Wie in de Europese Unie een hardware- of software-wallet verkoopt, heeft sinds 11 september 2026 precies één dag om een actief misbruikte kwetsbaarheid bij de toezichthouder te melden. Die deadline komt voort uit de Cyber Resilience Act (CRA), de brede EU-wet die crypto-wallets voortaan behandelt als elk ander product met digitale onderdelen. Wie de termijn mist, riskeert een boete tot 15 miljoen euro, omgerekend zo’n 17,3 miljoen dollar, of 2,5 procent van de mondiale jaaromzet, afhankelijk van welk bedrag hoger uitvalt.
Kerncijfers
- Eerste waarschuwing: binnen 24 uur
- Volledige melding: binnen 72 uur
- Eindrapport: binnen 14 dagen na een oplossing
- Maximale boete: 15 miljoen euro of 2,5% van de jaaromzet
Twee fasen, één strakke klok
De meldplicht loopt via artikel 14 van de CRA en kent twee stappen. Binnen 24 uur nadat een fabrikant weet heeft van een actief uitgebuite kwetsbaarheid of een ernstig beveiligingsincident, moet er een vroege waarschuwing binnen bij ENISA, het EU-agentschap voor cyberbeveiliging, via het zogeheten Single Reporting Platform. Daarna volgt binnen 72 uur een uitgebreidere melding en uiterlijk 14 dagen na het beschikbaar komen van een oplossing een eindrapport.
De Europese Commissie stelt dat de nieuwe regels bedoeld zijn om consumenten en bedrijven beter te beschermen tegen digitale dreigingen. De reikwijdte is breed: de wet geldt voor alle producten met digitale elementen die op de EU-markt worden aangeboden, zolang die een directe of indirecte dataverbinding met een apparaat of netwerk hebben. Voor een hardware-wallet die met een computer of telefoon praat, is dat al snel het geval.
Wat betekent dit voor gebruikers en makers?
Voor de doorsnee gebruiker verandert er op korte termijn weinig aan hoe je je coins bewaart. De winst zit in transparantie: fabrikanten kunnen een lek niet langer maandenlang stilhouden terwijl aanvallers het al uitbuiten. Voor makers als Ledger, Trezor en BitBox betekent het dat er een detectie- en meldproces moet liggen dat binnen een dag kan schakelen, iets wat voor kleinere partijen een flinke opgave is.
De timing is opvallend, want de aankondiging valt samen met een reeks incidenten in de sector. Begin september maakte Trezor bekend dat nog eens 67.000 Amerikaanse klanten geraakt waren door een datalek bij verzendpartner ShipMonk, ruim meer dan de eerst geschatte 14.000. Kort daarna waarschuwden Trezor en BitBox voor phishingmails die zich voordeden als dringende beveiligingsberichten na een vermoedelijke inbraak bij externe e-maildiensten.
Richt de wet zich op het juiste probleem?
Hier wringt iets. De CRA jaagt op productkwetsbaarheden, terwijl het meeste crypto-geld via heel andere routes verdwijnt. Uit cijfers over 2026 blijkt dat slechts elf procent van de verliezen bij gecontroleerde projecten voortkwam uit fouten in de smart-contractcode. De rest liep via gestolen sleutels, externe softwareafhankelijkheden, front-end supply chains en buitgemaakte inloggegevens van medewerkers. Volgens dezelfde analyse zat de Noord-Koreaanse Lazarus Group in de eerste helft van 2026 achter ongeveer 76 procent van de mondiale diefstallen.
Een meldplicht van 24 uur werkt uitstekend als een concrete bug in een product wordt misbruikt. Of dezelfde klok net zo effectief is tegen phishing en gestolen sleutels, de aanvalsvormen die de grootste schade aanrichten, is nog maar de vraag. De strengere onderdelen van de CRA, zoals verplichte security-by-design en certificering, treden pas op 11 december 2027 in werking. Fabrikanten hebben daarmee ruim een jaar om hun ontwikkelproces om te bouwen voordat de volledige eisen gelden.
