Sinds 11 september 2026 hebt u 24 uur om te melden. Hebt u een procedure?
De CRA 24-uurs meldingskit geeft kleine en middelgrote fabrikanten van producten met digitale elementen een volledige, ondertekenbare procedure voor het melden van incidenten en kwetsbaarheden: een beslisboom voor het toepassingsgebied, de handleiding voor het ENISA-platform, de vijf meldingssjablonen, gebruikersberichten in vier talen en een oefenscript van 90 minuten. In één week ingevoerd.
Geschreven en geoefend door de PKI- en EU-compliancepraktijk van SkyQon. Geen juridisch advies. 30 dagen garantie: een procedure of uw geld terug.
Dit geldt voor u als alle drie de uitspraken waar zijn
- U brengt hardware met firmware, verbonden apparaten of software onder uw eigen naam op de EU-markt.
- U onderhoudt of actualiseert die software zelf of via leveranciers.
- U hebt geen schriftelijke, geteste procedure om ENISA en uw nationale CSIRT binnen 24 uur te informeren.
De meeste CRA-termijnen vallen in 2027. De ene die u een boete kan opleveren, geldt al.
Sinds 11 september 2026 verplicht artikel 14 van de Cyber Resilience Act fabrikanten om elke actief misbruikte kwetsbaarheid en elk ernstig incident bij een product met digitale elementen te melden, ook bij producten die jaren geleden zijn geleverd. Vroegtijdige waarschuwing binnen 24 uur. Melding binnen 72 uur. Eindverslag later. Boetes tot 15 miljoen euro of 2,5% van de wereldwijde omzet.
Als vanmiddag een misbruikte kwetsbaarheid in een van uw producten wordt gevonden, kan uw team deze vragen dan vandaag beantwoorden?
- Wie beslist dat de gebeurtenis de meldingsdrempel haalt, en start de klok?
- Wie heeft de EU Login met tweede factor die het meldingsplatform vereist?
- Wat staat er precies in de vroegtijdige waarschuwing van 24 uur, en welke lidstaten moeten worden vermeld?
- Welke gebruikers moeten worden geïnformeerd, en met welke tekst?
- Welk bewijs toont een markttoezichtautoriteit dat u dit allemaal op tijd hebt gedaan?
Als een antwoord "dat zien we dan wel" is, loopt de klok al tegen u.
Een invoering in één week, geen project van zes maanden
De kit is de set documenten die een bedrijf van 10 tot 250 mensen nodig heeft, zo geschreven dat een CTO of compliance-verantwoordelijke ze kan overnemen zonder advocaat op het kritieke pad.
- Dag 1Doorloop de beslisboom voor toepassingsgebied en classificatie per product; leg de conclusie schriftelijk vast.
- Dag 2Neem de meldingsprocedure over, vul de RACI in, benoem de verantwoordelijke en de plaatsvervanger, onderteken.
- Dag 3Beide benoemde personen maken een EU Login met tweede factor aan; kies uw coördinerend CSIRT; schrijf de terugvalladder.
- Dag 4Laad de sjablonen voor 24 uur, 72 uur en eindverslag en het productregister in uw ticketsysteem.
- Dag 5Voer de tafeloefening van 90 minuten uit en archiveer het bewijslogboek. U bent nu geoefend en gedocumenteerd.
Wat zit er in de kit
Beslisboom toepassingsgebied
Ben ik de fabrikant, valt dit product eronder, is deze gebeurtenis meldingsplichtig: actief misbruikte kwetsbaarheid of ernstig incident, met de route via artikel 15 bij twijfel.
Meldingsprocedure en RACI
Bewerkbaar, gekoppeld aan artikel 14, uur voor uur vanaf T0, met de twee verschillende klokken voor het eindverslag en een ondertekeningspagina.
Handleiding ENISA-platform
EU Login en tweede factor, hoofd- en nevenvertegenwoordigers, de keuze van het coördinerend CSIRT die een melding ongeldig kan maken, en de terugval als het platform niet beschikbaar is. Het hoofdstuk over het Belgische CSIRT is al ingevuld.
