Cyber Resilience Act — beveiligingseisen voor digitale producten

De CRA is productwetgeving: wie een product met digitale elementen op de Europese markt brengt, moet het veilig ontwerpen, kwetsbaarheden gedurende een toegezegde ondersteuningsperiode blijven verhelpen en dat met een CE-markering aantonen. Het gaat om hardware én losse software — van routers, camera’s en speelgoed tot besturingssystemen, wachtwoordmanagers en apps. Anders dan de Cyberbeveiligingswet, die eisen stelt aan hoe een organisatie zichzelf beveiligt, stelt de CRA eisen aan wat je verkoopt.

Waarvoor is dit bedoeld

Eén set beveiligingseisen voor alle digitale producten in de EU, zodat een koper erop kan vertrouwen dat een product veilig is ingericht en updates krijgt. De CE-markering is het bewijs; zonder markering mag het product niet op de markt.

Voor wie

Fabrikanten (ook wie een product onder eigen naam of merk laat maken), importeurs en distributeurs. Wie een product zó wijzigt dat de oorspronkelijke fabrikant dat niet had voorzien, wordt voor dat gewijzigde product zelf fabrikant — een enkele beveiligingsupdate telt niet als zo’n wijziging.

Wat is een product met digitale elementen

Een software- of hardwareproduct plus de bijbehorende oplossingen voor gegevensverwerking op afstand, inclusief onderdelen die los op de markt worden gebracht (art. 3, lid 1). Losse software valt er dus ook onder.

Wat er niet onder valt

Producten die al onder sectorale EU-regels vallen: medische hulpmiddelen (Verordening (EU) 2017/745 en 2017/746), motorvoertuigen (Verordening (EU) 2019/2144) en gecertificeerde civiele luchtvaart (Verordening (EU) 2018/1139). Ook producten die uitsluitend voor nationale veiligheid of defensie zijn gemaakt, en reserveonderdelen voor reparatie van bestaande producten. Losse cloud- en SaaS-diensten vallen onder NIS2, niet onder de CRA — alleen verwerking op afstand die door of namens de fabrikant bij het product hoort telt mee.

Open source

Niet-gemonetiseerde vrije en opensourcesoftware valt buiten het toepassingsgebied; wie los broncode bijdraagt is geen fabrikant. Voor ‘open-source software stewards’ — organisaties die structureel de ontwikkeling van zulke software dragen — geldt een lichter regime (art. 24): wel een beveiligingsbeleid en meldplicht, geen CE-markering en geen boetes (art. 64, lid 10).

Drie risicoklassen

Standaardproducten mogen zelf beoordelen. Voor ‘belangrijke’ producten (bijlage III, klasse I en II) is een aangemelde instantie in bepaalde gevallen nodig, vooral als geen geharmoniseerde norm is gevolgd. Voor ‘kritieke’ producten (bijlage IV) is een aangemelde instantie altijd verplicht.

Klasse I en II, wat zit erin

Klasse I onder meer: browsers, wachtwoordmanagers, antivirus, VPN’s, netwerkbeheer en SIEM, besturingssystemen, routers, modems en switches, slimme deursloten, camera’s en alarmen, met internet verbonden speelgoed en wearables. Klasse II: hypervisors en container-runtimes, firewalls en inbraakdetectie, en manipulatiebestendige microprocessors en -controllers. De technische omschrijving staat in Uitvoeringsverordening (EU) 2025/2392.

Kritieke producten

Hardwarebeveiligingsmodules, slimme-metergateways en smartcards of secure elements (bijlage IV).

Wat je moet doen

Voldoen aan de essentiële beveiligingseisen (bijlage I, deel I: onder meer veilig standaard ingericht, toegangsbeheer, versleuteling, updates) en aan de eisen voor kwetsbaarhedenbeheer (bijlage I, deel II). Daarbij horen technische documentatie, een softwarestuklijst (SBOM) die je op verzoek aan de toezichthouder kunt overleggen, en gratis beveiligingsupdates.

Ondersteuningsperiode

De fabrikant bepaalt zelf hoe lang hij kwetsbaarheden blijft verhelpen (art. 13, lid 8) en moet die einddatum bij aankoop duidelijk vermelden. Uitgangspunt is ten minste vijf jaar, tenzij het product korter meegaat; de Commissie kan per productcategorie een minimum vaststellen.

Meldplicht

Vanaf 11 september 2026. Actief misbruikte kwetsbaarheden en ernstige incidenten: 24 uur vroegtijdige waarschuwing → 72 uur melding → eindrapport binnen 14 dagen (kwetsbaarheid) of 1 maand (incident). Melden bij het CSIRT van het land van hoofdvestiging en ENISA, via één Single Reporting Platform (art. 14). Micro- en kleine ondernemingen kunnen geen boete krijgen voor het missen van de termijn van 24 uur.

Volledige toepassing

11 december 2027 — vanaf dan gelden de beveiligingseisen en de CE-markering voor producten die op de markt worden gebracht.

Toezicht NL

De Rijksinspectie Digitale Infrastructuur (RDI) wordt aangewezen als toezichthouder in de Uitvoeringswet verordening cyberweerbaarheid (Kamerstuk 36875).

Boete

Maximaal 2,5 procent van de wereldwijde jaaromzet van de fabrikant voor niet-naleving van de essentiële eisen (art. 64).