Hoe u een CRA-melding indient op het centrale meldplatform van ENISA, uit de eigen handleiding

Artikel 14(7) van de Cyber Resilience Act, Verordening (EU) 2024/2847, zegt dat de meldingen van een fabrikant over een actief uitgebuite kwetsbaarheid of een ernstig incident "worden ingediend via het in artikel 16 bedoelde centrale meldplatform". Niet per e-mail aan een CSIRT, niet via een nationaal portaal: via het platform. ENISA opende het op 11 september 2026, de dag waarop de plicht inging, op portal.cra-srp.enisa.europa.eu, en publiceerde daarnaast een gebruikershandleiding, een woordenlijst van elk veld, een reeks handleidingspagina's en 31 antwoorden op veelgestelde vragen.

Dit artikel is die documenten van begin tot eind gelezen, voor een fabrikant die het platform nog nooit heeft gezien en het in uur één van een incident zal tegenkomen. Alles hieronder komt uit ENISA's eigen pagina's zoals die er op 12 september 2026 uitzagen, of uit de verordening. Waar het platform iets doet wat de verordening niet doet, staat dat erbij.

Wat het platform is, en wat het nog niet is

ENISA's platform is het platform dat artikel 16(1) haar opdroeg te bouwen: "er wordt door ENISA een centraal meldplatform opgezet. De dagelijkse werking van dat centrale meldplatform wordt door ENISA beheerd en onderhouden." De bedoeling is dat u eenmaal indient. De melding wordt beschikbaar gesteld aan ENISA en aan het door u gekozen als coördinator aangewezen CSIRT, en dat CSIRT verspreidt haar verder naar de coördinatoren van de andere lidstaten waarvan u hebt opgegeven dat het product er beschikbaar is, en naar zijn markttoezichtautoriteit. Verspreiden is hun werk, niet het uwe.

Vier grenzen bij de start, elk vermeld in ENISA's FAQ:

• Het neemt alleen verplichte meldingen onder artikel 14 aan. Vrijwillige melding onder artikel 15, door fabrikanten of wie dan ook, is bij de start niet beschikbaar. De plichten van beheerders van opensourcesoftware onder artikel 24(3) gelden vanaf 11 december 2027, en het platform neemt die dan aan.
• Het is alleen in het Engels. Meer talen worden in een latere fase bekeken; het factsheet wordt vertaald, het platform niet.
• Er is geen API. In ENISA's woorden: er wordt bij de eerste release geen programmeerinterface geleverd, dus meldingen moeten via de interface van het platform worden ingediend. Een fabrikant met veel producten dient elk met de hand in.
• Eén melding per kwetsbaarheid of incident, voor de hele groep. Hoeveel EU-dochters een fabrikant ook heeft en waar de moedermaatschappij ook zit, de FAQ zegt dat één melding vereist is en dat intern afstemmen zodat er precies één wordt ingediend de verantwoordelijkheid van de fabrikant is.

Wie inlogt: de aangewezen vertegenwoordigers

Het platform kent geen bedrijven. Het kent personen, aangewezen vertegenwoordigers genoemd, die voor een fabrikant optreden. Elk van hen heeft een persoonlijk EU Login-account nodig met multifactorauthenticatie ingeschakeld; de FAQ zegt dat het account vooraf kan worden aangemaakt, dat er geen bedrijfsauthenticatiemechanisme wordt gebruikt, en dat, omdat EU Login-accounts persoonlijk zijn, wie meldt het eigen account gebruikt.

Er zijn twee rollen. De Primary AR registreert zich rechtstreeks: het platform openen, de rol kiezen, het als coördinator aangewezen CSIRT uit een keuzemenu kiezen, inloggen via EU Login, de juridische overeenkomst aanvaarden, de door EU Login geleverde naam en e-mail bevestigen, en de naam van de fabrikant invoeren. Daarmee wordt de fabrikant in het platform aangemaakt en wordt de koppeling tussen persoon en fabrikant ter validatie aan de coördinator voorgelegd. Er is één Primary AR per fabrikant. Een Secondary AR komt erbij via een e-mailuitnodiging van een Primary AR wiens koppeling al is gevalideerd en als Verified wordt getoond; de uitnodigingslink verloopt na 7 dagen. Per fabrikant kunnen er tot 20 Secondary AR's zijn. Een Secondary AR kan meldingen indienen en bijwerken, maar ziet alleen de meldingen die hij zelf heeft ingediend; de Primary AR ziet alles wat voor de fabrikant is ingediend, beheert de koppeling en nodigt de anderen uit of verwijdert ze. Een Secondary AR kan de Primary-rol opeisen, onder voorbehoud van goedkeuring door de coördinator.

