CBP opende op 2 september 2026 een consultatie over herkomstgegevens bij invoer (91 FR 56408); de CRA-meldplicht start 11 september 2026
Verordening (EEG) nr. 679/85 verving de nationale douaneformulieren van de lidstaten door één formulier in acht exemplaren, en vanaf 1 januari 1988 vulde een Nederlandse expediteur voor elke zending naar buiten de Gemeenschap het Enig Document in. De gedachte erachter was zuinig: één keer opschrijven wat er in de kist zit, en die opgave laten meereizen. Op 2 september 2026 opende de Amerikaanse douane een consultatie over een uitvraag die veel verder gaat dan het Enig Document ooit deed. Negen dagen later begint in de Europese Unie een meldplicht die op verwante herkomst- en ketengegevens steunt, met een ander doel, een andere geadresseerde en een ander format.
Het Amerikaanse stuk heet Heightened Import Disclosures for Supply Chain Visibility en staat in het Federal Register van 2 september 2026 op 91 FR 56408. Het is een advance notice of proposed rulemaking: de vroegste formele fase, waarin een dienst opschrijft wat hij zou willen uitvragen en het publiek vraagt daarop te reageren. Er volgt nog geen verplichting uit. Wat er wel uit volgt, is een tamelijk precieze beschrijving van wat CBP over een geleverde zending zou willen weten.
Wat CBP op 2 september 2026 ter consultatie legde: docket USCBP-2026-1058, reacties tot 1 december 2026
Het stuk van U.S. Customs and Border Protection ziet op de titels 19 CFR 141, 142, 143 en 163 en draagt RIN 1685-AA47. Het doel staat in de eerste zin van de samenvatting: CBP wil "greater visibility into the supply chains of goods imported into the United States", om onrechtmatige invoer en met name illegale doorvoer beter te kunnen onderscheppen. De uitvraag bestaat uit vier soorten gegevens: buitenlandse fiscale nummers en mondiale bedrijfsidentificatoren van de betrokken partijen; gedetailleerde informatie over de toeleveringsketen en de productiemethode; technische oplossingen om ketens te traceren; en de documentatie die de buitenlandse exporteur bij zijn eigen douane moest indienen vóór verzending naar de Verenigde Staten. Het stuk voert executive order 14411 uit, ondertekend op 3 juni 2026 en gepubliceerd op 91 FR 35125, en verwijst naar CTPAT als bestaande structuur om op voort te bouwen. Wie de stukken uiteindelijk moet bewaren en indienen ligt niet vast: het document stelt die vraag expliciet, ook voor de importeur of record. Reacties kunnen tot 1 december 2026 worden ingediend, ook door partijen buiten de Verenigde Staten.
Een ANPRM stelt vragen en schrijft niets voor. Er staat geen invoeringsdatum in, geen format en geen componentenlijst; er staat welke gegevens de dienst zou willen zien. Voor een Nederlandse leverancier is dat bruikbaar als vroege aankondiging van vragen die zijn Amerikaanse afnemer kan gaan doorgeven, en als eerste gelegenheid om op de formulering te reageren. Volgt er later een ontwerpregeling, dan hoort daar opnieuw een reactietermijn bij. Dezelfde beweging liep dit kwartaal al via het aanbestedingsrecht, toen een FAR-regel cryptografische eisen in federale contracten bracht: eerst de inkoopvoorwaarde, dan de grens.
De uitvoeraangifte bij de Nederlandse Douane als stuk in een Amerikaanse invoerprocedure
Van de vier categorieën is de vierde juridisch de scherpste. Een Nederlandse exporteur doet aangifte ten uitvoer bij de Douane op grond van het Douanewetboek van de Unie, verordening (EU) nr. 952/2013. Artikel 12 van dat wetboek bindt de douaneautoriteiten: informatie die zij bij de uitoefening van hun taak verkrijgen en die vertrouwelijk van aard is, valt onder hun geheimhoudingsplicht. Die plicht rust op de autoriteit, niet op het document. Geeft de exporteur hetzelfde stuk aan zijn afnemer om het bij invoer in de Verenigde Staten te overleggen, dan zegt artikel 12 daar niets over. Wat er dan mee gebeurt, is een vraag van Amerikaans recht en van de vertrouwelijkheids- en openbaarmakingsregels die bij een eventuele latere regeling zouden horen. Het consultatiedocument benoemt dat regime niet, en juist dat is een punt om vóór 1 december in een reactie aan te snijden.
