Op 2 september 2026 opende U.S. Customs and Border Protection een consultatie over invoergegevens: welke herkomst-, keten- en productiegegevens een invoerder in de toekomst zou moeten aanleveren. Het stuk staat op 91 FR 56408, draagt docket USCBP-2026-1058 en RIN 1685-AA47, ziet op 19 CFR 141, 142, 143 en 163, en staat open voor reacties tot 1 december 2026. Het is een advance notice of proposed rulemaking: het schrijft nog niets voor, het vraagt. Negen dagen later, op 11 september 2026, begint in de Europese Unie de meldplicht van artikel 14 van de Cyber Resilience Act. Het Amerikaanse stuk is nog een consultatie; de Europese meldplicht is geldend recht. De gevraagde gegevens overlappen aanzienlijk zonder ooit hetzelfde formulier te worden.
Wat CBP ter consultatie legt
De uitvraag omvat buitenlandse fiscale nummers en mondiale bedrijfsidentificatoren, gedetailleerde gegevens over de toeleveringsketen en de productiemethode, technische traceeroplossingen, en de documentatie die de buitenlandse exporteur bij zijn eigen douane moest indienen vóór verzending. Dat laatste punt is voor Nederlandse leveranciers het scherpst. Een aangifte ten uitvoer bij de Nederlandse Douane wordt gedaan onder het Douanewetboek van de Unie, waarvan artikel 12 de douaneautoriteiten tot geheimhouding verplicht. Die plicht rust op de autoriteit en niet op het document: gaat hetzelfde stuk via de leverancier mee naar een Amerikaanse invoerprocedure, dan beheerst Amerikaans recht wat ermee gebeurt, terwijl de gevraagde productiegegevens precies het materiaal zijn dat de Wet bescherming bedrijfsgeheimen beoogt af te schermen.
Verwante gegevens, vier verschillende regimes
De Cyber Resilience Act verlangt vanaf 11 september 2026 een vroegtijdige waarschuwing binnen 24 uur, een volledige melding binnen 72 uur en een eindverslag binnen veertien dagen na een corrigerende maatregel, via één meldplatform naar het aangewezen CSIRT en ENISA. Die melding vraagt zelf geen componentenlijst; de verplichting om componenten vast te leggen in een machineleesbare software bill of materials volgt pas op 11 december 2027. Daarnaast vraagt de Cyberbeveiligingswet sinds 15 augustus 2026 om beheersing van leveranciers- en ketenrisico's bij essentiële en belangrijke entiteiten, zonder een format voor te schrijven, en verlangt de AI-verordening in bijlage IV en artikel 53 een beschrijving van componenten en instrumenten van derden.
Wat dit betekent voor leverings- en inkoopcontracten
Eén consultatie en drie geldende regimes vragen, met verschillende geadresseerden en formats, naar gegevens over hetzelfde onderwerp; een opgave onder het ene regime kwijt niemand van het andere. De administratieve last landt onevenredig bij kleine toeleveranciers, die de vragen doorgegeven krijgen door afnemers die hun eigen plicht moeten aantonen. De publieke inzet zit aan de andere kant: ziekenhuizen, waterschappen en netbeheerders moeten na een incident kunnen achterhalen welk onderdeel het betrof en wie het leverde. Het artikel zet de zes verplichtingen met hun data en geadresseerden naast elkaar in één tabel, en benoemt de drie bepalingen die in leveringscontracten het vaakst ontbreken en die u kunt nalopen: wie herkomstgegevens mag doorgeven, wie de kosten van de opgave draagt, en binnen welke termijn een leverancier de componentvraag moet kunnen beantwoorden.
Meer lezen