Twee dingen over validatie tellen in uur één. Ten eerste blokkeert zij u niet: de coördinator valideert de koppeling na de registratie en parallel aan het melden, en een niet-geverifieerde vertegenwoordiger kan tot 20 meldingen indienen voordat verificatie verplicht wordt. Ten tweede vraagt ENISA u het niet vroeg te doen. De handleiding zegt dat fabrikanten "wordt aangeraden zich pas te registreren en het validatieproces pas te starten wanneer zij een specifieke melding moeten indienen, in plaats van zich preventief te registreren", om de validatielast van de coördinatoren laag te houden, en voegt toe dat met een bestaand EU Login de registratie enkele minuten duurt. De voorbereiding is dus het EU Login met MFA, voor de melder en een plaatsvervanger; de registratie is een taak voor de dag zelf.

De gebruiksvoorwaarden, versie 1.0 van 10 september 2026, voegen het deel toe dat uw juridische afdeling wil zien: door zich te registreren of in te dienen "verklaren en garanderen" gebruikers "dat zij de aangewezen vertegenwoordiger(s) van hun organisatie zijn en bevoegd zijn namens haar op te treden", en de coördinator mag dat verifiëren. Leg de machtiging schriftelijk vast vóór de dag waarop zij nodig is.

Welke coördinator u kiest

Het keuzemenu bij de registratie, en het veld in elke melding, is het als coördinator aangewezen CSIRT van de lidstaat waar de fabrikant zijn hoofdvestiging in de Unie heeft, die artikel 14(7) definieert als de staat "waar de beslissingen in verband met de cyberbeveiliging van zijn producten met digitale elementen overwegend worden genomen", of, als dat niet kan worden bepaald, de staat met de meeste werknemers; en zonder hoofdvestiging in de Unie de staat van de gemachtigde, dan die van de importeur, de distributeur, en de staat met de meeste gebruikers. ENISA's FAQ herhaalt de hele cascade en voegt een gevolg toe dat de verordening niet uitspreekt: "als de verkeerde CDaC wordt gekozen, kan de melding ongeldig worden verklaard en moet zij opnieuw bij de juiste CDaC worden ingediend". Een rode waarschuwing op het dashboard is hoe u dat te weten komt.

ENISA publiceerde de lijst van coördinatoren op 10 september 2026, en in twee staten is het niet het nationale CSIRT. De lijst, en de twee uitzonderingen, staan in een apart artikel; de tabel staat ook op de pagina met meldtermijnen.

De drie indieningen, en wat elk vraagt

Artikel 14 vereist drie indieningen: een vroegtijdige waarschuwing binnen 24 uur na kennisname, een melding binnen 72 uur, en een eindverslag. Op het platform zijn het drie tabbladen van één meldingsrecord. U opent een nieuwe melding voor de vroegtijdige waarschuwing, keert dan terug naar hetzelfde record voor de 72-uursmelding en nogmaals voor het eindverslag; elke latere fase is vooraf ingevuld met wat u eerder invoerde, en de woordenlijst markeert elk veld als vereist, optioneel of overgenomen uit de vorige fase. De tabel hieronder is de vereistenkolom van de woordenlijst, per fase. Velden die maar voor één type gelden, zijn gemarkeerd met AEV voor een actief uitgebuite kwetsbaarheid en SI voor een ernstig incident.

Dat is de eigen structuur van de verordening met veldgrenzen erop getekend. Artikel 14(2)(a) vraagt de vroegtijdige waarschuwing "in voorkomend geval de lidstaten aan te geven op het grondgebied waarvan de fabrikant weet dat zijn product met digitale elementen op de markt is aangeboden"; dat is het lidstatenveld, vereist vanaf de eerste minuut. Artikel 14(2)(b) vraagt de 72-uursmelding om algemene informatie over het product, de algemene aard van de exploit en de kwetsbaarheid, de genomen corrigerende of mitigerende maatregelen en die welke gebruikers kunnen nemen, en hoe gevoelig de fabrikant de informatie acht; dat zijn de velden die in de tweede fase van optioneel naar vereist gaan. Artikel 14(2)(c) vraagt het eindverslag om de ernst en impact, de actor waar beschikbaar, en de beveiligingsupdate of corrigerende maatregel; de derde kolom.

