Gids Cyber Resilience Act
Een praktisch stappenplan voor de teams die producten met digitale elementen bouwen: wat u doet, wie eigenaar is en welk bewijs u bewaart. Lees wat de Cyber Resilience Act is voor wat de wet zegt.
Laatst bijgewerkt op 15 oktober 2026
What the Cyber Resilience Act asks manufacturers to do
De reikwijdte van Verordening (EU) 2024/2847, de data waarop die van toepassing wordt, de meldtermijnen en waar de verplichtingen voor de SBOM en de afhandeling van kwetsbaarheden staan.
Petteri Pulkkinen en Erika Marttinen op Kubernetes Community Days Helsinki 2026, 8:03 tot 15:20 van SBOMbastic: Getting Ready for Upcoming EU Cybersecurity Regulation in Software Supply Chains.
De stappen lopen ruwweg op volgorde, maar voor producten die al op de markt zijn, komen stap 5 tot en met 8 eerst, omdat de meldplicht daarvoor nu geldt.
Maak een lijst van elk product met digitale elementen dat u in de EU aanbiedt, inclusief software die los wordt verkocht en de cloudbackends die producten nodig hebben om te werken. Bevestig voor elk product dat het niet is uitgesloten (medische hulpmiddelen, voertuigen, luchtvaart, scheepsuitrusting, defensie) en of u de fabrikant, importeur of distributeur bent.
Controleer een product met de CRA Checker →De meeste producten vallen in de standaardcategorie. Vergelijk de uwe met de lijsten van belangrijke (bijlage III) en kritieke (bijlage IV) producten; Uitvoeringsverordening (EU) 2025/2392 geeft de technische beschrijvingen ervan. De categorie bepaalt of u zelf mag beoordelen of een aangemelde instantie of certificering nodig hebt.
Schrijf voor elk product een cyberbeveiligingsrisicobeoordeling. Die bepaalt hoe de essentiële eisen in bijlage I van toepassing zijn, en hoort in de technische documentatie thuis. Werk die bij wanneer het product of de dreigingen veranderen.
Bepaal hoelang u kwetsbaarheden voor elk product afhandelt: ten minste vijf jaar, tenzij het product naar verwachting korter wordt gebruikt. Vertel gebruikers wanneer de ondersteuning eindigt, en houd elke beveiligingsupdate ten minste 10 jaar beschikbaar.
De CRA vraagt om een software bill of materials in een algemeen gebruikt, machineleesbaar formaat die ten minste de afhankelijkheden op het hoogste niveau dekt. Door die te genereren in de build die de release oplevert, in plaats van eenmalig met de hand, blijft hij trouw aan wat is geleverd.
De rol van CRACI: CRACI legt de SBOM vast terwijl elke build draait, inclusief transitieve afhankelijkheden en pakketten die uit caches zijn teruggezet, en exporteert die als CycloneDX of SPDX.
Controleer gedurende de hele ondersteuningsperiode uitgebrachte versies, niet alleen de main-branch, op nieuwe kwetsbaarheden. Verhelp ze onverwijld, lever beveiligingsupdates kosteloos en, waar dat haalbaar is, los van functie-updates.
De rol van CRACI: CRACI toetst gemonitorde SBOM's na de levering opnieuw aan nieuwe kwetsbaarheden, en securityteams triëren bevindingen en sturen ze naar de teams die verantwoordelijk zijn voor de fix. Policy gates kunnen een build op bevindingen blokkeren.
Geef onderzoekers en klanten een contactpunt voor het melden van kwetsbaarheden en een beleid voor gecoördineerde openbaarmaking van kwetsbaarheden. Publiceer, zodra er een update beschikbaar is, informatie over de kwetsbaarheden die daarmee zijn verholpen.
Sinds 11 september 2026 vraagt een actief misbruikte kwetsbaarheid of ernstig incident om een vroegtijdige waarschuwing binnen 24 uur, een melding binnen 72 uur en een eindrapport, via het gemeenschappelijke meldplatform. Benoem wie actief misbruik bevestigt, wie de melding indient en wie gebruikers informeert. Het moeilijke deel is binnen enkele uren weten welke producten en releases het kwetsbare component bevatten.
De rol van CRACI: De buildgeschiedenis van CRACI toont welke builds een kwetsbare afhankelijkheid bevatten, de inventarisweergave toont welke versies op welke producten zijn uitgerold, en CRACI dient de CRA-meldingen namens u in.
Lever zonder bekende misbruikbare kwetsbaarheden en met een standaard veilige configuratie, bescherm gegevens en toegang, beperk het aanvalsoppervlak en maak beveiligingsupdates mogelijk, waar van toepassing standaard automatisch. Test en beoordeel de beveiliging regelmatig.
De rol van CRACI: CRACI dwingt een egressbeleid af voor wat builds mogen downloaden, en policy gates kunnen een build op bevindingen blokkeren.
Verzamel de technische documentatie die in bijlage VII is beschreven, voer de conformiteitsbeoordeling voor uw categorie uit, stel de EU-conformiteitsverklaring op en breng de CE-markering aan. Bewaar de documentatie en verklaring ten minste 10 jaar of gedurende de ondersteuningsperiode, als die langer is.
