De Cyber Resilience Act (CRA) vertelt fabrikanten wat hun producten moeten bereiken. Hoe, dat vertelt de wet niet. Dat is de taak van geharmoniseerde normen: zodra een norm in het Publicatieblad van de EU is vermeld, wordt een product dat eraan voldoet vermoed te voldoen aan de CRA-eisen die de norm dekt.
De Europese Commissie heeft de Europese normalisatieorganisaties om deze normen gevraagd in normalisatieverzoek M/606. Het werk is verdeeld over CEN, CENELEC en ETSI, en de voortgang verschilt sterk per commissie. De tabellen hieronder laten zien waar elke norm in oktober 2026 stond.
Waarom de timing ertoe doet
De meldplichten van de CRA voor actief uitgebuite kwetsbaarheden en ernstige incidenten gelden sinds 11 september 2026. De essentiële eisen voor producten gelden vanaf 11 december 2027. Welke normen vóór die datum het Publicatieblad halen, bepaalt hoeveel werk uw conformiteitsbeoordeling kost.
De route hangt af van de productklasse:
- Standaardproducten (niet vermeld in bijlage III of IV) kunnen interne controle (module A) gebruiken, met of zonder geharmoniseerde normen.
- Belangrijke producten in klasse I (bijlage III) kunnen alleen interne controle gebruiken als u geharmoniseerde normen, gemeenschappelijke specificaties of een Europese cyberbeveiligingscertificeringsregeling toepast. Zonder een daarvan hebt u een aangemelde instantie nodig.
- Belangrijke producten in klasse II (bijlage III) hebben altijd een beoordeling door een derde partij nodig.
- Kritieke producten (bijlage IV) volgen de procedures van klasse II tot de Commissie bij gedelegeerde handeling een Europees cyberbeveiligingscertificaat verplicht stelt, zoals EUCC.
Voor een product in klasse I is een ontbrekende geharmoniseerde norm het verschil tussen interne controle en een aangemelde instantie betalen om de beoordeling te doen.
Zo leest u de tabellen
Horizontale normen gelden voor elk product met digitale elementen. Verticale normen voegen eisen toe voor één productcategorie uit bijlage III of IV. De kolom M/606 geeft het itemnummer in het normalisatieverzoek. Sommige items worden door twee commissies behandeld en hebben een “a” en een “b”: #36a (firewalls) schrijft ETSI, #36b (industriële firewalls) CLC/TC 65X.
Elke norm doorloopt dezelfde fasen:
- NWI
- prEN-ontwerp
- prEN-stemming
- EN-ontwerp
- EN-stemming (FV)
- Aangenomen
- HAS-beoordeling
- Vermelding in het PB
Een new work item (NWI) wordt goedgekeurd, de commissie schrijft een ontwerp (prEN) en nationale normalisatie-instituten geven er commentaar op in de enquêtestemming. Daarna bereidt de commissie de definitieve tekst (EN-ontwerp) voor op de formele stemming (FV). Na aanname controleert een consultant voor geharmoniseerde normen (HAS) de norm tegen het verzoek. Alleen vermelding in het Publicatieblad (PB) geeft een vermoeden van conformiteit.
Horizontale normen: CEN/CLC JTC 13 WG9
Deze gelden voor alle producten. EN 40000-1-2 (principes en risicomanagement) is aangenomen en EN 40000-1-3 (kwetsbaarheidsbeheer) ligt in de formele stemming. EN 40000-1-4 dekt de items #2 tot en met #14 van M/606, het grootste deel van de producteisen in bijlage I deel I, en is nog in de ontwerpfase. Dat is de norm waar de meeste fabrikanten op wachten.
| Norm | M/606 | Onderwerp | Klasse | Fase |
|---|---|---|---|---|
| EN 40000-1-2 | #1 | Principes, risicomanagement, levenscyclus | Horizontaal | Aangenomen |
| EN 40000-1-3 | #15 | Kwetsbaarheidsbeheer | Horizontaal | FV gepland |
| EN 40000-1-4 | #2–14 | Generieke beveiligingseisen | Horizontaal | prEN-ontwerp |
| EN 40000-1-1 | – | Woordenlijst | Niet in M/606 | Aangenomen |
| Technisch rapport (TR) | – | Proof of concept: EN 18037 voor de CRA (nummer volgt nog) | Niet in M/606 | prEN-ontwerp |
| Technische specificatie (TS) | – | Richtlijn: EN 18037 toepassen voor de CRA (nummer volgt nog) | Niet in M/606 | prEN-ontwerp |
Officiële bronnen: de projectstatus in de zoekfunctie van CEN-CENELEC. Ontwerpen in enquête en gepubliceerde normen krijgt u via uw nationale normalisatie-instituut; in Nederland toont NEN Connect open ontwerpen met een gratis account. Achtergrond bij de commissie: stan4cra.eu.
