Eén multidisciplinair team
Applicatiebeveiliging, incident response, risicomanagement, cybersecurityrecht en CE-conformiteit onder één dak.
Consultancy
EU CRA Compliance Journey
Van de meldplichten op 11 september 2026 tot CE-conformiteit op 11 december 2027: zeven werkpakketten, één geïntegreerd team, op locatie of op afstand.
- 11 september 2026 De meldplichten gelden: actief uitgebuite kwetsbaarheden en ernstige incidenten moeten worden gemeld.
- 11 december 2027 Alle CRA-eisen gelden. Producten op de EU-markt hebben CE-conformiteit onder de CRA nodig.
Teams waarmee we hebben gewerkt
Waarom wij
Conformiteit vraagt meer dan de verordening lezen
Ons team werkt mee aan de normen die bepalen hoe de CRA-eisen in de praktijk worden uitgelegd, toegepast en beoordeeld.
Normen uit de eerste hand
We hebben zitting in de CEN/CENELEC- en ISO-werkgroepen die de normen voor CRA-conformiteit opstellen. We werken dus vanuit de bron, niet vanuit interpretaties van anderen.
Praktijkervaring
We hebben dit werk op echte producten gedaan: threat modeling, verbetering van de SSDLC, kwetsbaarheidsbeheer en voorbereiding op CE-conformiteit.
Vaste prijs na scoping
Elk werkpakket heeft benoemde deliverables en een inschatting van de inzet. Zodra de scope vaststaat, wordt die inschatting een vaste prijs, dus zonder open budget.
Snel
We kennen de eisen en de normen al. Uw budget gaat dus naar het toepassen ervan op uw producten, niet naar het inwerken van ons.
Flexibel
Neem de volledige journey of alleen de werkpakketten die uw portfolio en volwassenheid vragen. Een goede start voorkomt valse starts, compliance theater en dure correcties laat in het conformiteitsproces.
Werkpakketten
Van meldplicht tot CE-conformiteit
Elk werkpakket dekt een afgebakend deel van de overgang. Neem de volledige journey of kies de pakketten die u nodig hebt voor bepaalde producten, productfamilies, build factories of teams.
-
CRA-meldplichten 2026
16 uur per organisatie
Vanaf 11 september 2026 moeten fabrikanten aan de meldplichten van de CRA kunnen voldoen, ook voor producten die al op de markt zijn en nog worden ondersteund. Uw beleid voor incident response en coordinated vulnerability disclosure (CVD), en de CSIRT-processen daarachter, moeten relevante gebeurtenissen binnen de wettelijke termijnen herkennen, beoordelen, escaleren en melden.
Deliverables
- Gap-analyse van uw incident response- en CVD-beleid ten opzichte van de CRA-meldplichten
- Gap-analyse van uw CSIRT-procedures en escalatieprocessen
- Een concreet plan om de hiaten te dichten, inclusief aangepaste beleidstekst waar volwassenheid en tijd dat toelaten
Onder leiding van
Eden YardeniApplicatiebeveiligingsarchitect
Senior expert in incident response en digital forensics, gespecialiseerd in de norm prEN 40000-1-3 voor kwetsbaarheidsbeheer.
-
Productcontext en CRA-scope
16 uur per productfamilie
De productcontext is de basis voor het risicomanagement en het beveiligingswerk dat volgt. We beschrijven het product, het beoogde gebruik, de gebruiksomgeving, de systeemgrenzen, belanghebbenden en afhankelijkheden, en welke CRA-eisen van toepassing zijn. Zo rusten latere keuzes over risico's, maatregelen en conformiteit op een stevig fundament.
Deliverables
- Productcontext: beoogd doel en redelijkerwijs voorzienbaar gebruik, functies, gebruiksomgeving, architectuur op hoofdlijnen, gebruikers en verdeling van beveiligingsfuncties
- Zakelijke, regelgevende en technologische context, inclusief verwerking van gegevens op afstand en de systeemgrens
- Juridische analyse van de horizontale en verticale CRA-eisen die op het product van toepassing zijn
Onder leiding van
Lara BritoCIPP/E; jurist data en technologie
Jurist data en technologie, gespecialiseerd in data- en cybersecurityrecht, met een focus op OWASP SAMM en de CRA.
-
SSDLC-volwassenheid en CRA-gap-analyse
32 uur per build factory
Een helder beeld van uw veilige ontwikkelcyclus ten opzichte van de verplichtingen van fabrikanten onder de CRA, op basis van interviews en een CRA-beoordelingskader dat is opgebouwd uit de wettelijke eisen. Het laat zien waar uw processen conformiteit al ondersteunen, waar de hiaten zitten en wat er moet veranderen. Risicomanagement krijgt extra aandacht, omdat het de input is voor alle beveiligingsactiviteiten daarna.
