebben (artikel 16, lid 3). ### Je gebruikers informeren Nadat je kennis kreeg van een actief uitgebuite kwetsbaarheid of een ernstig incident, informeer je de getroffen gebruikers, en waar passend alle gebruikers, over het probleem en over de maatregelen die ze zelf kunnen nemen, waar passend in een gestructureerd, machineleesbaar formaat (artikel 14, lid 8). Doe je dat niet tijdig, dan kunnen de CSIRT's de gebruikers zelf inlichten. Het CSIRT kan, na overleg met jou, ook het publiek informeren of jou dat laten doen als dat nodig is ([artikel 17, lid 2](https://eur-lex.europa.eu/legal-content/NL/TXT/HTML/?uri=CELEX:32024R2847#art_17)). ### Bescherming voor wie meldt De loutere melding verhoogt je aansprakelijkheid niet (artikel 17, lid 4). Fabrikanten en anderen kunnen ook vrijwillig andere kwetsbaarheden, cyberdreigingen, incidenten en bijna-incidenten melden ([artikel 15](https://eur-lex.europa.eu/legal-content/NL/TXT/HTML/?uri=CELEX:32024R2847#art_15)). Zodra er een oplossing is, kan Enisa de kwetsbaarheid in overleg met de fabrikant opnemen in de Europese kwetsbaarhedendatabank (artikel 17, lid 5). De CSIRT's bieden helpdeskondersteuning bij de meldplicht, vooral aan kleine en middelgrote fabrikanten (artikel 17, lid 6). De administratieve geldboetes van de CRA voor het missen van de vroegtijdige waarschuwing binnen 24 uur gelden niet voor fabrikanten die een micro- of kleine onderneming zijn ([artikel 64, lid 10](https://eur-lex.europa.eu/legal-content/NL/TXT/HTML/?uri=CELEX:32024R2847#art_64)). De plicht zelf geldt voor hen wel. Voor alle anderen kan een inbreuk op artikel 14 leiden tot boetes tot 15 miljoen euro of 2,5% van de wereldwijde jaaromzet, als dat hoger is (artikel 64, lid 2). ### Kwetsbaarheden aanpakken vanaf 11 december 2027 Vanaf 11 december 2027 mogen producten alleen op de markt worden aangeboden als de processen van de fabrikant voldoen aan [bijlage I, deel II](https://eur-lex.europa.eu/legal-content/NL/TXT/HTML/?uri=CELEX:32024R2847#anx_I) ([artikel 6](https://eur-lex.europa.eu/legal-content/NL/TXT/HTML/?uri=CELEX:32024R2847#art_6)). De acht vereisten: 1. kwetsbaarheden en componenten vaststellen en documenteren, met een **softwarestuklijst** in een gangbaar, machineleesbaar formaat die minstens de afhankelijkheden op het hoogste niveau dekt; 2. kwetsbaarheden onverwijld aanpakken en verhelpen, ook met beveiligingsupdates, en die waar technisch haalbaar los van functionaliteitsupdates uitbrengen; 3. de beveiliging van het product doeltreffend en regelmatig testen en evalueren; 4. zodra een update beschikbaar is, informatie over verholpen kwetsbaarheden openbaar maken, met een beschrijving, de betrokken producten, gevolgen, ernst en hulp om het probleem te verhelpen (uitstel kan in naar behoren gemotiveerde gevallen, tot gebruikers konden patchen); 5. een beleid voor **gecoördineerde openbaarmaking van kwetsbaarheden** invoeren en handhaven; 6. het delen van informatie over kwetsbaarheden vergemakkelijken, ook in componenten van derden, met een contactadres voor meldingen; 7. voorzien in mechanismen om updates veilig te verspreiden, voor beveiligingsupdates waar van toepassing automatisch; 8. beveiligingsupdates onverwijld en kosteloos verspreiden, met adviesberichten, tenzij anders afgesproken met een zakelijke gebruiker voor een product op maat. [Artikel 13](https://eur-lex.europa.eu/legal-content/NL/TXT/HTML/?uri=CELEX:32024R2847#art_13) zet daar het kader rond: - kwetsbaarheden moeten doeltreffend worden aangepakt tijdens de **ondersteuningsperiode**, die de verwachte gebruiksduur weerspiegelt en minstens vijf jaar bedraagt, tenzij het product naar verwachting korter wordt gebruikt (artikel 13, lid 8); - elke beveiligingsupdate blijft na de uitgifte minstens tien jaar beschikbaar, of voor de rest van de ondersteuningsperiode als die langer is (artikel 13, lid 9); - vind je een kwetsbaarheid in een ingebouwd component, ook open