Je liet software bouwen, dus vanaf 11 september ben jij de fabrikant die moet melden

De app die je twee jaar geleden liet bouwen valt vanaf 11 september 2026 onder een Europese meldplicht van 24 uur. Niet het bureau dat hem schreef. Jij.

Dat is geen spitsvondigheid over aansprakelijkheid, maar de letterlijke werking van de Cyber Resilience Act. De rest van die verordening gaat pas op 11 december 2027 gelden, en dan voor producten die vanaf dat moment op de markt komen of daarna ingrijpend worden gewijzigd. Artikel 14, de meldplicht, is uitdrukkelijk uitgezonderd van die overgang: die geldt vanaf volgende maand en ook voor producten met digitale elementen die vóór 11 december 2027 in de handel zijn gebracht. Alles wat al bij je klanten draait telt dus mee. Er is geen aanloopperiode voor wat je vorig jaar liet opleveren.

Mijn stelling is simpel en een beetje ongemakkelijk: wie software onder eigen naam op de markt zet is onder de CRA de fabrikant, ook als iemand anders elke regel code schreef, en die plicht koop je niet af met een zin in de offerte.

Fabrikant gaat niet over wie typt, maar over wiens naam erop staat

Fabrikant betekent in de Cyber Resilience Act iets anders dan in het dagelijks spraakgebruik. Het is niet de partij die bouwt, maar de partij die het product onder eigen naam of merk op de markt brengt. Het NCSC vat de definitie samen als: een fabrikant ontwikkelt of vervaardigt producten, of laat producten ontwerpen, ontwikkelen of vervaardigen en brengt deze onder (merk)naam in de handel. Die twee woorden "of laat" doen al het werk.

Er zit geen ontsnapping in de omvang van je bedrijf, en ook niet in de vraag hoe centraal software eigenlijk voor je is. Branchevereniging NLdigital zegt het onomwonden: de wet maakt geen uitzondering op basis van organisatieomvang of het feit dat software- of hardwareontwikkeling een nevenactiviteit is. Dezelfde logica loopt door de rest van de keten: ook een distributeur die andermans product onder eigen label aanbiedt, wordt daarmee fabrikant in de zin van de verordening.

Dus: de groothandel met een bestel-app in de App Store. De machinebouwer die firmware meelevert. De kliniek met een patiëntenapp onder eigen naam. De franchiseorganisatie met een spaarapp. De dienstverlener die zijn koppeling als installeerbare plug-in bij klanten neerzet. In geen van die gevallen zit er een programmeur in dienst. In alle gevallen staat er één naam op het product.

Hoe groot die groep is, heeft het kabinet zelf uitgerekend. In de memorie van toelichting bij de Nederlandse uitvoeringswet staat, op basis van CBS-cijfers, dat in Nederland naar schatting 52.000 fabrikanten en 12.000 importeurs en distributeurs aan de regels van de CRA moeten voldoen. Vraag aan die 52.000 ondernemers wie zichzelf fabrikant noemt en je houdt een fractie over.

De klok loopt, en hij loopt bij jou

Melden hoeft niet bij elke bug. De plicht gaat af bij een actief uitgebuite kwetsbaarheid, en de verordening definieert dat strak: er moet betrouwbaar bewijs zijn dat iemand de kwetsbaarheid zonder toestemming van de systeemeigenaar heeft misbruikt. Hetzelfde geldt bij een ernstig incident dat de beveiliging van het product raakt. Dat is een hogere drempel dan een melding in je inbox.

Wordt die drempel gehaald, dan staat er een stopwatch aan. Binnen 24 uur een vroegtijdige waarschuwing, binnen 72 uur de inhoudelijke melding, en uiterlijk 14 dagen na een oplossing het eindverslag. Een strakkere versie van die klok leg je een softwareleverancier contractueel op, met vier uur bij bekend of vermoed misbruik, alleen sta je nu zelf aan de andere kant van die tabel. De melding gaat gelijktijdig naar het als coördinator aangewezen CSIRT, in Nederland het meldloket van het NCSC, en naar ENISA. De Europese Commissie schrijft dat het gezamenlijke meldplatform op 11 september 2026 operationeel is en dat de functionele tests en beveiligingstests lopen.

Achter die meldingen zit een verplichting die in de meeste samenvattingen sneuvelt: je moet ook je getroffen gebruikers informeren over de kwetsbaarheid en over de maatregelen die zij zelf kunnen nemen. Blijf je daarmee te lang stil, dan mag het CSIRT die informatie zelf aan jouw gebruikers geven. Dat is geen boete. Het is het scenario waarin je klanten het van iemand anders horen.

Stel je die vrijdag om vijf uur voor. Een onderzoeker mailt dat jouw app gegevens lekt en dat hij sporen ziet van misbruik. Wie beoordeelt of dit telt als actief uitgebuit? Wie schrijft de eerste melding? Wie heeft een account bij het meldloket? Is het antwoord drie keer "dat vraag ik even aan de bouwer", dan ben je zaterdagochtend te laat.

Geen enkel bouwcontract regelt dit

Kijk in je opdrachtbevestiging. Daar staat wat de software moet kunnen, wanneer hij klaar is, wat hij kost, en met wat geluk een SLA met reactietijden tijdens kantooruren. Wat er niet staat: wie erop let of er misbruik gaande is, wie beslist of de drempel gehaald is, wie de melding binnen 24 uur opstelt, wie de gebruikers informeert, en hoe lang dat allemaal doorloopt.

