123% meer gemelde CVE's per dag in 2026 dan vorig jaar.

Wat is de Cyber Resilience Act?

De EU-wet die cyberbeveiligingsregels stelt voor hardware- en softwareproducten, en wat die vraagt van de bedrijven die ze maken

De Cyber Resilience Act (CRA), Verordening (EU) 2024/2847, is een EU-verordening die verplichte cyberbeveiligingseisen stelt aan producten met digitale elementen: hardware en software die verbinding maken met een apparaat of netwerk, van routers en slimme apparaten in huis tot apps, besturingssystemen en softwarecomponenten die los worden verkocht. De verordening is op 10 december 2024 in werking getreden. Fabrikanten moeten sinds 11 september 2026 actief misbruikte kwetsbaarheden en ernstige incidenten melden, en de rest van de verordening geldt vanaf 11 december 2027.

Fabrikanten dragen de meeste verplichtingen. Ze beoordelen het cyberbeveiligingsrisico, bouwen producten volgens de essentiële eisen in bijlage I, houden een software bill of materials (SBOM) bij, handelen kwetsbaarheden af gedurende een ondersteuningsperiode van ten minste vijf jaar, doorlopen een conformiteitsbeoordeling en brengen de CE-markering aan. Importeurs en distributeurs controleren of dit is gebeurd. Boetes lopen op tot €15 miljoen of 2,5% van de wereldwijde jaaromzet.

CRACI automatiseert een aanzienlijk deel van het bewijs dat deze verplichtingen vragen: het legt de componenten die elke build binnenhaalt vast als SBOM, toetst ze na de levering opnieuw aan nieuwe kwetsbaarheden en exporteert auditbewijs voor uw technische documentatie. Wanneer een kwetsbaarheid moet worden gemeld, dient CRACI de CRA-meldingen namens u in bij de autoriteiten. Zie hoe CRACI CRA-naleving ondersteunt.

What the Cyber Resilience Act asks manufacturers to do

De reikwijdte van Verordening (EU) 2024/2847, de data waarop die van toepassing wordt, de meldtermijnen en waar de verplichtingen voor de SBOM en de afhandeling van kwetsbaarheden staan.

Petteri Pulkkinen en Erika Marttinen op Kubernetes Community Days Helsinki 2026, 8:03 tot 15:20 van SBOMbastic: Getting Ready for Upcoming EU Cybersecurity Regulation in Software Supply Chains.

Belangrijke data

DatumWat er gebeurt
23 oktober 2024 Verordening (EU) 2024/2847 aangenomen door het Europees Parlement en de Raad
20 november 2024 Gepubliceerd in het Publicatieblad van de Europese Unie
10 december 2024 In werking getreden
11 juni 2026 Regels voor de aanmelding van conformiteitsbeoordelingsinstanties (hoofdstuk IV) gaan gelden
11 september 2026 Melding van actief misbruikte kwetsbaarheden en ernstige incidenten (artikel 14) gaat gelden, ook voor producten die al op de markt zijn
11 december 2027 De rest van de verordening gaat gelden

Belangrijkste aspecten van de CRA

Verplichte beveiligingseisen

Producten moeten voldoen aan de essentiële cyberbeveiligingseisen in bijlage I wanneer ze in de handel worden gebracht en gedurende de hele ondersteuningsperiode.

Risicogebaseerde indeling

De meeste producten vallen in de standaardcategorie. Belangrijke en kritieke producten krijgen strengere routes voor conformiteitsbeoordeling.

Afhandeling van kwetsbaarheden

Fabrikanten houden een SBOM bij, verhelpen kwetsbaarheden onverwijld en melden actief misbruikte kwetsbaarheden binnen 24 uur.

CE-markering

Na een conformiteitsbeoordeling ondertekent de fabrikant een EU-conformiteitsverklaring en brengt hij de CE-markering aan.

Documentatie en transparantie

Technische documentatie wordt ten minste 10 jaar of gedurende de ondersteuningsperiode bewaard, en gebruikers horen wanneer de ondersteuning eindigt.

Markttoezicht

Nationale autoriteiten kunnen documentatie opvragen, corrigerende maatregelen of terugroepacties bevelen en boetes opleggen.

The CRA timeline is ticking

Key milestones you need to prepare for under the Cyber Resilience Act.

Notified body rules apply
June 2026
Vulnerability reporting enforcement
September 2026
We are here
Full application of the CRA act
December 2027
€15M
maximum fine, or 2.5% of global annual turnover
24 hours
to send an early warning of an actively exploited vulnerability
72 hours
to follow up with a full vulnerability notification

Voor wie geldt de CRA?