Deliverables
- Rapport over SSDLC-volwassenheid ten opzichte van de CRA-eisen voor fabrikanten
- EU CRA-gapkaart
- Verbeterplan voor uw risicomanagementmethode
- Minimale roadmap om de compliancehiaten te dichten
Onder leiding van
Nariman Aga-TagiyevApplicatiebeveiligingsarchitect
Senior application security architect, nationaal expert in CEN/CENELEC JTC 13/WG 9 (Cyber Resilience Act) en lid van het OWASP SAMM-coreteam.
-
Threat model en risicobeoordeling van het product
64 uur per product
Elke beveiligingsactiviteit hoort een productrisico te verkleinen dat is vastgesteld, beoordeeld en vastgelegd. Een productsecurityexpert doet threat modeling met uw product owners, architecten en ontwikkelaars. Onze risicomanagementexpert combineert daarna de productcontext en het threat model tot een gestructureerde risicobeoordeling volgens prEN 40000-1-2. De schatting bestaat uit 32 uur voor het threat model en 32 uur voor de risicobeoordeling.
Deliverables
- Bewerkbaar threat model in CycloneDX TM-BOM-formaat, klaar voor hergebruik
- Threat model-rapport met het dataflowdiagram, de gevonden dreigingen en de afgesproken maatregelen
- Rapport van de risicobeoordeling, gestructureerd volgens prEN 40000-1-2
Onder leiding van
Luc PoulinSenior adviseur applicatiebeveiliging en betrouwbaarheid
Auteur en editor van ISO/IEC 27034, de norm voor het integreren van beveiliging in applicatiebeheer gedurende de hele levenscyclus.
-
Programma voor kwetsbaarheidsbeheer
96 uur per organisatie
De CRA maakt kwetsbaarheidsbeheer een langdurige verplichting: beveiligingsupdates moeten gedurende de hele ondersteuningsperiode beschikbaar zijn, zonder extra kosten voor gebruikers. We bouwen de levenscyclus uit prEN 40000-1-3, van beleid en intake via triage, herstel en coordinated disclosure tot monitoring na de release. Bent u met werkpakket 1 begonnen, dan loopt dat werk hier direct in door. De schatting omvat 80 uur voor het aanpassen van uw beleid en 16 uur voor training en een tabletop-oefening.
Deliverables
- Bijgewerkt incident response-beleid
- Bijgewerkt beleid voor vulnerability disclosure
- Ondersteunende richtlijnen en procedures
- Training en een IR/CVD-tabletop-oefening voor uw CSIRT-team
Onder leiding van
Eden YardeniApplicatiebeveiligingsarchitect
Onze specialist voor incident response en coordinated vulnerability disclosure.
-
Secure by design en secure by default
80 uur per organisatie
CRA-conformiteit kunt u niet achteraf toevoegen. Secure by design en secure by default moeten terugkomen in hoe producten worden ontworpen, ontwikkeld, getest, gehard en uitgebracht. We beoordelen uw huidige ontwikkelpraktijken, maatregelen en beleid ten opzichte van prEN 40000-1-4, de horizontale norm waarmee fabrikanten deze principes in hun ontwikkelcyclus kunnen verankeren, en pakken de urgentste hiaten aan.
Deliverables
- Workshop secure by design en secure by default voor uw ontwikkelteam
- Gap-analyse van uw veilige productontwikkelcyclus ten opzichte van prEN 40000-1-4
- Roadmap voor het verbeteren van uw ontwikkelcyclus
- Implementatie van geselecteerde maatregelen binnen de afgesproken tijd
Onder leiding van
Timo PagelDevSecOps-architect
Senior applicatiebeveiligingsexpert met een achtergrond in softwareontwikkeling en ervaring in echte ontwikkelomgevingen.
-
Bewijs en documentatie voor CE-conformiteit
40 uur per product
Voordat een product de CE-markering mag dragen, hebt u technische documentatie nodig die aantoont dat aan de eisen van bijlage I is voldaan, plus een EU-conformiteitsverklaring. We bundelen de eerdere resultaten, waaronder de productcontext, risicobeoordeling, het threat model, de SBOM en procesbewijs, tot een conformiteitsdossier dat een kritische toets doorstaat. Ook helpen we de juiste conformiteitsbeoordelingsprocedure voor uw productklasse te kiezen. De schatting gaat ervan uit dat de eerdere werkpakketten zijn afgerond.