Die laatste vraag is duurder dan hij lijkt. Onder de CRA bepaal je zelf een ondersteuningsperiode, maar die weerspiegelt de verwachte levensduur van het product en duurt minimaal vijf jaar. Vijf jaar kwetsbaarhedenbeheer op een app waarvoor je een vaste prijs betaalde en waarvan het onderhoudscontract na twaalf maanden afliep.

Bij maatwerk laat de verordening precies één afspraak los: fabrikant en zakelijke gebruiker mogen vastleggen dat beveiligingsupdates voor een op maat gemaakt product niet gratis zijn. Wie meldt, staat niet in dat rijtje. Je kunt dus onderhandelen over wie betaalt, niet over wie verantwoordelijk is. En de bedragen erachter zijn niet symbolisch: op het niet naleven van de artikelen 13 en 14 staan boetes tot 15 miljoen euro of 2,5 procent van de wereldwijde jaaromzet, en die landen bij de fabrikant.

Dan de vraag die niemand in een bouwcontract zet: wie meldt er als het bureau er niet meer is? Onder de CRA verhuist die plicht niet mee. Die blijft bij jou zolang jouw naam op het product staat, ook als de partij die de code kent is opgeheven, overgenomen of gewoon onbereikbaar. Dat maakt broncode en documentatie in escrow van een nette wens ineens een randvoorwaarde om je eigen wettelijke plicht te kunnen uitvoeren. Het is dezelfde beweging als bij de vernieuwde productaansprakelijkheid, waarin software en AI-systemen uitdrukkelijk als producten worden behandeld en dat vanaf 9 december 2026 in het Burgerlijk Wetboek staat: het recht haalt de software-uitzondering weg.

Verwar dit niet met de Cyberbeveiligingswet. Daar is de eis die je bereikt via het contract van je grote klant, ook als je zelf buiten de scope valt. Andere wet, andere plichtige partij. Onder de CRA komt er geen vragenlijst langs. Je bent het gewoon, of je het weet of niet.

Om eerlijk te zijn: de grens ligt niet overal waar ik hem trek

Het sterkste tegenargument is niet dat de definitie onduidelijk is, maar dat veel MKB-software er helemaal niet onder valt. De CRA gaat over producten met digitale elementen. Zuivere clouddiensten vallen erbuiten: de verordening rekent software as a service tot het domein van de NIS2-richtlijn, en clouddiensten die buiten de verantwoordelijkheid van een productfabrikant zijn ontwikkeld, zijn expliciet uitgezonderd. Liet je een klantportaal bouwen dat jij host en dat niemand installeert, dan is er goede grond om te zeggen dat je geen fabrikant bent.

Daar komt bij dat er op 12 september niemand op de stoep staat. De Nederlandse uitvoeringswet die de RDI aanwijst als markttoezichthouder en haar de boetebevoegdheid geeft, is op 18 december 2025 ingediend en ligt nog bij de Tweede Kamer. En micro-ondernemingen en kleine ondernemingen zijn uitgezonderd van de boete voor het missen van precies die vroegtijdige waarschuwing binnen 24 uur.

Alle drie waar. Alle drie veranderen ze de conclusie niet.

De grens ligt namelijk dichterbij dan het lijkt. Zodra er iets bij iemand anders geïnstalleerd wordt ben je terug in beeld: een mobiele app, een desktopclient, een browserextensie, een installatie op locatie, firmware, een plug-in. En zelfs bij een clouddienst geldt: draait er een functie op afstand die onder jouw verantwoordelijkheid is ontwikkeld en zonder welke het product zijn werk niet doet, dan telt die functie mee. Het kabinet noemt de toepassing van de CRA op maatwerkoplossingen zelf een punt waarvoor het Europese richtsnoeren vraagt, en beantwoordde een consultatievraag hierover met "hangt af van de omstandigheden van het geval". Je naleving bouwen op de onzekere kant van een vraag die je eigen overheid als onopgehelderd markeert, is een merkwaardige weddenschap.

De uitzonderingen zijn ook smaller dan ze klinken. Een verordening werkt rechtstreeks, dus de plicht bestaat op 11 september, of Den Haag zijn uitvoeringswet nu af heeft of niet. En een kleine onderneming is vrijgesteld van één boete, niet van de meldplicht zelf, niet van de melding binnen 72 uur en niet van het eindverslag.

En eerlijk gezegd is de boete het minst interessante deel. De echte rekening is die ene vrijdagavond waarop niemand weet van wie de vraag is.

Wat er op 11 september eigenlijk verandert

Er verandert niets aan wie het risico droeg. Er verandert alleen dat het opgeschreven staat, met een klok erbij.

"Fabrikant" wringt omdat het naar fabriekshallen klinkt. Maar de Cyber Resilience Act bedenkt niets nieuws. De verordening legt alleen vast wat al waar was op het moment dat jij je naam op het werk van iemand anders zette: dat het jouw product is geworden. Het uitbesteden van het bouwen heeft nooit het eigenaarschap uitbesteed, het maakte dat eigenaarschap alleen onzichtbaar.

Kijk dus niet naar je personeelsbestand om te bepalen of je onder de definitie valt, maar beantwoord één vraag: staat mijn naam erop? Is het antwoord ja, dan is de volgende vraag niet wie er verantwoordelijk is, maar wie er om drie uur 's nachts opneemt en wie het account bij het meldloket heeft.

Je hebt geen fabriek. Je hebt wel een product.