Voor wie geldt de Cyber Resilience Act?

De CRA geldt voor bedrijven die software of apparaten met digitale elementen op de Europese markt brengen of verkopen. Dat zijn fabrikanten, importeurs en distributeurs, en in lichtere vorm ook organisaties die opensourcesoftware ondersteunen. De omvang van uw bedrijf maakt niet uit. Uw rol bij een product wel.

Wat betekent de CRA voor wie software of hardware levert? Dat hangt af van twee vragen: valt het product onder de verordening, en welke rol heeft u bij dat product? Een organisatie die producten alleen gebruikt, heeft als gebruiker geen verplichtingen. Haar leveranciers wel.

Hieronder leest u per rol wat de verordening vraagt en hoe het zit met SaaS en open source. Een beslisroute helpt u uw positie te bepalen. Wat de verordening als geheel inhoudt, leest u in ons artikel over de Cyber Resilience Act.

Wat de CRA verstaat onder een product

Een product met digitale elementen is software of hardware die direct of indirect verbinding kan maken met een apparaat of netwerk. De definitie is breed. Het gaat om apps, desktopsoftware, firmware, routers en slimme apparaten. Ook losse componenten vallen eronder, zoals een chip of een softwarebibliotheek die apart wordt verkocht.

Twee dingen vallen in de regel buiten de definitie. Een website is geen product. Een webapplicatie die mensen alleen via hun browser gebruiken ook niet, zolang die geen functie van een ander product ondersteunt. Dat verduidelijken de richtsnoeren van de Europese Commissie uit juli 2026.

Daarnaast moet het product op de markt worden aangeboden: geleverd in het kader van een handelsactiviteit, tegen betaling of gratis. Ook een gratis app kan er dus onder vallen, bijvoorbeeld als u er op een andere manier aan verdient. Software die u uitsluitend voor eigen gebruik maakt en aan niemand levert, brengt u in de regel niet op de markt.

Vier rollen in de keten

De CRA verdeelt de verantwoordelijkheid over de keten. Wie het product maakt, draagt het meeste. Wie het verder verkoopt, controleert.

• Fabrikant. Wie een product ontwikkelt of laat maken en het onder eigen naam of merk op de markt brengt. De fabrikant voldoet aan alle eisen, stelt het technisch dossier op, brengt de CE-markering aan en valt onder de meldplicht.
• Importeur. Een bedrijf in de EU dat een product van een merk van buiten de EU op de markt brengt. De importeur controleert vooraf of de fabrikant zijn werk heeft gedaan: de beoordeling, het dossier, de CE-markering en de gebruikersinformatie.
• Distributeur. Elke andere partij in de keten die het product aanbiedt zonder het te veranderen, zoals een groothandel, reseller of webshop.
• Opensourcesoftwaresteward. Een organisatie, vaak een stichting, die opensourcesoftware voor commercieel gebruik structureel ondersteunt. Daarvoor geldt een lichter regime, met onder meer een eigen cyberbeveiligingsbeleid en samenwerking met de toezichthouder.

Een fabrikant kan daarnaast een gemachtigde vertegenwoordiger in de EU aanwijzen, die namens hem bepaalde taken uitvoert.

Ook distributeurs hebben verplichtingen

Distributeurs gaan er soms van uit dat de CRA alleen voor makers is. Dat klopt niet. De verplichtingen onder de CRA voor wie alleen doorverkoopt zijn lichter dan die van een fabrikant, maar ze zijn er wel.

Voordat u een product aanbiedt, controleert u of het de CE-markering heeft en of de vereiste informatie is meegeleverd. Denk aan contactgegevens, gebruiksinstructies, de einddatum van de ondersteuning en de conformiteitsverklaring.

Heeft u reden om aan te nemen dat een product niet voldoet, dan biedt u het niet aan totdat dat is opgelost. Hoort u van een kwetsbaarheid, dan informeert u de fabrikant zonder onnodige vertraging. Brengt het product een aanzienlijk risico met zich mee, dan meldt u dat ook bij de markttoezichthouder.

In de praktijk gaat het vooral om afspraken met uw leveranciers over documentatie en over hoe zij u op de hoogte houden. Voor een IT-dienstverlener die hardware en licenties doorverkoopt, wordt dat een vast onderdeel van de inkoop.

Wanneer u zelf fabrikant wordt

Hier zit de grootste verrassing voor importeurs en distributeurs. U wordt voor de CRA zelf fabrikant in twee situaties. De eerste is een product onder uw eigen naam of merk op de markt brengen. De tweede is een ingrijpende wijziging aan een product dat al op de markt is.

Het eerste speelt bij white label. Verkoopt u een router of app van een ander onder uw eigen merk, dan draagt u alle plichten van de fabrikant, inclusief de meldplicht.

Een ingrijpende wijziging raakt de naleving van de eisen, of verandert het doel waarvoor het product is beoordeeld. Volgens de richtsnoeren van de Commissie gaat het om veranderingen met nieuwe of grotere risico’s die niet in de oorspronkelijke risicobeoordeling zaten. Een gewone beveiligingsupdate is in de regel geen ingrijpende wijziging.

Een voorbeeld uit die richtsnoeren: een dashboard dat machinegegevens alleen toont, krijgt een functie om de machines op afstand bij te sturen. Doel en risico veranderen, dus dat is een ingrijpende wijziging. Wie dat doet bij het product van een ander, wordt fabrikant van het gewijzigde deel. Raakt de wijziging de beveiliging van het geheel, dan van het hele product.