De rol van CRACI: CRACI exporteert SBOM's als CycloneDX of SPDX, inclusief de kwetsbaarheden die in hun componenten zijn gevonden, en de API levert SBOM's, netwerktraces en herkomstgegevens voor uw technische documentatie. De beoordeling en de verklaring blijven uw proces.
Markttoezichtautoriteiten kunnen om uw technische documentatie vragen. Dit is wat elke eis oplevert, en waar CRACI het uit uw builds vastlegt.
| Eis | Waar | Te bewaren bewijs | Van CRACI |
|---|---|---|---|
| Cyberbeveiligingsrisicobeoordeling | Artikel 13, bijlage I | Gedocumenteerde beoordeling per product | Uw proces |
| Geen bekende misbruikbare kwetsbaarheden bij de release | Bijlage I, deel I | Kwetsbaarheidsstatus van de releasebuild | SBOM van de releasebuild getoetst aan advisories; policy gates |
| Software bill of materials | Bijlage I, deel II | Machineleesbare SBOM per release | Vastgelegd uit elke build, CycloneDX of SPDX |
| Afhandeling van kwetsbaarheden gedurende de ondersteuningsperiode | Artikel 13, bijlage I, deel II | Bevindingen, triagebeslissingen, fixes, advisories | Doorlopende herbeoordeling, triage, VEX |
| Gepaste zorgvuldigheid bij componenten van derden | Artikel 13 | Componentrecords, inclusief ingekochte software | Leveranciers-SBOM's samen met uw eigen gemonitord; gedeclareerde licenties |
| Melden van misbruikte kwetsbaarheden en ernstige incidenten | Artikel 14 | Vroegtijdige waarschuwingen, meldingen, eindrapporten | Dient de meldingen namens u in |
| Ondersteuningsperiode | Artikel 13 | Gepubliceerde einddatum van de ondersteuning | Uw proces |
| Technische documentatie en verklaring | Artikel 13, bijlage VII | 10 jaar of gedurende de ondersteuningsperiode bewaard | SBOM-export en API-gegevens voor de documentatie |
Cyber Resilience Act
Gebruik deze checklist om eigenaarschap toe te wijzen en bewijs te verzamelen terwijl u producten met digitale elementen voorbereidt op de CRA.
Praktische vragen die teams stellen wanneer ze met de CRA beginnen
Voldoen aan de essentiële eisen in bijlage I op basis van een cyberbeveiligingsrisicobeoordeling, een SBOM bijhouden, kwetsbaarheden afhandelen gedurende een ondersteuningsperiode van ten minste vijf jaar, actief misbruikte kwetsbaarheden en ernstige incidenten melden, technische documentatie bewaren, een conformiteitsbeoordeling doorlopen en de CE-markering aanbrengen.
Bij scope en meldingen. Zoek uit voor welke producten de CRA geldt en zorg er daarna voor dat u de vroegtijdige waarschuwing binnen 24 uur voor een actief misbruikte kwetsbaarheid zou halen, want de meldplicht geldt sinds 11 september 2026, ook voor producten die al op de markt zijn. De rest geldt vanaf 11 december 2027.
Bijlage VII somt het op. Het omvat de cyberbeveiligingsrisicobeoordeling van het product, de SBOM en informatie over hoe de fabrikant kwetsbaarheden afhandelt. De documentatie wordt ten minste 10 jaar of gedurende de ondersteuningsperiode bewaard, als die langer is, en op verzoek aan markttoezichtautoriteiten verstrekt.
Nee. De SBOM maakt deel uit van de technische documentatie en gaat op verzoek naar een markttoezichtautoriteit. De verordening vereist geen publicatie.
Ja. Op 27 juli 2026 publiceerde de Europese Commissie niet-bindende richtsnoeren, C(2026) 5252, met 67 praktijkvoorbeelden. Ze behandelen gegevensverwerking op afstand, vrije en open-sourcesoftware, ingrijpende wijziging, ondersteuningsperioden, meldingen en risicobeoordeling. Uitvoeringsverordening (EU) 2025/2392 beschrijft de categorieën belangrijke en kritieke producten.
De verplichtingen zijn hetzelfde, maar micro- en kleine ondernemingen krijgen geen boete voor het missen van de termijn van 24 uur voor de vroegtijdige waarschuwing, en de richtsnoeren van de Commissie zijn geschreven met micro-ondernemingen en mkb-bedrijven in gedachten.
Nee. Voldoen aan de CRA is het proces van de fabrikant, inclusief de risicobeoordeling, de conformiteitsbeoordeling en de verklaring. CRACI automatiseert een aanzienlijk deel van het inzicht in de softwareketen en het bewijs dat dat proces nodig heeft: SBOM's van elke build, het volgen van kwetsbaarheden na de release en de CRA-meldingen.
Zie hoe CRACI van elke build een SBOM vastlegt, monitort wat u hebt geleverd en CRA-meldingen namens u indient