source, dan meld je ze aan wie dat component maakt of onderhoudt, verhelp je ze en deel je waar passend je oplossing (artikel 13, lid 6); - er is een **centraal contactpunt** voor gebruikers, ook voor het melden van kwetsbaarheden, en dat mag niet beperkt blijven tot geautomatiseerde tools (artikel 13, lid 17); - de einddatum van de ondersteuningsperiode, minstens maand en jaar, moet bij aankoop duidelijk zijn (artikel 13, lid 19). ### Naast NIS2 en de AVG De CRA neemt het ritme van 24 uur, 72 uur en één maand over van [NIS2](https://pitch.law/nl/academy/the-nis2-directive-towards-a-firmer-eu-wide-cybersecurity-framework). Beide kunnen op hetzelfde bedrijf van toepassing zijn: NIS2 op het eigen netwerk en de eigen diensten, de CRA op de producten die het verkoopt. Zijn er persoonsgegevens getroffen, dan komt er onder de AVG een derde melding bij de gegevensbeschermingsautoriteit binnen 72 uur bij (zie [de 72-urenregel](https://pitch.law/nl/academy/data-breach-response-the-72-hour-countdown)). Bereid ze allemaal voor vanuit één set feiten. ## In de praktijk Een Belgische maker van toegangscontrollers voor gebouwen hoort op vrijdagavond van een klant dat zijn lezers met een gemanipuleerde badge worden geopend, en de logs bevestigen het. Dat is betrouwbaar bewijs van uitbuiting. Tegen zaterdagavond gaat de vroegtijdige waarschuwing via het centrale meldingsplatform naar het als coördinator aangewezen CSIRT in België, de hoofdvestiging, met de landen waar de lezers verkocht worden. Tegen maandagavond volgt de kwetsbaarheidsmelding, met het tijdelijke advies om pincode plus badge te gebruiken. De firmware-update komt drie weken later. Het eindverslag is 14 dagen daarna verschuldigd. Intussen informeert het bedrijf installateurs en klanten over de maatregelen. Een softwarebedrijf ontdekt dat zijn buildserver gehackt is en dat een ondertekende update kwaadwillige code kan hebben bevat. Dat is een ernstig incident in de zin van artikel 14, lid 5, b). De vroegtijdige waarschuwing binnen 24 uur vermeldt dat een kwaadwillige handeling wordt vermoed. Valt het bedrijf ook onder NIS2, dan gaat het na of hetzelfde voorval een significant incident is voor de eigen diensten. Een onderzoeker meldt een lek in een slimme camera dat niemand heeft uitgebuit. Dat hoeft niet verplicht gemeld te worden. De fabrikant behandelt het volgens zijn openbaarmakingsbeleid, verhelpt het en publiceert vanaf 11 december 2027 een advies zodra de update er is. Vrijwillig melden onder artikel 15 kan. ### Praktische stappen 1. Wijs een verantwoordelijke voor CRA-meldingen aan die ook 's nachts en in het weekend mag melden. 2. Bepaal je hoofdvestiging, en zo je CSIRT, en zoek uit hoe het meldpunt op het platform werkt. 3. Schrijf een draaiboek met de twee sporen, de termijnen en sjablonen voor elke melding. 4. Richt het centrale contactpunt in en publiceer nu al een beleid voor gecoördineerde openbaarmaking, ook al geldt bijlage I pas vanaf 11 december 2027. 5. Maak bij elke release een softwarestuklijst. 6. Leg je ondersteuningsperiodes vast en maak ze bekend. ### Contracten Leveranciers, integratoren en wederverkopers horen vaak als eersten van een probleem. Neem in je contracten de plicht op om je zonder vertraging te verwittigen van elke uitbuiting of elk incident met je producten, met de informatie die je nodig hebt voor de waarschuwing binnen 24 uur. Spreek af hoe beveiligingsupdates via distributeurs bij eindgebruikers terechtkomen. Eis in aankoopcontracten voor componenten dat de maker je informeert over kwetsbaarheden en oplossingen en je eigen meldingen ondersteunt. ## Veelgestelde vragen ### Geldt artikel 14 ook voor producten die we jaren geleden verkochten? Ja, als ze binnen het toepassingsgebied van de CRA vallen. Artikel 69, lid 3, past artikel 14 toe op alle producten die vóór 11 december 2027 in de handel zijn gebracht. ### Wanneer begint de termijn van 24 uur? Wanneer de fabrikant