Deze vrijdag gaat de cybermeldplicht in: 24 uur om te melden

Er verandert deze week iets waar je waarschijnlijk geen mail over hebt gekregen. Vanaf vrijdag 11 september 2026 moeten makers van producten met digitale onderdelen actief misbruikte kwetsbaarheden en ernstige incidenten melden, en dat binnen 24 uur. Zit er software in wat jij maakt, importeert of onder je eigen naam verkoopt, dan gaat dit over jou.

Wat er vrijdag precies ingaat

De Cyber Resilience Act, in het Nederlands de Verordening cyberweerbaarheid, is eind 2024 in werking getreden en wordt gefaseerd ingevoerd. De meldplicht is het eerste stuk dat je in de praktijk merkt. Volgens het NCSC moet je vanaf 11 september 2026 een actief misbruikte kwetsbaarheid of een ernstig incident dat de beveiliging van je product raakt melden via het digitale meldloket.

Eerste waarschuwing binnen 24 uur, volledige melding binnen 72 uur.

De rest van de verordening komt later. Pas vanaf 11 december 2027 moeten producten met digitale elementen veilig ontworpen zijn en beveiligingsupdates krijgen. Toezicht en handhaving liggen in Nederland bij de Rijksinspectie Digitale Infrastructuur, die er een eigen gids over heeft gepubliceerd.

Denk niet te snel dat het niet over jou gaat

De meeste verplichtingen liggen bij de fabrikant, maar de verordening raakt ook importeurs en distributeurs. In de praktijk betekent dat: bouw je software of een app, dan ben je fabrikant. Zet je je eigen merknaam op een apparaat dat een ander maakt, dan ben je ook fabrikant. Haal je slimme apparatuur van buiten de EU en breng je die hier op de markt, dan ben je importeur en heb je eigen plichten. NLdigital wijst er terecht op dat veel bedrijven zichzelf niet als softwareleverancier zien terwijl ze dat formeel wel zijn.

De vraag is niet of je jezelf een technologiebedrijf vindt. De vraag is of er software in je product zit en wiens naam erop staat.

Verkoop je alleen diensten en heb je een website, dan verandert er vrijdag niets voor je. Bouw je machines met besturingssoftware, lever je een SaaS-oplossing, of verkoop je apparaten met een chip en een app, dan wel.

Let ook op wat er in je product zit maar niet van jou is. Bijna elke applicatie draait op componenten van derden, en een kwetsbaarheid daarin is toch jouw kwetsbaarheid zodra jouw naam op het product staat. Weet je niet welke bibliotheken en versies er in je software zitten, dan kun je een melding binnen 24 uur simpelweg niet onderbouwen. Die inventarisatie is het saaiste deel van de voorbereiding en tegelijk het deel dat je het meest oplevert, ook los van de verordening.

Wat je hier deze week concreet mee doet

• Zet op een A4 welke producten je maakt, importeert of onder eigen naam verkoopt, en of daar software in zit.
• Bepaal per product je rol: fabrikant, importeur of distributeur. Dat bepaalt wat je moet doen.
• Wijs aan wie binnen 24 uur een melding kan doen, en wie het overneemt als die persoon op vakantie is. Een meldplicht zonder naam erbij is geen afspraak.
• Vraag je softwareleveranciers schriftelijk hoe zij kwetsbaarheden aan jou doorgeven en binnen welke termijn.
• Zet de datum 11 december 2027 alvast in je planning, want security by design regel je niet in een middag.

En dan is het volgende week Prinsjesdag

Op dinsdag 15 september 2026 presenteert het kabinet het Belastingplan 2027. Dan pas worden de fiscale wijzigingen voor volgend jaar concreet, zoals je kunt volgen via Rijksoverheid. Wat nu al vaststaat voor dit jaar: de zelfstandigenaftrek is in 2026 nog 1.200 euro en de mkb-winstvrijstelling blijft 12,7 procent van de winst na ondernemersaftrek. Adviseurs verwachten dat de afbouw van de zelfstandigenaftrek in 2027 doorzet, maar dat is tot dinsdag een verwachting en geen wet.

Twee dingen in een week die allebei geld en tijd kosten, en die allebei ongemerkt voorbij kunnen gaan. Het verschil zit in de voorbereiding. De meldplicht kost je vandaag hooguit een uur: uitzoeken of je eronder valt, en zo ja, opschrijven wie er belt. Voor Prinsjesdag geldt het omgekeerde: wacht rustig af tot dinsdag en reken daarna door wat de plannen voor jouw winst en jouw aangifte betekenen, in plaats van nu al te schuiven op basis van berichten die nog kunnen veranderen. Handelen op een gerucht kost meestal meer dan een week geduld.