Daarnaast raakt de uitvraag naar productiemethoden het materiaal dat de richtlijn bedrijfsgeheimen en de Nederlandse Wet bescherming bedrijfsgeheimen beschermen, en die bescherming hangt af van redelijke maatregelen om de informatie geheim te houden. Een opgaveplicht die bij uw afnemer wordt neergelegd, is een route waarlangs uw fabricagegegevens uit uw beheer raken zonder dat u partij bent bij de procedure. Kijk na of uw leveringscontract dat regelt: wie draagt de kosten van de opgave, wie mag welk document doorgeven, en wat gebeurt er als de afnemer meer verstrekt dan gevraagd.
De CRA vraagt vanaf 11 september 2026 om melding, en pas vanaf 11 december 2027 om een SBOM
De Cyber Resilience Act, verordening (EU) 2024/2847, trad op 10 december 2024 in werking en spreidt zijn verplichtingen over drie data. Hoofdstuk IV over de aanmelding van conformiteitsbeoordelingsinstanties geldt sinds 11 juni 2026. De meldplicht van artikel 14 geldt vanaf 11 september 2026. De hoofdverplichtingen, waaronder de essentiële eisen van bijlage I, gelden vanaf 11 december 2027. De Europese Commissie publiceerde op 27 juli 2026 praktische richtsnoeren bij die meldplicht.
De mechaniek is strak. Een fabrikant die weet heeft van een actief misbruikte kwetsbaarheid of een ernstig incident dient binnen 24 uur een vroegtijdige waarschuwing in, binnen 72 uur een volledige melding, en een eindverslag binnen veertien dagen nadat een corrigerende maatregel beschikbaar is — bij ernstige incidenten binnen een maand. Dat gaat via één meldplatform naar het CSIRT dat als coördinator is aangewezen, waarbij ENISA gelijktijdig meeleest. Wie de Nederlandse meldketen kent van de vierentwintiguursmelding onder de Cyberbeveiligingswet, herkent het ritme en niet de geadresseerde.
De melding zelf vraagt geen componentenlijst. Zij ziet op de kwetsbaarheid, het getroffen product en de genomen maatregelen, en dat is een smallere opgave dan het woord toeleveringsketen suggereert. De lijst komt later. Overweging 77 verlangt dat de fabrikant de componenten in zijn product identificeert en documenteert, onder meer door een software bill of materials op te stellen, en die eis staat in bijlage I, deel II, voor ten minste de directe afhankelijkheden. Ongemakkelijk is de volgorde. Vanaf 11 september moet een fabrikant binnen een etmaal kunnen zeggen welk product wordt geraakt, terwijl de verplichting om vast te leggen welke componenten daarin zitten pas vijftien maanden later ingaat. Wie in september merkt dat hij die vraag intern niet beantwoord krijgt, heeft de inventaris niet op tijd gemaakt — een patroon dat we bij de cryptografische inventaris in dezelfde volgorde zagen.
Cyberbeveiligingswet en AI-verordening raken dezelfde keten op een andere rechtsgrond
Voor essentiële en belangrijke entiteiten geldt sinds 15 augustus 2026 de Cyberbeveiligingswet, met een zorgplicht die uitdrukkelijk de beveiliging van de toeleveringsketen omvat. Een format schrijft die wet niet voor: zij verlangt beheersing van leveranciersrisico's, en een leveranciers- of assetregister is één manier om dat aantoonbaar te doen — zoals we bij het register dat aan de plicht voorafgaat al uiteenzetten. De AI-verordening stelt de vraag opnieuw en weer anders: bijlage IV verlangt in het technisch dossier van een hoogrisicosysteem een beschrijving van de gebruikte componenten en instrumenten van derden, artikel 25 verdeelt de verantwoordelijkheden in de waardeketen, en artikel 53 met bijlage XII verplicht aanbieders van AI-modellen voor algemene doeleinden om afnemers stroomafwaarts te informeren over wat die inbouwen. Die GPAI-verplichtingen gelden sinds 2 augustus 2025; de hoogrisicoverplichtingen zijn met verordening (EU) 2026/1744 verschoven naar 2 december 2027 voor bijlage III en 2 augustus 2028 voor producten onder bijlage I.
Vier regimes, vier geadresseerden, vier formats, en steeds gegevens over hetzelfde onderwerp: waar een product en zijn onderdelen vandaan komen. Ze vallen niet samen. De douane wil identificatoren en productiegegevens per zending, de CRA een machineleesbare SBOM per product, de zorgplicht beheersing van leveranciersrisico's per organisatie, en de AI-verordening een technisch dossier per systeem. Ze meten ook niet hetzelfde: een SBOM benoemt componenten en hun directe afhankelijkheden, niet noodzakelijk de fabrikant of het land van herkomst. Onderliggende gegevens zijn intern goed herbruikbaar, maar er is geen juridische gelijkwaardigheid en geen gemeenschappelijk format: een opgave onder het ene regime kwijt u niet van het andere.
