ENISA heeft op 11 september 2026 een centraal Europees meldpunt geopend voor de Cyber Resilience Act.
Het gaat om het Single Reporting Platform (SRP) op portal.cra-srp.enisa.europa.eu. ENISA heeft het platform ontwikkeld en beheert het ook, met een mandaat om het als gemeenschappelijk elektronisch meldmechanisme voor de CRA te laten werken. Fabrikanten van producten met digitale elementen melden er actief misbruikte kwetsbaarheden en ernstige incidenten die de beveiliging van die producten raken. Op diezelfde datum werd die meldplicht voor fabrikanten van toepassing.
De Cyber Resilience Act, Verordening (EU) 2024/2847, is het horizontale Europese kader met verplichte cybersecurityeisen voor producten met digitale elementen, over de hele levenscyclus. Met 1 melding gaat de relevante informatie naar alle aangewezen instanties. Volgens ENISA worden kwetsbaarheden in digitale producten vaak misbruikt om kritieke diensten zoals gezondheidszorg, energie, transport en telecommunicatie te ondermijnen.
De route van een melding loopt via het CSIRT dat als coördinator is aangewezen. Dat CSIRT ontvangt de melding als eerste en verspreidt de informatie naar de relevante CSIRT's in de andere lidstaten waar het betrokken product ook op de markt is, terwijl ENISA de melding tegelijk binnenkrijgt. Een fabrikant hoeft daardoor niet per lidstaat apart te melden. De Europese CSIRT's gaan hetzelfde platform gebruiken om meldingen te ontvangen en door te zetten.
ENISA noemt het platform een initiële operationele capaciteit en gaat de functionaliteit de komende maanden uitbreiden op basis van operationele ervaring en de behoeften van gebruikers. Bij de ontwikkeling en het testen waren onder meer nationale CSIRT's, de CRA Expert Group, een selectie van fabrikanten en andere gebruikers betrokken. Het platform bevat beveiligingsmaatregelen om de vertrouwelijkheid van ingediende informatie te beschermen.
Ter ondersteuning heeft ENISA een FAQ, gebruikershandleidingen, instructievideo's, een SRP-woordenlijst en een factsheet in verschillende EU-talen gepubliceerd, aangevuld met een helpdesk voor vragen die de documentatie niet beantwoordt. De Europese Commissie geeft aanvullende uitleg over de meldplicht op een eigen webpagina over de CRA-meldverplichtingen, in sectie 9.1 van de richtsnoeren over de toepassing van de CRA en in sectie 5 van de FAQ over de implementatie.
De volgende CRA-datum staat op 11 december 2027. Dan gaan de belangrijkste cybersecurityvereisten van de verordening gelden en begint ook de meldplicht voor beheerders van open-sourcesoftware, voor zover zij betrokken zijn bij de ontwikkeling van producten met digitale elementen. Dat is geregeld in artikel 24, lid 3.