Fabrikanten

Iedereen die een product met digitale elementen ontwikkelt of vervaardigt, of laat maken, en het onder de eigen naam of het eigen merk op de markt brengt, tegen betaling of gratis. Fabrikanten buiten de EU vallen eronder wanneer ze in de EU verkopen.

Importeurs en distributeurs

Importeurs en distributeurs moeten controleren of een product de CE-markering heeft en of de fabrikant aan zijn verplichtingen heeft voldaan voordat ze het in de EU op de markt aanbieden.

Open-sourcesoftware

Alleen open source die in het kader van een commerciële activiteit wordt geleverd, valt eronder. Open-source software stewards vallen onder een licht regime, en fabrikanten blijven verantwoordelijk voor de open-sourcecomponenten die ze inbouwen.

Software- en SaaS-aanbieders

Software die als product wordt verkocht, valt eronder, net als de cloudbackend die een product nodig heeft om te werken. Software as a service op zichzelf valt onder NIS2 en niet onder de CRA.

Buiten het toepassingsgebied: producten die al vallen onder de EU-regels voor medische hulpmiddelen, in-vitrodiagnostiek en typegoedkeuring van voertuigen, gecertificeerde luchtvaartproducten, scheepsuitrusting, identieke reserveonderdelen en producten die uitsluitend zijn gebouwd voor nationale veiligheid of defensie (artikel 2).

Productcategorieën en conformiteitsbeoordeling

Elke fabrikant voert een conformiteitsbeoordeling uit voordat een product in de handel wordt gebracht. De route hangt af van de categorie van het product.

CategorieVoorbeeldenConformiteitsbeoordeling
Standaard De meeste producten met digitale elementen die niet in bijlage III of IV staan Zelfbeoordeling (interne controle) is toegestaan
Belangrijk, klasse I (bijlage III) Identiteits- en toegangsbeheer, browsers, wachtwoordmanagers, VPN's, besturingssystemen, routers en switches, beveiligingsproducten voor het slimme huis Zelfbeoordeling alleen wanneer geharmoniseerde normen, gemeenschappelijke specificaties of een certificeringsregeling worden toegepast; anders een aangemelde instantie
Belangrijk, klasse II (bijlage III) Hypervisors en containerruntimes, firewalls en inbraakdetectiesystemen, manipulatiebestendige microprocessors en microcontrollers Beoordeling door een derde partij via een aangemelde instantie, of een Europese cyberbeveiligingscertificeringsregeling
Kritiek (bijlage IV) Hardwareapparaten met security boxes, slimme-metergateways, smartcards en secure elements Een Europees cyberbeveiligingscertificaat waar de Commissie dat vereist; anders beoordeling door een derde partij

Essentiële eisen

Bijlage I stelt twee groepen essentiële eisen. De eerste gaat over het product zelf, op basis van een gedocumenteerde cyberbeveiligingsrisicobeoordeling:

  • Geen bekende misbruikbare kwetsbaarheden wanneer het product in de handel wordt gebracht
  • Een standaard veilige configuratie
  • Beveiligingsupdates, waar van toepassing standaard automatisch
  • Bescherming tegen ongeautoriseerde toegang en van de vertrouwelijkheid en integriteit van gegevens
  • Gegevensminimalisatie, beschikbaarheid van essentiële functies en een beperkt aanvalsoppervlak
  • Veilige, permanente verwijdering van gebruikersgegevens en instellingen

De tweede gaat over hoe de fabrikant kwetsbaarheden afhandelt:

  • Een SBOM die ten minste de afhankelijkheden op het hoogste niveau dekt
  • Kwetsbaarheden onverwijld verhelpen, met beveiligingsupdates los van functie-updates waar dat haalbaar is
  • Regelmatige beveiligingstests en -beoordelingen
  • Een beleid voor gecoördineerde openbaarmaking van kwetsbaarheden en een contactpunt voor het melden van kwetsbaarheden
  • Openbaarmaking van verholpen kwetsbaarheden zodra er een update beschikbaar is
  • Veilige, kosteloze verspreiding van updates, met adviesberichten

Fabrikanten stellen ook een ondersteuningsperiode van ten minste vijf jaar vast, tenzij het product naar verwachting korter wordt gebruikt, houden elke beveiligingsupdate ten minste 10 jaar beschikbaar en bewaren de technische documentatie en de EU-conformiteitsverklaring ten minste 10 jaar of gedurende de ondersteuningsperiode, als die langer is (artikel 13).