Waarom overlappende opgaven vier keer worden uitgevraagd, en wie dat betaalt
In 1988 ging de beweging de andere kant op: één document verving de formulierenstapel van twaalf lidstaten, omdat de administratieve last zelf als handelsbelemmering werd gezien. Achtendertig jaar later groeit het aantal opgaven weer, en de kosten daarvan landen niet evenredig. Welke plicht op wie rust verschilt per rol, product en wettelijke reikwijdte: een toeleverancier van printplaten is niet zonder meer fabrikant in de zin van de CRA en meestal geen entiteit in de zin van de Cyberbeveiligingswet. De vragen komen desondanks bij hem terecht, doorgegeven door afnemers die hun eigen plicht moeten kunnen aantonen. Een leverancier met twintig medewerkers beantwoordt ze dan zonder de compliance-afdeling die zijn afnemer wel heeft. Naleving wordt daarmee zelf een markt — er zijn inmiddels leveranciers die CRA-documentatie en testsjablonen als product verkopen — en wie dat niet kan inkopen, verliest terrein in de keten. Markttoegang verschuift naar wie de administratie aankan, een concentratie die geen van de vier regimes beoogt.
De publieke inzet zit aan de andere kant van diezelfde gegevens. Ziekenhuizen, waterschappen en netbeheerders kopen deze apparatuur, en na een incident hangt alles af van de vraag of iemand kan zeggen welk onderdeel het betrof, wie het maakte en of het te vervangen is. Wanneer die gegevens alleen bestaan in een Amerikaans handhavingsbestand en in een vertrouwelijke SBOM van de leverancier, kan de Nederlandse afnemer die vraag nog steeds niet beantwoorden. Herkomstinformatie die nergens bij de gebruiker terechtkomt, levert transparantie op voor de staat die haar afdwingt en niet voor de organisatie die het apparaat in bedrijf heeft.
Welk regime vraagt wat, van wie en vanaf wanneer
| Regime | Geadresseerde | Wat er gevraagd wordt | Vanaf |
|---|---|---|---|
| CBP, 91 FR 56408 (consultatie) | nog niet vastgelegd; het document vraagt juist wie de stukken moet bewaren en indienen | fiscale en bedrijfsidentificatoren, keten- en productiegegevens, exportdocumentatie | reacties tot 1 december 2026; nog geen verplichting |
| Cyber Resilience Act, art. 14 | fabrikant van een product met digitale elementen | de actief misbruikte kwetsbaarheid, het getroffen product en de maatregelen | 11 september 2026 |
| Cyber Resilience Act, bijlage I deel II | dezelfde fabrikant | machineleesbare SBOM, ten minste de directe afhankelijkheden | 11 december 2027 |
| Cyberbeveiligingswet, zorgplicht | essentiële en belangrijke entiteiten | beheersing van leveranciers- en ketenrisico's; format vrij | 15 augustus 2026 |
| AI-verordening, art. 53 en bijlage XII | aanbieder van een AI-model voor algemene doeleinden | informatie aan afnemers stroomafwaarts over het model | 2 augustus 2025 |
| AI-verordening, art. 11 en bijlage IV | aanbieder van een hoogrisicosysteem | componenten en instrumenten van derden in het technisch dossier | 2 december 2027 (bijlage III), 2 augustus 2028 (bijlage I) |
Wie deze zes rijen naast zijn eigen leverings- en inkoopcontracten legt, kan op drie mogelijke gaten controleren: geen bepaling over wie welke herkomstgegevens mag doorgeven, geen kostenverdeling voor de opgave, en geen termijn waarbinnen een leverancier de componentvraag moet kunnen beantwoorden. Voor het doorlopen van contracten en technische dossiers op die punten is onze contractscan met vaste omvang beschikbaar.
Openbare stand van zaken: 2 september 2026. Bronnen: het consultatiedocument Heightened Import Disclosures for Supply Chain Visibility in het Federal Register van 2 september 2026 (91 FR 56408, docket USCBP-2026-1058, RIN 1685-AA47); verordening (EEG) nr. 679/85 over het Enig Document; de geconsolideerde teksten van verordening (EU) nr. 952/2013, verordening (EU) 2024/2847, verordening (EU) 2024/1689 en richtlijn (EU) 2016/943 op EUR-Lex, en de wijzigingsverordening (EU) 2026/1744; het inwerkingtredingsbesluit van de Cyberbeveiligingswet in Staatsblad 2026, 189; en de toelichting van de Europese Commissie op de meldplicht onder de Cyber Resilience Act.