ENISA stroomlijnt EU-incidentenmeldingen

Met de ingang van de wettelijke meldplicht op 11 september 2026 moeten fabrikanten van hardware en software actief uitgebuitte kwetsbaarheden en beveiligingsincidenten verplicht rapporteren. Vanaf 11 december 2027 geldt deze verplichting ook voor zogeheten open-source software stewards. Via het SRP wordt het proces gestroomlijnd volgens het 'report once'-beginsel: organisaties leggen hun melding één keer vast, waarna het platform de informatie automatisch distribueert naar de bevoegde instanties binnen de Europese Unie.

Geautomatiseerde informatie-uitwisseling tussen CSIRT's

Wanneer een fabrikant een incident of lek indient via het SRP, ontvangt het aangewezen nationale Computer Security Incident Response Team (CSIRT) de melding. Vervolgens verspreidt de coördinerende CSIRT de relevante gegevens naar de CSIRT's in overige EU-lidstaten waar het betreffende product op de markt is gebracht. Gelijktijdig krijgt ook ENISA direct inzage in de melding.

Deze gecentraliseerde aanpak moet voorkomen dat bedrijven in elke afzonderlijke lidstaat handmatige procedures moeten doorlopen. Daarnaast stelt het Europese toezichthouders en nationale beveiligingsteams in staat om dreigingen sneller te analyseren, grensoverschrijdend te coördineren en gerichte tegenmaatregelen te nemen.

"Kwetsbaarheden in digitale producten worden regelmatig misbruikt door kwaadwillenden om kritieke diensten in de zorg, energie, transport of telecom te verstoren," licht ENISA-directeur Juhan Lepassaar toe. "Het gestroomlijnd delen van informatie over actieve dreigingen is essentieel om de digitale interne markt weerbaar te houden."

Voorbereiding op de hoofdeisen van 2027

Het lanceren van het SRP vormt een eerste mijlpaal in de gefaseerde invoering van de Cyber Resilience Act. De wetgeving stelt voor het eerst verplichte cybersecurity-eisen aan producten met een digitale component gedurende hun gehele levenscyclus. Terwijl de meldplicht per direct van kracht is, gaan de inhoudelijke beveiligingseisen voor producten definitief in op 11 december 2027.

ENISA blijft het platform de komende maanden op basis van gebruikerservaringen en operationele feedback verder uitbreiden. Om fabrikanten en softwareontwikkelaars te ondersteunen bij het naleven van de nieuwe verplichtingen, heeft het agentschap aanvullende handleidingen, tutorials en een specifieke helpdesk beschikbaar gesteld.