Meldplichten en termijnen

Sinds 11 september 2026 melden fabrikanten actief misbruikte kwetsbaarheden en ernstige incidenten via het gemeenschappelijke meldplatform, tegelijk aan het CSIRT dat als coördinator is aangewezen in hun belangrijkste EU-lidstaat en aan ENISA (artikel 14). Dit geldt ook voor producten die al op de markt zijn.

StapActief misbruikte kwetsbaarheidErnstig incident
Vroegtijdige waarschuwing Binnen 24 uur nadat de fabrikant ervan op de hoogte is Binnen 24 uur nadat de fabrikant ervan op de hoogte is
Melding Binnen 72 uur, met details over het product, de exploit en eventuele mitigaties Binnen 72 uur, met een eerste beoordeling en eventuele mitigaties
Eindrapport Uiterlijk 14 dagen nadat een corrigerende of mitigerende maatregel beschikbaar is Binnen een maand na de melding van het incident

Fabrikanten moeten ook de getroffen gebruikers, en waar passend alle gebruikers, informeren over mitigerende maatregelen die ze kunnen nemen. Een termijn van 24 uur halen hangt ervan af of u binnen enkele uren weet welke producten en releases het kwetsbare component bevatten, en daar is een SBOM per release voor.

Sancties

De lidstaten stellen de sancties vast, binnen deze maxima (artikel 64). Markttoezichtautoriteiten kunnen ook corrigerende maatregelen, het uit de handel nemen of het terugroepen van een product bevelen.

OvertredingMaximale administratieve boete
Essentiële cyberbeveiligingseisen (bijlage I) en verplichtingen van fabrikanten (artikelen 13 en 14) Tot €15 miljoen of 2,5% van de totale wereldwijde jaaromzet, als dat hoger is
Andere verplichtingen, waaronder die van importeurs en distributeurs, de conformiteitsverklaring, de CE-markering, de technische documentatie en de conformiteitsbeoordeling Tot €10 miljoen of 2% van de totale wereldwijde jaaromzet, als dat hoger is
Onjuiste, onvolledige of misleidende informatie aan aangemelde instanties of markttoezichtautoriteiten Tot €5 miljoen of 1% van de totale wereldwijde jaaromzet, als dat hoger is

Micro- en kleine ondernemingen krijgen geen boete voor het missen van de termijn van 24 uur voor de vroegtijdige waarschuwing, en open-source software stewards krijgen voor geen enkele inbreuk een boete.

Open source en de CRA

Vrije en open-sourcesoftware valt er alleen onder wanneer die in het kader van een commerciële activiteit wordt geleverd, en een project hosten op een open repository of pakketbeheerder betekent op zichzelf niet dat het op de markt wordt aangeboden. Open-source software stewards, rechtspersonen zoals stichtingen die open-sourceprojecten voor commercieel gebruik ondersteunen, moeten een gedocumenteerd cyberbeveiligingsbeleid hebben, samenwerken met markttoezichtautoriteiten en actief misbruikte kwetsbaarheden melden voor zover ze bij de ontwikkeling betrokken zijn (artikel 24).

Voor fabrikanten is open source een component als elk ander. Ze moeten gepaste zorgvuldigheid betrachten bij de integratie, gevonden kwetsbaarheden melden aan het project dat het onderhoudt en fixes die ze ontwikkelen, delen (artikel 13). Daarom is de SBOM belangrijk: die legt vast welke open-sourcecomponenten, in welke versies, in elke release worden geleverd.

Wat de CRA betekent voor ontwikkelteams

Een product bestaat tegenwoordig vooral uit code van anderen: open-sourcebibliotheken, pakketten uit registries, base images voor containers, SDK's van derden, en de buildtools en CI/CD-pipelines die alles samenvoegen. De SolarWinds-aanval verliep via een buildsysteem, en Log4Shell was een kwetsbaarheid in een veelgebruikte bibliotheek; beide bereikten eindproducten. De CRA maakt de fabrikant voor dat alles verantwoordelijk, inclusief gepaste zorgvuldigheid bij de componenten van derden en open-sourcecomponenten die hij inbouwt (artikel 13).