kennis krijgt van de actief uitgebuite kwetsbaarheid of het ernstige incident (artikel 14, lid 2, a), en lid 4, a)). Zorg dus dat die kennis snel bij de juiste persoon terechtkomt. ### We zijn een klein bedrijf. Moeten we melden? Ja. Micro- en kleine ondernemingen kunnen geen boete krijgen voor het missen van de vroegtijdige waarschuwing binnen 24 uur (artikel 64, lid 10, a)), maar de meldplicht zelf, met de melding binnen 72 uur en het eindverslag, blijft gelden. ### Wordt de kwetsbaarheid openbaar als we ze aan het CSIRT melden? Niet automatisch. Het CSIRT deelt ze met andere CSIRT's en autoriteiten, en dat delen kan op gerechtvaardigde gronden worden uitgesteld. Enisa neemt ze pas op in de Europese kwetsbaarhedendatabank als er een oplossing is, en in overleg met jou. ## Hoe dit samenhangt Ons team [datalekken](https://pitch.law/nl/solutions/data-breach-response-enforcement) beheert de meldingen onder de CRA, NIS2 en de AVG vanuit één tijdlijn, en de [workflow voor datalekken](https://pitch.law/nl/technologies/breach-response-workflow) bewaart elke termijn en elk verslag in één dossier. De meldplichten van je leveranciers en distributeurs horen in je contracten; ons team [handelscontracten](https://pitch.law/nl/solutions/commercial-contracts-transactions) stelt ze op, en het [register van rechten en verplichtingen](https://pitch.law/nl/technologies/contract-obligations) volgt ondersteuningsperiodes en meldplichten na de ondertekening op. ### In één oogopslag **Aangehaalde bepalingen:** Verordening (EU) 2024/2847, artikelen 3, punt 42, 6, 13, leden 6, 8, 9, 17 en 19, 14, 15, 16, 17, 64, leden 2 en 10, 69, lid 3, en 71; bijlage I, deel II. **Belangrijke data:** meldplicht onder artikel 14 sinds 11 september 2026, voor alle producten binnen het toepassingsgebied; vereisten voor de aanpak van kwetsbaarheden (bijlage I, deel II) vanaf 11 december 2027. **De reeks:** [deel I, producten en klassen](https://pitch.law/nl/academy/cyber-resilience-act-products-and-classes), [deel III, importeurs, distributeurs, open source en contracten](https://pitch.law/nl/academy/cyber-resilience-act-importers-distributors-open-source) en [het cyberbeveiligingspakket van 2026](https://pitch.law/nl/academy/cybersecurity-act-revision-and-nis2-amendments). Verwant: [de NIS2-richtlijn](https://pitch.law/nl/academy/the-nis2-directive-towards-a-firmer-eu-wide-cybersecurity-framework) en [de 72-urenregel bij datalekken](https://pitch.law/nl/academy/data-breach-response-the-72-hour-countdown). ## In het kort - De twee meldsporen van artikel 14 en hun termijnen - Bij welk CSIRT je meldt, via het centrale meldingsplatform - Je gebruikers informeren - De acht vereisten voor de aanpak van kwetsbaarheden in bijlage I, deel II - Hoe CRA-meldingen zich verhouden tot NIS2 en de AVG ## Hier helpen we mee - [Oplossingen](https://pitch.law/nl/solutions/data-breach-response-enforcement) ### [Aanpak van datalekken](https://pitch.law/nl/solutions/data-breach-response-enforcement) [Hulp vanaf de eerste uren van een datalek: inschatten wat er speelt, melden aan de toezichthouder en aan betrokkenen, alles vastleggen en optreden tegen de bron.](https://pitch.law/nl/solutions/data-breach-response-enforcement) - [Oplossingen](https://pitch.law/nl/solutions/commercial-contracts-transactions) ### [Commerciële contracten en transacties](https://pitch.law/nl/solutions/commercial-contracts-transactions) [Leverings-, distributie-, dienstverlenings-, SaaS- en aankoopcontracten en de deals eromheen, geschreven en nagelezen met oog voor IP, data en fiscaliteit.](https://pitch.law/nl/solutions/commercial-contracts-transactions) ## Onze eigen Legal Tech - [Technologie](https://pitch.law/nl/technologies/breach-response-workflow) ### [Datalekken afhandelen](https://pitch.law/nl/technologies/breach-response-workflow) [Een workflow voor artikelen 33 en 34 AVG met een afteller van 72 uur, een referentie per inbreuk