Hoe u onder de CRA meldt bij NCSC-NL

1. Wie uw melding ontvangt: NCSC-NL

Het Nationaal Cyber Security Centrum (NCSC-NL) verenigt de autoriteit en het operationele team in één organisatie. Het NCSC-NL werkt vanuit Den Haag en kent een traditie van open technische publicaties die boven het Europese gemiddelde ligt.

De keten is precies deze: de autoriteit als instelling, NCSC-NL als operationeel team dat uw melding leest en dat samen met ENISA de in art. 14 bedoelde ontvanger vormt.

Het NCSC-NL zit in Den Haag en werkt onder het ministerie van Justitie en Veiligheid. Historisch bediende het de overheid en de vitale infrastructuur, terwijl bedrijven aparte aanspreekpunten hadden — het Digital Trust Center en het CSIRT voor digitale dienstverleners.

2. Het nationale kanaal in de praktijk

De taal van de melding kan Nederlands of Engels zijn: het NCSC-NL werkt routinematig in beide en publiceert een groot deel van zijn technische materiaal in het Engels.

Nederland is begonnen met het samenvoegen van deze organisaties tot één nationaal centrum. Dat is een lopend traject: ga na welk loket actief is op het moment dat u het nodig hebt, in plaats van te vertrouwen op een verwijzing uit een twee jaar oud document.

NCSC-NL · officiële website

3. Het landschap eromheen

De omzetting van NIS2 begeleidt die samenvoeging en verbreedt het aantal entiteiten dat moet melden. Het Nederlandse model blijft pragmatisch en sterk gericht op informatiedeling met de private sector.

Voor de CRA volgt de aanwijzing van het CSIRT dat fabrikantenmeldingen ontvangt de nationale uitvoering van de verordening. In een reorganisatiefase telt die controle dubbel: doe haar vóór het indienen, niet tijdens.

Nog één praktisch punt: Nederland heeft een gevestigde traditie van gecoördineerde bekendmaking van kwetsbaarheden, met nationale richtlijnen die aan de CRA voorafgaan en breed zijn overgenomen. Volgt uw bekendmakingsbeleid dat model, dan zit u al dicht bij wat de verordening in bijlage I vraagt.

4. Hoe indienen werkt, kort

Indienen is geen e-mail aan de autoriteit: het loopt via het centraal meldingsplatform van art. 16, en toegang vraagt vooraf gevalideerde EU Login-inloggegevens.

De keten van termijnen — 24 uur, 72 uur, eindverslag — is in de hele Unie dezelfde en staat volledig op de pagina over art. 14. Bij de andere trigger van het artikel verandert de slottermijn: die staat op de pagina over het ernstige incident.

5. Wat vóór een incident voor te bereiden

Vijf dingen, rustig geregeld, maken het verschil tussen een tijdig ingediende melding en een te late. Het eerste is het contactpunt bij NCSC-NL, aangewezen en gevalideerd, met een benoemde vervanger: op de dag van het geval zoekt u niet wie de inloggegevens heeft.

In Nederland loont het de datum vast te leggen waarop u het kanaal hebt geverifieerd en de naam van de contactpersoon: in een ecosysteem dat zich herordent kan een een half jaar geleden gecontroleerde verwijzing niet meer de juiste zijn.

En een noot over tijd: Nederland zit op CET/CEST. De vierentwintig uur lopen ook 's nachts en in het weekend. In een ecosysteem dat zich herordent telt een geverifieerd kanaal en een benoemde plaatsvervanger zwaarder dan persoonlijke bekendheid met een contactpersoon die van rol kan wisselen.

Deze gids geeft onze lezing van de verordeningstekst en de openbare procedures weer; hij vormt geen juridisch advies, en de operationele details van het platform kunnen veranderen.