In de praktijk doen teams die zich op de CRA voorbereiden het volgende:

  • Weten wat er in elke release wordt geleverd, door uit elke build een SBOM te maken in een machineleesbaar formaat zoals CycloneDX of SPDX in plaats van eenmalig bij de release
  • Uitgebrachte versies monitoren, niet alleen de main-branch, omdat een kwetsbaarheid die na de release wordt gevonden, tijdens de ondersteuningsperiode nog steeds onverwijld moet worden verholpen
  • Afspraken maken over afhankelijkheden: hoe nieuwe componenten worden gekozen en beoordeeld, hoe snel updates worden doorgevoerd en welke bevindingen een release blokkeren
  • De termijn van 24 uur oefenen: wie actief misbruik bevestigt, wie de vroegtijdige waarschuwing indient en wie gebruikers informeert
  • Bewijs gaandeweg bewaren, omdat buildrecords, SBOM's en testresultaten de technische documentatie voeden die ten minste 10 jaar moet worden bewaard

Zie de CRA-gids voor de eisen als stappenplan. Zie ook wat de CRA van een SBOM vraagt en hoe CRACI CRA-naleving ondersteunt.

Veelgestelde vragen over de Cyber Resilience Act

Korte antwoorden op de vragen die fabrikanten het vaakst over de CRA stellen

Wat is de Cyber Resilience Act?

De Cyber Resilience Act (CRA), Verordening (EU) 2024/2847, is een EU-verordening die verplichte cyberbeveiligingseisen stelt aan hardware- en softwareproducten met digitale elementen die op de EU-markt worden gebracht. De verordening maakt fabrikanten verantwoordelijk voor beveiliging, van het ontwerp tot en met een ondersteuningsperiode van ten minste vijf jaar, inclusief de afhandeling van kwetsbaarheden, een SBOM en de melding van actief misbruikte kwetsbaarheden.

Wanneer gaat de Cyber Resilience Act gelden?

De verordening is op 10 december 2024 in werking getreden. De meldplichten in artikel 14 gelden vanaf 11 september 2026, de regels voor conformiteitsbeoordelingsinstanties vanaf 11 juni 2026 en de rest van de verordening vanaf 11 december 2027.

Geldt de CRA voor software en SaaS?

Software die als product wordt verkocht of geleverd, valt eronder, inclusief apps, besturingssystemen, firmware en softwarecomponenten die afzonderlijk in de handel worden gebracht. Clouddiensten vallen er alleen onder als de gegevensverwerking op afstand van een product, bijvoorbeeld de cloudbackend waarmee u een slim apparaat in huis bedient. Software as a service op zichzelf valt in plaats daarvan onder NIS2 (overweging 12).

Geldt de CRA voor open-sourcesoftware?

Alleen voor open source die in het kader van een commerciële activiteit wordt geleverd. Niet-commerciële open-sourceprojecten vallen buiten het toepassingsgebied. Open-source software stewards, zoals stichtingen die projecten ondersteunen die voor commercieel gebruik zijn bedoeld, vallen onder een licht regime en kunnen geen boete krijgen. Fabrikanten die open-sourcecomponenten in hun producten inbouwen, blijven daar volledig verantwoordelijk voor.

Wat zijn de meldplichten van de CRA?

Fabrikanten melden actief misbruikte kwetsbaarheden en ernstige incidenten via het gemeenschappelijke meldplatform aan hun coördinerende CSIRT en ENISA: een vroegtijdige waarschuwing binnen 24 uur, een melding binnen 72 uur en een eindrapport binnen 14 dagen na een fix voor kwetsbaarheden of binnen een maand voor incidenten. Ze informeren ook de getroffen gebruikers.

Vereist de CRA een SBOM?

Ja. Bijlage I, deel II vereist een software bill of materials in een algemeen gebruikt, machineleesbaar formaat die ten minste de afhankelijkheden op het hoogste niveau dekt. De SBOM maakt deel uit van de technische documentatie en gaat op verzoek naar een markttoezichtautoriteit; hij hoeft niet te worden gepubliceerd.

Wat zijn de sancties volgens de CRA?

Tot €15 miljoen of 2,5% van de wereldwijde jaaromzet voor het schenden van de essentiële eisen of de verplichtingen van fabrikanten, tot €10 miljoen of 2% voor andere verplichtingen, en tot €5 miljoen of 1% voor het misleiden van autoriteiten. Micro- en kleine ondernemingen krijgen geen boete voor het missen van de termijn van 24 uur voor de vroegtijdige waarschuwing.

Geldt de CRA voor producten die al op de markt zijn?

De meldplichten wel, vanaf 11 september 2026. Verder vallen producten die vóór 11 december 2027 in de handel zijn gebracht alleen onder de CRA als ze na die datum ingrijpend worden gewijzigd.

Regel het bewijs dat uw CRA-proces nodig heeft

Zie hoe CRACI SBOM's uit uw builds vastlegt, monitort wat u hebt geleverd en CRA-meldingen namens u indient

Demo boeken Controleer of de CRA op u van toepassing is