Iets anders is integratie. Bouwt u met onderdelen van anderen een nieuw product onder eigen naam, dan bent u de fabrikant van dat nieuwe product.

SaaS en cloud: meestal de Cyberbeveiligingswet

Veel softwarebedrijven leveren hun software als dienst via de cloud. Voor de CRA is dat een wezenlijk verschil. Volgens de overwegingen van de verordening vallen clouddiensten zoals Software as a Service (SaaS) onder NIS2, in Nederland de Cyberbeveiligingswet. Of uw dienst daar echt onder valt, hangt onder meer af van uw omvang.

Er is één belangrijke uitzondering: gegevensverwerking op afstand. Heeft een product van u, zoals een app of slim apparaat, voor een van zijn functies uw eigen cloud nodig? Dan hoort die cloudfunctie bij het product en valt ze wel onder de CRA.

Neem een slimme thermostaat die u via de app van de fabrikant op afstand bedient. Zonder de cloud van de fabrikant werkt die bediening niet, dus de cloudfunctie valt onder de CRA. De algemene website van dezelfde fabrikant valt erbuiten. Of u onder de Cyberbeveiligingswet valt, leest u in voor wie geldt NIS2.

Open source: wanneer wel en wanneer niet

Opensourcesoftware die buiten een handelsactiviteit wordt gedeeld, valt niet onder de CRA. Wie code bijdraagt aan een project dat niet onder zijn verantwoordelijkheid valt, ook niet. En code alleen hosten op een platform is nog geen aanbieden op de markt.

Dat verandert als er geld aan wordt verdiend. Vraagt u een prijs voor opensourcesoftware, of maakt u die op een andere manier te gelde, dan bent u voor dat product fabrikant.

Verwerkt u als fabrikant open source in uw eigen product, dan verandert er ook iets. U gaat zorgvuldig om met componenten van anderen, ook met gratis opensourcecomponenten. Vindt u een kwetsbaarheid in zo’n component, dan meldt u die aan de beheerder en deelt u uw oplossing.

Wat buiten de CRA valt

Een aantal productgroepen heeft eigen Europese regels en valt daarom buiten de CRA.

• Medische hulpmiddelen. Inclusief hulpmiddelen voor in-vitrodiagnostiek; daarvoor gelden eigen Europese verordeningen.
• Voertuigen. Producten die onder de Europese typegoedkeuring voor motorvoertuigen vallen.
• Luchtvaart. Producten die zijn gecertificeerd onder de Europese regels voor burgerluchtvaart.
• Scheepsuitrusting. Uitrusting die onder de Europese richtlijn voor zeeschepen valt.
• Defensie en nationale veiligheid. Producten die uitsluitend daarvoor zijn ontwikkeld, of die bedoeld zijn voor gerubriceerde informatie.
• Identieke reserveonderdelen. Onderdelen die een identiek onderdeel vervangen en volgens dezelfde specificaties zijn gemaakt.

De uitzondering geldt voor het product dat onder de sectorregels valt, niet voor de hele sector. Een gezondheidsapp of wearable die geen medisch hulpmiddel is, valt gewoon onder de CRA. Wearables voor gezondheidsmonitoring staan zelfs op de lijst van belangrijke producten.

Een beslisroute in vijf vragen

Met deze vijf vragen bepaalt u per product waar u staat. Loop ze in deze volgorde langs, want elke vraag bouwt voort op de vorige.

Bent u fabrikant, dan gaat u aan de slag met de CRA-eisen. Daar hoort ook een beleid bij voor het melden van kwetsbaarheden, beter bekend als responsible disclosure. Bent u importeur of distributeur, dan richt u uw controles en leveranciersafspraken in.

Twijfelt u bij een product, leg dan vast hoe u tot uw oordeel bent gekomen. Die onderbouwing heeft u later nodig, bijvoorbeeld als een klant of de toezichthouder ernaar vraagt.

Veelgestelde vragen over voor wie de CRA geldt

Valt SaaS onder de CRA?

Meestal niet. Clouddiensten zoals SaaS vallen onder NIS2, in Nederland de Cyberbeveiligingswet. Is uw clouddienst nodig voor een functie van een product dat u levert, zoals de backend van een app? Dan hoort hij bij dat product en valt hij wel onder de CRA.

Geldt de CRA ook voor kleine bedrijven?

Ja, de CRA kent geen ondergrens in omvang. Wel zijn er tegemoetkomingen. Micro- en kleine ondernemingen mogen de technische documentatie in vereenvoudigde vorm aanleveren, en lidstaten zetten waar passend voorlichting en advies voor hen op.

Valt maatwerksoftware onder de CRA?

Dat kan. Levert u software die bij uw klant wordt geïnstalleerd of draait, dan brengt u een product op de markt. Dat geldt ook als het voor één klant is gemaakt. Een webapplicatie die de klant alleen via de browser gebruikt, valt er in de regel niet onder.

Moet ik als distributeur ook melden bij het NCSC?

De meldplicht bij het NCSC geldt voor fabrikanten. Als distributeur informeert u de fabrikant over kwetsbaarheden waarvan u hoort. Brengt een product een aanzienlijk risico met zich mee, dan meldt u dat bij de markttoezichthouder, in Nederland de Rijksinspectie Digitale Infrastructuur (RDI).

Is een webshop die apparaten verkoopt een distributeur?

Meestal wel, zolang de webshop het product ongewijzigd verkoopt. Haalt de webshop producten van een merk van buiten de EU zelf de EU in, dan is hij importeur. Verkoopt hij ze onder een eigen merk, dan is hij fabrikant.