Twee praktische beperkingen uit de woordenlijst: een titel biedt plaats aan 255 tekens en een samenvatting aan 4.000, en elke tijdstempel wordt in UTC ingevoerd. De woordenlijst vraagt ook geen vertrouwelijke technische details in de titel te zetten, en als het tijdstip van kennisname een schatting is, dat in de beschrijving te zeggen. Eén voetnoot is de moeite waard voordat u zoekt naar een veld dat er niet is: voor een kwetsbaarheid markeert de woordenlijst de datum van kennisname als vereist en zegt dan dat het veld "beschikbaar zal zijn in de volgende release van het platform"; voor een incident bestaat het vandaag onder de naam "datum en tijd waarop het incident werd gedetecteerd".

De teller die het platform, naar eigen zeggen, verkeerd berekent

Het dashboard toont tellers voor de 72-uursmelding en het eindverslag, met herinneringsmails en achterstandswaarschuwingen die daardoor worden aangestuurd. FAQ 26 zegt hoe ze worden berekend, en dat is twee keer lezen waard. De 72-uursteller "toont een vervaldatum/tijd 48 uur na indiening van de 24-uurs vroegtijdige waarschuwing", niet 72 uur na kennisname. Als u de vroegtijdige waarschuwing in uur vier hebt ingediend, toont het platform de melding als verschuldigd in uur 52, en "in sommige gevallen kan een melding als achterstallig worden getoond voordat 72 uur zijn verstreken sinds de fabrikant of beheerder van opensourcesoftware kennis kreeg van de gebeurtenis". ENISA zegt dat de logica in een toekomstige release wordt aangepast om het kennisnameveld te gebruiken. Tot dan is de klok van het platform niet de klok van de verordening, en de FAQ zegt dat de tellers "de verantwoordelijkheid van fabrikanten niet vervangen" om de eigen termijnen van artikel 14 te halen.

Voor het eindverslag zijn er twee tellers en ontbreekt er één met opzet. Voor een ernstig incident telt het platform één maand vanaf de indiening van de 72-uursmelding, wat artikel 14(4)(c) is. Voor een actief uitgebuite kwetsbaarheid is er geen teller, omdat artikel 14(2)(c) 14 dagen loopt vanaf het beschikbaar komen van een corrigerende of mitigerende maatregel, en het platform die datum niet kan kennen voordat u haar invoert. Dat is hetzelfde onderscheid dat de meeste stukken over de CRA-termijnen missen, en de reden waarom de rekentool op onze pagina met termijnen apart om de fixdatum vraagt.

Nadat u op indienen hebt gedrukt

Een opgeslagen concept blijft alleen voor u zichtbaar. Het indienen van de vroegtijdige waarschuwing slaat haar op, maakt haar toegankelijk voor de coördinator en ENISA, en stuurt een e-mail en een waarschuwing naar de coördinator, naar ENISA en naar elke vertegenwoordiger van de fabrikant. De coördinatoren van de andere lidstaten die u hebt genoemd, ontvangen niets automatisch: ENISA's handleiding zegt dat betrokken CSIRT's "de vroegtijdige waarschuwing pas ontvangen na handmatige verspreiding door het als coördinator aangewezen CSIRT". Hetzelfde geldt voor de 72-uursmelding en het eindverslag.

U kunt een melding in elke fase bijwerken totdat het eindverslag is ingediend; daarna maakt het platform haar onbewerkbaar, en een melding die de coördinator heeft gesloten kan evenmin worden bijgewerkt. Een update waarschuwt de coördinator, ENISA en elk CSIRT dat de melding al heeft ontvangen. Waarschuwingen op het dashboard zijn blauw zolang ze ongelezen zijn; rode "verschijnen alleen wanneer een uitzonderlijke of kritieke actie heeft plaatsgevonden", met als voorbeeld van ENISA dat de coördinator een indiening ongeldig heeft verklaard.