Verticale normen: ETSI TC CYBER
ETSI schrijft 17 van de productspecifieke normen in de reeks EN 304 6xx, de meeste voor producten in klasse I. ETSI keurt ze goed in één gecombineerde enquête en stemming. Voor tien ervan sloot die stemming tussen half september en half oktober; de uitslag en publicatie volgen nog, daarom staan ze als EN-ontwerp vermeld. De stemmingen over de andere zeven sluiten uiterlijk half november. Twee gaan over producten in klasse II: hypervisors en container-runtimes (EN 304 635) en firewalls en systemen voor inbraakdetectie en -preventie (EN 304 636). EN 304 642 voor telecomnetwerkfuncties valt buiten M/606.
| Norm | M/606 | Productcategorie | Klasse | Fase |
|---|---|---|---|---|
| EN 304 617 | #17a+b | Browsers | Klasse I | prEN-stemming |
| EN 304 618 | #18 | Wachtwoordmanagers | Klasse I | EN-ontwerp |
| EN 304 619 | #19 | Antimalwaresoftware | Klasse I | EN-ontwerp |
| EN 304 620 | #20a | VPN-producten | Klasse I | prEN-stemming |
| EN 304 621 | #21a | Netwerkbeheersystemen | Klasse I | prEN-stemming |
| EN 304 622 | #22a | SIEM-systemen | Klasse I | prEN-stemming |
| EN 304 623 | #23 | Bootmanagers | Klasse I | EN-ontwerp |
| EN 304 624 | #24 | PKI en software voor het uitgeven van digitale certificaten | Klasse I | prEN-stemming |
| EN 304 625 | #25a | Fysieke en virtuele netwerkinterfaces | Klasse I | prEN-stemming |
| EN 304 626 | #26 | Besturingssystemen | Klasse I | prEN-stemming |
| EN 304 627 | #27a | Routers, modems en switches | Klasse I | EN-ontwerp |
| EN 304 631 | #31 | Virtuele assistenten | Klasse I | EN-ontwerp |
| EN 304 632 | #32 | Beveiligingsproducten voor smart homes | Klasse I | EN-ontwerp |
| EN 304 633 | #33 | Verbonden speelgoed | Klasse I | EN-ontwerp |
| EN 304 634 | #34 | Wearables | Klasse I | EN-ontwerp |
| EN 304 635 | #35 | Hypervisors en container-runtimes | Klasse II | EN-ontwerp |
| EN 304 636 | #36a | Firewalls, systemen voor inbraakdetectie en -preventie | Klasse II | EN-ontwerp |
| EN 304 642 | – | Telecomnetwerkfuncties | Niet in M/606 | prEN-ontwerp |
Officiële bronnen: de status per norm in het ETSI Work Programme, de ontwerpen in de open CRA-map van ETSI, en gepubliceerde ETSI-normen gratis te downloaden via etsi.org. Achtergrond bij de commissie: stan4cra.eu.
Halfgeleiders en vertrouwde chips: CLC/TC 47X
Vier normen behandelen microprocessors, microcontrollers en de beveiligde hardware waar ze deel van worden. Elke norm heeft twee nummers: het nummer EN 4000x-3 in de CRA-reeks en het nummer prEN 5076x waaronder ze is ontwikkeld.
| Norm | M/606 | Productcategorie | Klasse | Fase |
|---|---|---|---|---|
| EN 40001-3 / prEN 50765 | #28, #29 | Microprocessors en microcontrollers | Klasse I | EN-ontwerp |
| EN 40004-3 / prEN 50767 | #30 | FPGA’s en ASIC’s | Klasse I | prEN-stemming |
| EN 40002-3 / prEN 50766 | #37, #38 | Fraudebestendige microprocessors en microcontrollers | Klasse II | EN-ontwerp |
| EN 40003-3 / prEN 50764 | #41a | Platforms voor smartcards en secure elements | Kritiek | EN-ontwerp |
Officiële bronnen: de projectstatus in de zoekfunctie van CEN-CENELEC. Ontwerpen in enquête en gepubliceerde normen krijgt u via uw nationale normalisatie-instituut; in Nederland toont NEN Connect open ontwerpen met een gratis account. Achtergrond bij de commissie: stan4cra.eu.
