De Cyber Resilience Act (CRA) maakt cybersecurity een voorwaarde voor de CE-markering. Vanaf 11 december 2027 mag een product met digitale elementen alleen op de EU-markt worden gebracht als de fabrikant kan aantonen dat het veilig is gebouwd en veilig wordt gehouden. Een deel van de wet geldt al: sinds 11 september 2026 moeten fabrikanten actief uitgebuite kwetsbaarheden en ernstige incidenten binnen 24 uur melden, voor elk product dat ze op de markt hebben.
Deze samenvatting is gebaseerd op mijn talk “Surviving EU CRA: what manufacturers must prove” op BSides Krakow in september 2026.
Een verordening, geen richtlijn
De CRA is een EU-verordening, net als de AVG. Dat bepaalt hoe u plant:
| EU-verordening (CRA, AVG) | EU-richtlijn (NIS2) | |
|---|---|---|
| Rechtstreeks van toepassing | Ja | Nee, vraagt om nationale wetgeving |
| Uniform in de hele EU | Volledig | Verschilt per lidstaat |
| Bindend | Volledig | Wat de doelen betreft |
| Ruimte voor nationale verschillen | Geen | Ja |
De twee wetten beschermen ook verschillende dingen. NIS2 beschermt vitale sectoren, de organisaties die daarin actief zijn en iedereen die afhankelijk is van hun continuïteit. De CRA beschermt consumenten en bedrijven door ervoor te zorgen dat de producten die ze kopen gedurende hun hele levenscyclus veilig zijn. Een organisatie kan onder beide vallen: onder NIS2 als exploitant, onder de CRA als fabrikant.
De CRA is op 20 november 2024 in het Publicatieblad verschenen en op 10 december 2024 in werking getreden.
Waar de CRA voor geldt
De CRA geldt voor producten met digitale elementen: “een software- of hardwareproduct en de bijbehorende oplossingen voor gegevensverwerking op afstand, met inbegrip van software- of hardwarecomponenten die afzonderlijk in de handel worden gebracht”.
In de praktijk is dat bijna alles met software erin: consumentenelektronica, software in een doos of als download, engineeringapplicaties zoals CAD, smart-homesystemen, verbonden industriële machines en de cloudbackends die die producten nodig hebben. Afzonderlijk verkochte componenten, zoals libraries of chips, zijn zelf ook producten.
Sommige sectoren zijn uitgezonderd omdat ze hun eigen productveiligheidsregels hebben: medische hulpmiddelen en medische hulpmiddelen voor in-vitrodiagnostiek, motorvoertuigen, burgerluchtvaart, uitrusting van zeeschepen en producten die uitsluitend voor nationale veiligheid of defensie zijn ontwikkeld. Spoor staat niet op de uitzonderingslijst. Dat maakt het een grijs gebied dat u per product moet nagaan. Pure SaaS valt buiten de CRA, tenzij het de gegevensverwerking op afstand van een product is.
“In de handel brengen” bepaalt wanneer de regels gelden
Een product wordt in de handel gebracht wanneer een fabrikant of importeur het voor het eerst levert aan een distributeur of eindgebruiker in de EU. Op dat moment gelden de regels, per afzonderlijk exemplaar. Een apparaat dat op 10 december 2027 uw magazijn verlaat, hoeft niet aan de CRA te voldoen; een identiek exemplaar dat een dag later vertrekt wel.
Er is één belangrijke uitzondering. De meldplichten gelden voor elk product binnen de scope, ook voor producten die lang vóór december 2027 in de handel zijn gebracht. Uw geïnstalleerde basis valt er dus al onder.
De tijdlijn
| Datum | Wat er geldt | Status |
|---|---|---|
| 10 december 2024 | De CRA treedt in werking. | Gebeurd |
| 11 juni 2026 | Regels voor conformiteitsbeoordelingsinstanties. Lidstaten kunnen de instanties aanmelden die producten beoordelen. | Van kracht |
| 11 september 2026 | Melden van actief uitgebuite kwetsbaarheden en ernstige incidenten, voor alle producten binnen de scope. | Van kracht |
| 11 december 2027 | Alle verplichtingen. Nieuwe producten hebben een CE-markering nodig die cybersecurity omvat. | Komt eraan |
De productklasse bepaalt de conformiteitsroute
| Categorie | Voorbeelden | Conformiteitsbeoordeling |
|---|---|---|
| Standaard laagste risico | Algemene software en apps, kantoor-IT, slimme kantoorapparaten zonder beveiligingsfunctie, consumentenapparaten die zakelijk worden gebruikt. Ongeveer 90% van de producten. | Interne controle (module A). Een fabrikant mag vrijwillig kiezen voor beoordeling door een derde partij. |
| Belangrijk, klasse I verhoogd risico | Wachtwoordmanagers, browsers, besturingssystemen, SIEM-systemen, software voor identiteitsbeheer, VPN's, routers | Interne controle (module A) alleen als geharmoniseerde normen, gemeenschappelijke specificaties of Europese cyberbeveiligingscertificering volledig worden toegepast. Anders een aangemelde instantie. |
| Belangrijk, klasse II aanzienlijk risico op verstoring | Hypervisors en container-runtimes, firewalls en systemen voor inbraakdetectie of -preventie, ook industriële, fraudebestendige microprocessors en microcontrollers | Altijd een derde partij: een aangemelde instantie of Europese cyberbeveiligingscertificering. |
| Kritiek vitale infrastructuur | Gateways voor slimme meters, hardware security modules, smartcards en secure elements | Een Europees cyberbeveiligingscertificaat op zekerheidsniveau "substantieel" of hoger als de Commissie dat verplicht stelt; anders de route van klasse II. |
Voor producten in klasse I bepaalt de beschikbaarheid van geharmoniseerde normen of interne controle volstaat of dat u een aangemelde instantie nodig hebt. De normen worden nu afgerond; ons overzicht van de geharmoniseerde CRA-normen laat zien hoe ver elke norm is.