Vragen om uitgestelde verspreiding

Artikel 16(2) zegt dat de coördinator "de melding onverwijld verspreidt" naar de coördinatoren van de lidstaten waar het product beschikbaar is, en maakt dan twee uitzonderingen. In uitzonderlijke omstandigheden, "met name op verzoek van de fabrikant en in het licht van de door de fabrikant aangegeven gevoeligheid van de gemelde informatie", mag de coördinator de verspreiding op gerechtvaardigde cyberbeveiligingsgronden uitstellen voor de strikt noodzakelijke periode. En in "bijzonder uitzonderlijke omstandigheden", wanneer de fabrikant in de 72-uursmelding een van drie dingen aangeeft, gaan alleen het feit van de melding, de algemene informatie over het product, de algemene aard van de exploit en het feit dat gronden zijn aangevoerd naar ENISA, totdat de volledige melding is verspreid. De drie, letterlijk:

(a) dat de gemelde kwetsbaarheid actief is uitgebuit door een kwaadwillige actor en, volgens de beschikbare informatie, in geen andere lidstaat is uitgebuit dan die van het als coördinator aangewezen CSIRT waaraan de fabrikant de kwetsbaarheid heeft gemeld; (b) dat onmiddellijke verdere verspreiding van de gemelde kwetsbaarheid waarschijnlijk zou leiden tot het verstrekken van informatie waarvan de openbaarmaking in strijd zou zijn met de wezenlijke belangen van die lidstaat; of (c) dat de gemelde kwetsbaarheid een dreigend hoog cyberbeveiligingsrisico inhoudt dat voortvloeit uit de verdere verspreiding;

Op het platform is dit een schakelaar, en die is op precies één plaats beschikbaar: de 72-uursmelding van een actief uitgebuite kwetsbaarheid. Inschakelen toont een "PEC delay reason" met de drie gronden als selectievakjes en een optionele motivering van 800 tekens "die het als coördinator aangewezen CSIRT kan helpen beslissen". De verspreidingsstatus wordt "72h Submitted under PEC", ENISA ontvangt alleen de beperkte informatie, en de beslissing of en wanneer wordt verspreid is aan de coördinator, niet aan de fabrikant. Een schakelaar is een verzoek.

Wat de coördinator met dat verzoek mag doen, staat nu in Gedelegeerde Verordening (EU) 2026/881 van de Commissie van 11 december 2025, gepubliceerd in het Publicatieblad op 20 april 2026. Artikel 3 laat de coördinator de verspreiding alleen uitstellen wanneer de cyberbeveiligingsrisico's van verspreiding zwaarder wegen dan de voordelen, die risico's niet met beperkingen zoals het Traffic Light Protocol te beheersen zijn, en een van vier voorwaarden geldt: de fabrikant heeft gezegd dat binnen 72 uur een doeltreffende mitigatie wordt verwacht, in welk geval het uitstel eindigt als die uitblijft; de melding bevat genoeg om een exploit te bouwen, "met name wanneer de kwetsbaarheid gemakkelijk kan worden gevonden en uitgebuit door actoren met beperkte vaardigheden en middelen"; de coördinator kan genoeg delen om de andere CSIRT's te laten mitigeren zonder de volledige melding; of de coördinator vernam van de kwetsbaarheid als vertrouwde tussenpersoon in een gecoördineerde openbaarmaking. In het tweede en derde geval gaat de volledige melding uit zodra een mitigatie beschikbaar is. De artikelen 4 en 5 voegen gronden toe die over de ontvangers gaan, niet over de fabrikant: een CSIRT, of het platform zelf, dat een incident heeft gehad dat twijfel wekt over zijn vermogen de melding vertrouwelijk te houden.

De eerlijke beschrijving van de schakelaar is dus deze: als er binnen drie dagen een patch komt, of als de details een laaggeschoolde aanvaller een werkende exploit zouden geven, zeg dat, vink de passende grond aan, en geef de coördinator de feiten in de 800 tekens. Plan daarna alsof de verspreiding toch plaatsvindt.

Als het platform niet beschikbaar is

FAQ 25: als het platform tijdelijk niet beschikbaar is, wacht u tot het terug is en dient u dan in. Als u intussen onmiddellijke communicatie nodig acht, mag u uw coördinator rechtstreeks benaderen, maar "de melding moet alsnog via de SRP worden ingediend zodra die weer beschikbaar is". Sommige coördinatoren hebben een terugvaloptie gepubliceerd: het Ierse NCSC geeft een nood-e-mailadres voor het geval ENISA het platform offline heeft verklaard, en zegt dat inzendingen daarnaartoe alleen dan worden aanvaard. Artikel 17(6) verplicht elke coördinator helpdeskondersteuning over artikel 14 te bieden, "met name" aan fabrikanten die micro-, kleine of middelgrote ondernemingen zijn; ENISA's eigen helpdesk is per e-mail bereikbaar vanaf de FAQ-pagina.

