Gemeenschappelijk meldplatform

Het gemeenschappelijke meldplatform (Single Reporting Platform, SRP) is het webportaal waarlangs fabrikanten de meldingen versturen die de Cyber Resilience Act (CRA) vereist: actief uitgebuite kwetsbaarheden en ernstige incidenten die hun producten treffen. ENISA, het Agentschap van de Europese Unie voor cyberbeveiliging, beheert het op grond van artikel 16 van Verordening (EU) 2024/2847. Het ging op 11 september 2026 live, de dag waarop de meldplichten van de CRA begonnen te gelden.

Wat er wordt gemeld, en wanneer

Fabrikanten melden twee soorten gebeurtenissen: een actief uitgebuite kwetsbaarheid in een product met digitale elementen, en een ernstig incident dat de beveiliging van zo'n product raakt. Beide begrippen zijn in de verordening gedefinieerd. Elk verloopt in drie stappen:

Stap	Termijn	Geldt voor
Vroegtijdige waarschuwing	Binnen 24 uur na kennisname	Beide
Melding	Binnen 72 uur na kennisname	Beide
Eindrapport	Binnen 14 dagen nadat een fix of mitigatie beschikbaar is	Actief uitgebuite kwetsbaarheden
Eindrapport	Binnen een maand na de melding	Ernstige incidenten

De termijnen staan in artikel 14 van de CRA, niet in het portaal, en de SRP-FAQ van ENISA herhaalt ze. De plicht geldt ook voor producten die al op de markt zijn, niet alleen voor producten die na de volledige toepassing van de CRA in de handel worden gebracht. Artikel 14 verplicht fabrikanten bovendien de getroffen gebruikers te informeren, en dat doen ze zelf: het platform bereikt autoriteiten, geen klanten.

Wie een melding ontvangt

Een fabrikant dient elke melding één keer in. Die gaat tegelijk naar het CSIRT dat als coördinator is aangewezen in de lidstaat van de hoofdvestiging van de fabrikant en naar ENISA, behalve in bijzonder uitzonderlijke omstandigheden. De coördinator stuurt haar door naar de CSIRT's van de andere lidstaten waar het product verkrijgbaar is. ENISA vermeldt de aangewezen coördinatoren op haar SRP-pagina.

Zodra een gemelde kwetsbaarheid is opgelost, kan ENISA haar in overleg met de fabrikant bekendmaken in de Europese kwetsbaarhedendatabase (EUVD). Hoe de EUVD zich verhoudt tot CVE-ID's, staat bij CVE.

Hoe toegang werkt

Fabrikanten handelen op het platform via Assigned Representatives (AR's). Elke AR meldt zich aan met een persoonlijk EU Login-account met meervoudige authenticatie. Een fabrikant heeft één Primary AR, die tot 20 Secondary AR's kan uitnodigen, en zij kunnen de meldingen van de fabrikant indienen en bijwerken. Een fabrikant met meerdere groepsbedrijven stemt intern af wie voor welke entiteit meldt.

Wat het platform nog niet doet

Per november 2026, volgens de SRP-FAQ:

• Geen API. Bij de eerste release is er geen programmeerinterface, dus meldingen worden via de webinterface ingevoerd. ENISA schrijft dat een API in een latere fase kan worden overwogen en dat organisaties hun eigen interne meldprocessen kunnen automatiseren.
• Nog geen vrijwillige meldingen. Vrijwillige meldingen op grond van artikel 15, bijvoorbeeld van een kwetsbaarheid die niet actief wordt uitgebuit, staan gepland voor een latere fase. Voorlopig accepteert het platform alleen de verplichte meldingen.

ENISA noemt de lanceringsversie haar initiële operationele capaciteit en is van plan die uit te breiden. Volgens de lanceringsaankondiging gelden de meldplichten van beheerders van opensourcesoftware (open-source software stewards) vanaf 11 december 2027.

Klaar zijn om te melden

De 24 uur beginnen te lopen wanneer u van het misbruik op de hoogte raakt, dus het meeste werk gebeurt voordat iemand inlogt:

• Registreer uw Assigned Representatives voordat u ze nodig hebt, met een vervanger in een andere tijdzone.
• Spreek vooraf af wie beslist dat een kwetsbaarheid als actief uitgebuit geldt, en hoe snel.
• Houd per versie een overzicht bij van de componenten in elk product, zodat u de getroffen producten en versies binnen enkele uren kunt noemen. Zie build-time SBOM's en zijn we getroffen door een CVE?.
• Bereid de mededeling aan getroffen gebruikers voor, want het platform verstuurt die niet.
• Bewaar de ingediende tekst en de tijdstempels in uw eigen administratie.

CRACI bereidt de inhoud van de CRA-meldingen voor (vroegtijdige waarschuwing, melding en eindrapport); een persoon bij de fabrikant dient ze in via het gemeenschappelijke meldplatform.

Voor de verordening als geheel, zie wat is de CRA, de CRA-gids en het glossariumitem CRA. Hoe een productbeveiligingsteam dit dagelijks aanpakt, staat bij PSIRT.