Wat fabrikanten moeten aantonen
Vanaf december 2027 heeft elk product nodig:
- een EU-conformiteitsverklaring
- technische documentatie, inclusief de cybersecurityrisicobeoordeling
- security by design en by default
- kwetsbaarheidsbeheer, inclusief een SBOM en een beleid voor coordinated vulnerability disclosure
- beveiligingseisen die uit die risicobeoordeling volgen
Twee getallen om rekening mee te houden. Fabrikanten moeten beveiligingsupdates leveren gedurende een ondersteuningsperiode van ten minste vijf jaar, tenzij het product naar verwachting korter wordt gebruikt. En ze moeten de technische documentatie en de conformiteitsverklaring tien jaar na het in de handel brengen beschikbaar houden voor de autoriteiten, of gedurende de ondersteuningsperiode als die langer is.
Er is geen checklist
Dit verrast de meeste managementteams. De CRA geeft u geen lijst met maatregelen om af te vinken. De wet stelt essentiële eisen en verwacht dat elke fabrikant zijn eigen redelijke eisen en maatregelen bepaalt, op basis van een risicoanalyse van zijn product. Twee producten in dezelfde categorie kunnen bij verschillende maatregelen uitkomen en allebei compliant zijn, zolang de redenering is vastgelegd.
Geharmoniseerde normen begeleiden dat proces en geven een vermoeden van conformiteit zodra ze in het Publicatieblad zijn vermeld. Ze nemen de noodzaak van uw eigen risicoanalyse niet weg.
De meldplicht geldt al
Sinds 11 september 2026 moeten fabrikanten actief uitgebuite kwetsbaarheden en ernstige incidenten die de beveiliging van hun producten raken, melden. Meldingen gaan via het centrale meldplatform van ENISA naar het nationale CSIRT dat als coördinator is aangewezen en naar ENISA:
- een vroegtijdige waarschuwing binnen 24 uur na kennisname
- een melding binnen 72 uur
- een eindrapport binnen 14 dagen nadat er een oplossing voor een kwetsbaarheid beschikbaar is, of binnen een maand voor een ernstig incident
Fabrikanten moeten ook de getroffen gebruikers informeren en vertellen hoe ze het probleem kunnen beperken. Een termijn van 24 uur is alleen haalbaar met een getest proces: iemand moet een melding als meldplichtig herkennen, de bevoegdheid hebben om haar in te dienen en weten waar.
Wat niet-naleving kost
| Overtreding | Maximale boete, het hoogste bedrag geldt |
|---|---|
| Niet voldoen aan de essentiële cyberbeveiligingseisen of de verplichtingen van de fabrikant, inclusief de meldplicht | €15 miljoen of 2,5% van de wereldwijde jaaromzet |
| Andere verplichtingen, zoals administratieve eisen | €10 miljoen of 2% van de wereldwijde jaaromzet |
| Onjuiste, onvolledige of misleidende informatie verstrekken aan aangemelde instanties of markttoezichtautoriteiten | €5 miljoen of 1% van de wereldwijde jaaromzet |
Het grootste risico is vaak niet de boete. Markttoezichtautoriteiten kunnen bevelen dat een niet-conform product uit de handel wordt genomen of wordt teruggeroepen. Zonder geldige CE-markering hebt u geen EU-markt.
Hoe u er komt
Compliance is een eigenschap van hoe u producten bouwt en onderhoudt, niet van een document dat u vlak voor de deadline schrijft. In de praktijk betekent het een veilige softwareontwikkelcyclus met bewijs in elke fase:
- Risicobeoordeling
- Threat modeling
- Beveiligingseisen
- Veilige implementatie
- SBOM
- Functionele en niet-functionele securitytests
- Veilige configuratie en gebruikersdocumentatie
- Continue monitoring van kwetsbaarheden bij derden
- Incident response
Een volwassenheidsmodel zoals OWASP SAMM geeft die levenscyclus structuur: u bepaalt waar u staat, stelt doelen per practice en laat voortgang over de tijd zien. Onze vergelijking van SAMM en BSIMM legt uit hoe u een model kiest.
Wat u nu kunt doen
- Zorg dat u vandaag al binnen 24 uur kunt melden. Die verplichting geldt nu al voor alles wat u op de markt hebt.
- Maak een lijst van uw producten met digitale elementen en deel elk product in: standaard, klasse I, klasse II of kritiek. De klasse bepaalt of u een aangemelde instantie nodig hebt, en de capaciteit van aangemelde instanties is beperkt.
- Voer een gap-assessment uit van uw ontwikkel- en kwetsbaarheidsprocessen ten opzichte van de essentiële eisen.
- Begin aan de risicobeoordelingen en de technische documentatie voor producten die u na december 2027 nog verkoopt.
- Bepaal wie eigenaar is van CRA-compliance. Het raakt engineering, productmanagement, juridische zaken, support en inkoop, en het mislukt als het bij één team blijft liggen.
Voor een eerste indicatie van waar u staat: doe de gratis EU CRA Self Assessment of plan een gratis EU CRA Strategy Call. Bent u klaar voor een gestructureerd programma, dan brengt de EU CRA Compliance Journey u van meldklaar naar CE-conformiteit. Voor een uitgebreidere uitleg van de verplichtingen leest u onze CRA-gids voor het mkb.