Vijf dingen die de FAQ beslecht

1. Geen melding met terugwerkende kracht. Een fabrikant die al vóór 11 september 2026 op de hoogte was van de actieve uitbuiting hoeft die nu niet te melden; kennisname na die datum activeert de plicht, ook als de kwetsbaarheid zelf oud of bekend was.
2. Producten die al op de markt zijn, vallen eronder. Artikel 14 geldt vanaf 11 september 2026 voor elk product met digitale elementen binnen het toepassingsgebied van de verordening, met inbegrip van producten die vóór 11 december 2027 in de handel zijn gebracht.
3. Componenten van derden. Voor een kwetsbaarheid in een component die u integreert, verwijst ENISA naar paragraaf 5.4 van de implementatie-FAQ van de Commissie en naar punt 218 van de richtsnoeren van de Commissie van 27 juli 2026, in plaats van in eigen woorden te antwoorden. Lees die voordat u besluit dat u niet degene bent die moet melden.
4. De melding verhoogt uw aansprakelijkheid niet. Artikel 17(4): "het loutere feit van de melding ... leidt niet tot een verhoogde aansprakelijkheid van de meldende natuurlijke of rechtspersoon".
5. Na de fix wordt de kwetsbaarheid openbaar. Artikel 17(5): zodra een beveiligingsupdate of een andere corrigerende maatregel beschikbaar is, voegt ENISA de gemelde kwetsbaarheid in overleg met de fabrikant toe aan de Europese kwetsbaarhedendatabank.

Wat u voorbereidt voordat u iets hiervan nodig hebt

• EU Login-accounts met multifactorauthenticatie voor de persoon die meldt en een plaatsvervanger, vandaag aangemaakt, en een schriftelijke machtiging voor beiden.
• Uw lidstaat en coördinator, bepaald onder artikel 14(7) en opgenomen in de incidentprocedure, zodat niemand in uur één tussen keuzemenu-opties kiest.
• Een productinventaris met de exacte versie-, build-, model- of firmware-identificaties waar het versieveld om vraagt, en een lijst van de lidstaten waar elk product op de markt wordt aangeboden, omdat dat veld in de vroegtijdige waarschuwing vereist is.
• Een afspraak over "kennis krijgen", en een regel dat de tijdstempel in UTC wordt vastgelegd op het moment dat hij wordt bepaald.
• Een concept van één pagina met de velden van de vroegtijdige waarschuwing in een document waaruit u kunt plakken: titel onder 255 tekens, samenvatting onder 4.000, de twee datums, de lidstaten.
• Een naam van wie binnen de eerste 72 uur beslist of het vakje voor uitzonderlijke omstandigheden wordt aangevinkt, en op grond van welke feiten.

Het platform doet niets hiervan voor u, en dit artikel ook niet. Wat het kan doen, is van uur één een kwestie van typen maken in plaats van lezen.

Bronnen

• ENISA, pagina's van de Single Reporting Platform: de hoofdpagina, de FAQ (bijgewerkt op 11 september 2026), de handleidingspagina's over gebruikersregistratie, indiening en bijwerking van meldingen, interfacefuncties en bijzonder uitzonderlijke omstandigheden (bijgewerkt op 9 en 10 september 2026), de SRP-woordenlijst, de AR User Manual, en de gebruiksvoorwaarden v1.0 van 10 september 2026, alle gelezen op 12 september 2026.
• ENISA, List of CSIRTs Designated as Coordinators, laatst bijgewerkt op 10 september 2026.
• Verordening (EU) 2024/2847, artikelen 14, 16 en 17, en artikel 71(2).
• Gedelegeerde Verordening (EU) 2026/881 van de Commissie van 11 december 2025, artikelen 3 tot 5, PB L van 20 april 2026.
• Europese Commissie, richtsnoeren C(2026) 5252 van 27 juli 2026, en de FAQ over de uitvoering van de CRA, deel 5.
• NCSC Ierland, pagina over de meldplichten van de Cyber Resilience Act, bijgewerkt op 11 september 2026.

Dit is geen juridisch advies. De woordenlijst is een tabel van 39 velden en de FAQ telt 31 vragen; beide zijn kort genoeg om te lezen voordat u ze nodig hebt.