Vijf meldingssjablonen
Vroegtijdige waarschuwing binnen 24 uur (kwetsbaarheid en incident), melding binnen 72 uur, eindverslag voor een kwetsbaarheid en voor een incident, plus het tussentijdse en het vrijwillige formulier, veld voor veld.
Gebruikersberichten in vier talen
Berichten op grond van artikel 14, lid 8, aan getroffen gebruikers en aan alle gebruikers, in het Engels, Nederlands, Frans en Duits.
Oefenscript van 90 minuten
Een oefening met tijdmeting en bewijslogboek, afgeleid van onze eigen repetitie van deze procedure in augustus 2026, zodat uw eerste oefening uw eerste bewijsstuk wordt.
Bewijs- en productregister
Wat u moet bewaren, waar en hoe lang, en het productregister waaruit de vroegtijdige waarschuwing wordt ingevuld: versies, lidstaten van levering, ondersteuningsperiode.
Overlapmatrix
CRA artikel 14 naast NIS2 artikel 23, DORA artikel 19 en AVG artikel 33, zodat één gebeurtenis elke verschuldigde melding oplevert.
Disclosurebeleid en security.txt
Een sjabloon voor een beleid voor gecoördineerde openbaarmaking van kwetsbaarheden en een security.txt die de gangbare controles doorstaat, zodat een melder u kan bereiken en de klok correct start.
Twaalf vragen, twee minuten
Elke vraag noemt het artikel waaruit ze volgt. De score wordt op deze pagina berekend; er wordt niets verzonden tenzij u het schriftelijke resultaat aanvraagt.
De CRA 24-uurs meldingskit
Meldingskit
Alle negen hoofdstukken als één Word-document plus een bewerkbaar sjablonenbestand. Per e-mail geleverd binnen één werkdag na betaling. 12 maanden sjabloonupdates als de ENISA-richtsnoeren veranderen.
30 dagen garantie: laat de kit u niet achter met een volledige, ondertekenbare procedure, antwoord dan op uw ontvangstbewijs voor volledige terugbetaling.
Veilig afrekenen via Paddle, onze Merchant of Record (EU-btw wordt afgehandeld; $ 109 in USD-markten). De kit komt binnen één werkdag per e-mail.
De betaalpagina kon niet laden. Gebruik het bestelformulier hieronder.
Kit + live tafeloefening
De kit, plus een oefening van 90 minuten met uw team op een van uw echte producten, en een schriftelijk bevindingenrapport dat u als bewijs kunt archiveren.
Levend houden
De module Incidentmelding in het SkyQon-dashboard: de klokken van 24 en 72 uur per incident, de platformvelden vooraf ingevuld vanuit uw productregister, oefenverslagen in uw ondertekende bewijsketen, en een dagelijkse controle dat uw security.txt er nog staat. Inbegrepen in Enterprise en in het NIS2-bewijspakket.
Bestellen, of een vraag stellen
Wij bevestigen per e-mail binnen één werkdag en sturen een Paddle-factuur; de documenten volgen bij betaling. De EU-btw wordt afgehandeld door Paddle, onze Merchant of Record.
Geschreven door een praktijkmens, geoefend voordat het werd verkocht
SkyQon is een in de EU gevestigde PKI- en digitale-vertrouwenspraktijk die werkt aan NIS2-, DORA-, eIDAS- en CRA-bewijs voor organisaties in de Benelux. Deze procedure is eerst voor onze eigen producten geschreven en in augustus 2026 geoefend; de oefening vond zes praktische gebreken in een procedure waarvan de redenering standhield, en die bevindingen hebben elk hoofdstuk gevormd. Elk sjabloon noemt het artikel waaraan het voldoet. Gratis kits bestaan, en ENISA publiceert zijn eigen kmo-zelfbeoordeling; wat deze kit toevoegt is de repetitie, het Benelux-hoofdstuk, de berichten in vier talen en een dashboard dat de klok en het dossier levend houdt.