Wat is de Cyber Resilience Act (CRA)?

Wat is de Cyber Resilience Act? Het is de Europese verordening die cybersecurity-eisen stelt aan producten met digitale elementen: software en apparaten die verbinding maken met een ander apparaat of een netwerk. Denk aan een app, een router, een slimme thermostaat of een softwarepakket dat u installeert. De officiële Nederlandse naam is Verordening cyberweerbaarheid, maar in de praktijk spreekt men van de CRA.

Het doel is helder. Wie zo’n product maakt, zorgt dat het veilig is als het op de markt komt en dat het veilig blijft zolang het wordt gebruikt. Wie het doorverkoopt, controleert dat. De verantwoordelijkheid ligt daarmee bij de partij die het product het best kent: de maker.

Hieronder leest u waarom de CRA er is, welke data gelden, hoe producten worden ingedeeld en hoe de verordening zich verhoudt tot de Cyberbeveiligingswet. Hoe wij organisaties hierbij helpen, staat op onze pagina over de Cyber Resilience Act.

Waarom de Cyber Resilience Act er is

Tot de CRA was er geen Europese wet die voor alle software en verbonden apparaten beveiligingseisen stelde. De wetgever noemt in de verordening twee problemen. Veel producten zijn onvoldoende beveiligd en krijgen niet consequent beveiligingsupdates. En gebruikers hebben te weinig informatie om een veilig product te kiezen en het veilig te gebruiken.

De CRA maakt cybersecurity onderdeel van de CE-markering, die u kent van onder meer speelgoed en elektrische apparaten. Voor producten die vanaf 11 december 2027 op de markt komen, betekent dat logo ook: dit product voldoet aan de Europese cybersecurity-eisen. Cybersecurity wordt daarmee een voorwaarde om een product in de EU te verkopen.

De verordening kijkt bovendien verder dan het moment van verkoop. Een fabrikant moet kwetsbaarheden blijven verhelpen gedurende de ondersteuningsperiode, die in de regel minstens vijf jaar duurt. Een product dat bij levering veilig was maar daarna geen updates meer krijgt, voldoet dus niet.

De tijdlijn: wat geldt wanneer

De Cyber Resilience Act is op 10 december 2024 in werking getreden, als Verordening (EU) 2024/2847. De verplichtingen gaan gefaseerd in, zodat fabrikanten tijd hebben om zich voor te bereiden.

Sinds 11 juni 2026 gelden de regels voor aangemelde instanties: de onafhankelijke partijen die bepaalde producten extern mogen beoordelen. Sinds 11 september 2026 geldt de meldplicht voor fabrikanten. Op 11 december 2027 volgen alle overige eisen.

Let op het verschil tussen nieuwe en bestaande producten. De eisen voor ontwerp, documentatie en CE-markering gelden voor producten die vanaf 11 december 2027 op de markt komen. Een product dat daarvoor al in de handel was, valt er alleen onder als u het daarna ingrijpend wijzigt. Voor de meldplicht maakt dat niet uit: die geldt voor alle producten binnen de reikwijdte, ook voor wat u al jaren verkoopt.

Sinds september 2026: de meldplicht geldt al

Dit is het deel van de CRA dat nu al telt. Ontdekt een fabrikant dat een kwetsbaarheid in zijn product actief wordt misbruikt, dan meldt hij dat. Hetzelfde geldt voor een ernstig incident dat de beveiliging van het product raakt. Binnen 24 uur gaat er een eerste waarschuwing uit.

Is uw hoofdvestiging in Nederland, dan meldt u bij het NCSC, via MijnNCSC of het CRA-meldformulier. Het NCSC stuurt de melding door naar ENISA, het Europese agentschap voor cyberbeveiliging. Ook de CSIRT’s van andere lidstaten waar uw product te koop is, krijgen hem. Een CSIRT is een nationaal team dat incidenten behandelt.

In de praktijk is dit vooral een kwestie van organisatie. Iemand moet signalen over misbruik herkennen, snel kunnen beoordelen en mogen besluiten dat er gemeld wordt, ook buiten kantooruren. De termijnen en de inhoud van elke melding staan in de CRA-eisen. Een vaste route waarlangs onderzoekers kwetsbaarheden bij u melden, helpt ook. Zie responsible disclosure.

Vier categorieën producten

Niet elk product krijgt dezelfde toets. De CRA deelt producten in op basis van hun belangrijkste functie, en die indeling bepaalt hoe u aantoont dat u voldoet. Hoe hoger de categorie, hoe vaker een onafhankelijke partij meekijkt.

De lijsten staan in de bijlagen van de verordening. Klasse I omvat onder meer wachtwoordmanagers, VPN-producten, besturingssystemen, routers en slimme deursloten. Klasse II gaat onder meer over firewalls, systemen die inbraken detecteren of tegenhouden, en hypervisors. Kritiek zijn bijvoorbeeld smartcards, hardware met een beveiligingskastje en gateways voor slimme meters. Staat een product op geen van die lijsten, dan valt het in de standaardcategorie.