Persoonlijke identificatiemiddelen: CEN/TC 224
| Norm | M/606 | Productcategorie | Klasse | Fase |
|---|---|---|---|---|
| EN 40000-10 | #16 | Identiteitsbeheer en beheer van geprivilegieerde toegang | Klasse I | EN-ontwerp |
| EN 40000-11 | #39 | Hardwareapparaten met security boxes | Kritiek | EN-ontwerp |
| EN 18330 | #41b | Smartcards en secure elements, applicatielaag | Kritiek | EN-ontwerp |
Officiële bronnen: de projectstatus in de zoekfunctie van CEN-CENELEC. Ontwerpen in enquête en gepubliceerde normen krijgt u via uw nationale normalisatie-instituut; in Nederland toont NEN Connect open ontwerpen met een gratis account. Achtergrond bij de commissie: stan4cra.eu.
Gateways voor slimme meters: CEN/CLC JTC 13 WG6
| Norm | M/606 | Productcategorie | Klasse | Fase |
|---|---|---|---|---|
| EN (nummer volgt) | #40 | Gateways voor slimme meters | Kritiek | prEN-ontwerp |
Officiële bronnen: de projectstatus in de zoekfunctie van CEN-CENELEC. Ontwerpen in enquête en gepubliceerde normen krijgt u via uw nationale normalisatie-instituut; in Nederland toont NEN Connect open ontwerpen met een gratis account. Achtergrond bij de commissie: stan4cra.eu.
Industriële (OT-)producten: CLC/TC 65X
De reeks EN 50770 geeft OT-versies van verschillende productcategorieën van ETSI, gebouwd op IEC 62443. Alle delen zijn in de fase prEN-ontwerp. EN 50770-1 is in twee delen gesplitst, één voor firewalls en één voor inbraakdetectie en -preventie. Daarnaast past de commissie drie IEC 62443-normen aan (de prAA-documenten) om ze op de CRA af te stemmen. Die wijzigingen zijn geen items van M/606, maar wie al gecertificeerd is tegen IEC 62443, doet er goed aan ze te volgen.
| Norm | M/606 | Productcategorie | Klasse | Fase |
|---|---|---|---|---|
| EN 50770-1-1 | #36b | Industriële firewalls | Klasse II | prEN-ontwerp |
| EN 50770-1-2 | #36b | Industriële inbraakdetectie en -preventie | Klasse II | prEN-ontwerp |
| EN 50770-2 | #21b | Netwerkbeheer | Klasse I | prEN-ontwerp |
| EN 50770-3 | #25b | Netwerkinterfaces | Klasse I | prEN-ontwerp |
| EN 50770-4 | #20b | VPN | Klasse I | prEN-ontwerp |
| EN 50770-5 | #27b | Routers en switches | Klasse I | prEN-ontwerp |
| EN 50770-6 | #22b | SIEM | Klasse I | prEN-ontwerp |
| EN IEC 62443-4-1/prAA | – | Veilige productontwikkelcyclus | Niet in M/606 | EN-ontwerp |
| EN IEC 62443-4-2/prAA | – | Technische eisen voor componenten | Niet in M/606 | EN-ontwerp |
| EN IEC 62443-3-3/prAA | – | Systeemeisen en securityniveaus | Niet in M/606 | NWI |
Officiële bronnen: de projectstatus in de zoekfunctie van CEN-CENELEC. Ontwerpen in enquête en gepubliceerde normen krijgt u via uw nationale normalisatie-instituut; in Nederland toont NEN Connect open ontwerpen met een gratis account. De IEC 62443-basisnormen staan in de IEC Webstore. Achtergrond bij de commissie: stan4cra.eu.
Wat u hiermee doet
Zoek uw productcategorie op in de tabellen. Is de norm door de enquêtestemming, vraag het ontwerp dan op bij uw nationale normalisatie-instituut en voer er nu een gap-assessment tegen uit.
Valt uw product in klasse I en is de norm nog in een vroege fase, plan dan voor beide uitkomsten: interne controle (module A) als de norm op tijd wordt vermeld, en een aangemelde instantie als dat niet lukt. De capaciteit van aangemelde instanties voor de CRA wordt nog opgebouwd, dus laat boeken is op zichzelf een risico.
Welke klasse u ook hebt, EN 40000-1-2 en EN 40000-1-3 zijn het waard om nu al toe te passen. Bij risicomanagement en kwetsbaarheidsbeheer zitten de meeste CRA-hiaten, en beide normen zijn bijna definitief. De EU CRA Compliance Journey bouwt uw risicobeoordeling en kwetsbaarheidsbeheer op deze normen.
Weet u niet in welke klasse uw product valt? Doe de gratis EU CRA Self Assessment of plan een gratis EU CRA Strategy Call.
Bronnen: statuslijst CRA van DIN/DKE, oktober 2026; werkprogramma ETSI TC CYBER, 16 oktober 2026. Fasen veranderen elke maand; dit overzicht geeft de status op de genoemde datum weer.