Deliverables
- De conformiteitsbeoordelingsprocedure voor uw productklasse: interne controle (module A), of beoordeling door een derde partij waar dat verplicht is
- Technische documentatie uit de eerdere werkpakketten, gekoppeld aan de eisen van bijlage I en de normen die u toepast
- Concept van de EU-conformiteitsverklaring
Onder leiding van
Dagmar MoserConsultant, auditor en docent
CRA-conformiteitsspecialist en ISO/IEC 27001 lead auditor, met ondersteuning van de juridische en applicatiebeveiligingsleads van de eerdere werkpakketten.
Inspanning
Wat ervoor nodig is
De schattingen gaan uit van één product, één productfamilie en één build factory. Pakketten die per product, productfamilie, build factory of organisatie worden geschat, schalen mee met de scope die u kiest.
| Werkpakket | Geschatte inspanning | Basis |
|---|---|---|
| 01. CRA-meldplichten 2026 | 16 uur | per organisatie |
| 02. Productcontext en CRA-scope | 16 uur | per productfamilie |
| 03. SSDLC-volwassenheid en CRA-gap-analyse | 32 uur | per build factory |
| 04. Threat model en risicobeoordeling van het product | 64 uur | per product |
| 05. Programma voor kwetsbaarheidsbeheer | 96 uur | per organisatie |
| 06. Secure by design en secure by default | 80 uur | per organisatie |
| 07. Bewijs en documentatie voor CE-conformiteit | 40 uur | per product |
| Werkpakketten los afgenomen: 344 uur (ongeveer 43 persoonsdagen) | ||
| Volledige journey: 328 uur (ongeveer 41 persoonsdagen) | ||
Als volledig pakket gaat het werk uit pakket 1 op in pakket 5. Dat scheelt 16 uur.
De schattingen dekken het beleid, de procedures, beoordelingen en documentatie die de CRA en de EN 40000-normen vragen. Het implementeren of uitvoeren van technische maatregelen, zoals penetratietests, software composition analysis (SCA) of statische en dynamische beveiligingstests (SAST en DAST), valt erbuiten. Die bieden we apart aan, naast de journey of erna. Zodra de scope vaststaat, zetten we de schatting om in een vaste prijs tegen ons dagtarief.
Weet u niet waar u moet beginnen?
EU CRA Internal Audit
In een paar dagen zetten we de pet van de auditor op en lopen we elke toepasselijke CRA-eis langs, met de vraag of er voldoende bewijs is dat eraan wordt voldaan. U krijgt een lijst met non-conformiteiten, en die laat precies zien welke werkpakketten u nodig hebt.
Vraag naar een internal audit- Een beoordeling van uw bewijs, eis voor eis
- Een lijst met non-conformiteiten als resultaat
- Een paar dagen werk, een helder startpunt
Verkoopt u vanuit het buitenland in de EU?
De CRA geldt voor elk product met digitale elementen dat op de EU-markt wordt gebracht, waar de fabrikant ook gevestigd is. Dat geldt ook voor softwareleveranciers in de VS en elders die on-premises software aan Europese klanten verkopen. We voeren de journey zo nodig volledig op afstand uit en plannen workshops in uw tijdzone.
FAQ
1. Moeten we de volledige journey afnemen?
Nee. Elk werkpakket staat op zichzelf, en u kunt pakketten afbakenen per product, productfamilie, build factory of organisatie. Veel fabrikanten beginnen met de EU CRA Internal Audit of met werkpakket 1 en voegen pakketten toe zodra de hiaten duidelijk zijn.
2. Geldt de CRA ook voor bedrijven buiten de EU?
Ja, zodra hun producten op de EU-markt worden gebracht. Fabrikanten buiten de EU hebben dezelfde verplichtingen, en hun importeurs en distributeurs moeten controleren of daaraan is voldaan. We werken op afstand met fabrikanten buiten de EU.
3. Hoe wordt de journey geprijsd?
We schatten de inspanning per werkpakket, zoals hierboven. Zodra de scope vaststaat, zetten we de schatting om in een vaste prijs tegen ons dagtarief. U zit dus niet vast aan een open budget.
4. Wat valt er niet onder?
Het implementeren en uitvoeren van technische maatregelen, zoals penetratietests, SCA, SAST en DAST. Die bieden we als aparte diensten aan, naast de journey of zodra het programma en de documentatie staan.
5. Met welke normen werken jullie?
De CRA zelf, de EN 40000-reeks van CEN/CENELEC JTC 13 WG 9, waarin we zitting hebben, ISO/IEC 27034 en OWASP SAMM. Als er een verticale norm voor uw product geldt, komt die naar voren in de juridische analyse van werkpakket 2.
6. Hoe lang duurt het?
De volledige journey kost ongeveer 41 persoonsdagen van ons werk voor één product, productfamilie en build factory. De doorlooptijd hangt vooral af van hoe snel uw team kan aansluiten bij interviews en workshops.