en een gestructureerde melding aan de toezichthouder, goedgekeurd door een jurist.](https://pitch.law/nl/technologies/breach-response-workflow) - [Technologie](https://pitch.law/nl/technologies/contract-obligations) ### [Contractbeheer: rechten en verplichtingen](https://pitch.law/nl/technologies/contract-obligations) [Zodra een contract definitief is, halen we de plichten en rechten van elke partij eruit, met de clausule waar ze vandaan komen. Een persoon bevestigt ze en we volgen ze op met herinneringen.](https://pitch.law/nl/technologies/contract-obligations) ## Meer over Data - ### [Kinderen online: het voorstel voor een EU KIDS Act en leeftijdsverificatie](https://pitch.law/nl/academy/children-online-kids-act-and-age-verification) [Wat de Digital Services Act vandaag al vraagt om minderjarigen te beschermen, wat het voorstel voor een EU KIDS Act van 17 september 2026 zou toevoegen voor sociale netwerken, videoplatformen, games, appwinkels en chatbots, en hoe het Europese kader voor leeftijdsverificatie daarin past.](https://pitch.law/nl/academy/children-online-kids-act-and-age-verification) - ### [De Cloud and AI Development Act: soevereiniteitsregels voor de aankoop van cloud en AI](https://pitch.law/nl/academy/cloud-and-ai-development-act) [Wat het voorstel van de Commissie voor een verordening cloud- en AI-ontwikkeling zou vragen van cloudaanbieders die aan de overheid verkopen, van aanbestedende diensten en van inschrijvers op cloud- en AI-opdrachten, en hoe het zich verhoudt tot de Data Act en de aanbestedingsrichtlijn.](https://pitch.law/nl/academy/cloud-and-ai-development-act) - ### [Verordening cyberweerbaarheid III: importeurs, distributeurs, open source en contracten](https://pitch.law/nl/academy/cyber-resilience-act-importers-distributors-open-source) [De plichten van importeurs, distributeurs en gemachtigde vertegenwoordigers onder de artikelen 18 tot en met 23 van Verordening (EU) 2024/2847, wanneer een wederverkoper fabrikant wordt, hoe vrije en opensourcesoftware en haar stewards worden behandeld, en welke bedingen daaruit volgen.](https://pitch.law/nl/academy/cyber-resilience-act-importers-distributors-open-source) - ### [Verordening cyberweerbaarheid I: welke producten vallen eronder, en in welke klasse](https://pitch.law/nl/academy/cyber-resilience-act-products-and-classes) [Hoe je nagaat of hardware of software die je verkoopt onder Verordening (EU) 2024/2847 valt, of het een gewoon, belangrijk (klasse I of II) of kritiek product is en welke conformiteitsroute daaruit volgt, met de data tot 11 december 2027.](https://pitch.law/nl/academy/cyber-resilience-act-products-and-classes) - ### [Cyberincidenten over de grenzen heen: de verordening cybersolidariteit](https://pitch.law/nl/academy/cyber-solidarity-act) [Wat Verordening (EU) 2025/38 opzet, het Europees waarschuwingssysteem voor cyberbeveiliging, het noodmechanisme voor cyberbeveiliging met de EU-cyberbeveiligingsreserve en het evaluatiemechanisme voor incidenten, hoe een bedrijf dat door een zwaar incident wordt getroffen ervan kan profiteren, en wat het betekent voor aanbieders van beheerde beveiligingsdiensten.](https://pitch.law/nl/academy/cyber-solidarity-act) - ### [Het cyberbeveiligingspakket van 2026: herziene Cyberbeveiligingsverordening en NIS2-wijzigingen](https://pitch.law/nl/academy/cybersecurity-act-revision-and-nis2-amendments) [Wat de Commissie op 20 januari 2026 voorstelde in COM(2026) 11 (de Cybersecurity Act 2, ter vervanging van Verordening (EU) 2019/881) en COM(2026) 13 (gerichte wijzigingen aan de NIS2-richtlijn), hoe ver de procedures staan en wat bedrijven nu al kunnen voorbereiden.](https://pitch.law/nl/academy/cybersecurity-act-revision-and-nis2-amendments) ## Even sparren? Vertel waar je mee bezig bent. We zetten de juiste persoon erop en je hoort binnen één werkdag van ons. Het eerste gesprek is gratis. [Plan een gesprek](https://pitch.law/nl/schedule)