Het gaat om de kernfunctie. Zit er een onderdeel uit zo’n lijst in uw product verwerkt, zoals een ingebouwde browser, dan maakt dat uw product zelf nog niet belangrijk.

Wat de CRA in hoofdlijnen vraagt

De eisen staan in bijlage I van de verordening. Ze komen neer op drie dingen.

• Veilig ontwerpen. Een product komt op de markt zonder bekende misbruikbare kwetsbaarheden en met veilige standaardinstellingen. Beveiliging hoort bij het ontwerp, niet bij de laatste testronde.
• Kwetsbaarheden beheren. U weet welke onderdelen in uw product zitten, verhelpt kwetsbaarheden en levert gratis beveiligingsupdates zolang het product wordt ondersteund.
• Aantonen. U legt een technisch dossier aan, laat het product beoordelen, stelt een EU-conformiteitsverklaring op en brengt de CE-markering aan.

Veilig ontwerpen is in de kern wat security by design betekent. Nieuw is vooral dat u het moet kunnen aantonen. Per onderdeel uitgewerkt staat het in CRA-eisen. Of een verplichting bij u ligt, hangt af van uw rol als fabrikant, importeur of distributeur. Zie voor wie geldt de CRA.

De Cyber Resilience Act en de Cyberbeveiligingswet

De CRA wordt vaak in één adem genoemd met NIS2, in Nederland de Cyberbeveiligingswet (CBW). Ze vullen elkaar aan, maar kijken naar iets anders. De Cyberbeveiligingswet gaat over organisaties en hoe zij hun diensten beveiligen. De CRA gaat over producten en hoe die worden gemaakt en onderhouden.

Een softwarebedrijf kan onder allebei vallen: als fabrikant van een product onder de CRA, en als aanbieder van bijvoorbeeld beheerde ICT-diensten onder de Cyberbeveiligingswet. De meldplichten lopen dan naast elkaar. Valt u onder de CBW, dan bent u waarschijnlijk al geregistreerd op MijnNCSC. Dat maakt ook het melden onder de CRA eenvoudiger.

Voor afnemers werkt het andersom. De zorgplicht uit de Cyberbeveiligingswet vraagt aandacht voor beveiliging bij de aanschaf van systemen. Producten die aan de CRA voldoen, maken die afweging eenvoudiger. De Cyberbeveiligingswet is van kracht. Meer daarover leest u in wat is NIS2.

Toezicht in Nederland

De CRA is een verordening en geldt dus rechtstreeks, zonder omzetting in een Nederlandse wet. De nationale kant, zoals het toezicht, wordt geregeld in de Uitvoeringswet verordening cyberweerbaarheid. Daarin krijgt de Rijksinspectie Digitale Infrastructuur (RDI) de toezichtstaak.

De RDI meldt in Nederland ook de instanties aan die producten extern mogen beoordelen. Meldingen van fabrikanten lopen via het NCSC. Het NCSC is geen handhaver: het ontvangt meldingen, stuurt ze door en kan gebruikers informeren als een fabrikant dat niet tijdig doet.

De volledige tekst van de verordening, met alle bijlagen, vindt u op EUR-Lex. De Europese Commissie publiceerde in juli 2026 daarnaast praktische richtsnoeren met voorbeelden, te vinden via haar pagina over de CRA.

Waar u begint

Voor de meeste bedrijven begint het met drie vragen. Welke van onze producten vallen eronder? Welke rol hebben wij per product? En in welke categorie valt elk product? Daarna richt u de meldketen in, want die is nu al nodig.

Pas dan volgt het grotere werk: uw producten en processen naast bijlage I leggen en de verschillen wegwerken voor december 2027. Wie dat nu oppakt, kan het meenemen in de gewone releasecyclus. Dat geeft rust en voorkomt een haastproject vlak voor de datum.

Kijk daarbij ook naar uw leveranciers. Zit er software of hardware van anderen in uw product, dan heeft u hun informatie nodig, bijvoorbeeld over kwetsbaarheden en ondersteuningstermijnen. Hoe de CRA past tussen de andere normen en wetten, ziet u in het overzicht informatiebeveiliging.

Veelgestelde vragen over de Cyber Resilience Act

Wat is de Cyber Resilience Act in het kort?

Een Europese verordening die cybersecurity-eisen stelt aan software en apparaten met digitale elementen, gedurende hun hele levensduur. De officiële naam is Verordening (EU) 2024/2847, in het Nederlands Verordening cyberweerbaarheid. Producten die voldoen, dragen de CE-markering.

Is de CRA een richtlijn of een verordening?

Een verordening. Die geldt rechtstreeks in alle lidstaten, zonder dat er eerst een nationale wet nodig is. Dat is anders dan bij NIS2: die richtlijn is in Nederland omgezet in de Cyberbeveiligingswet. Voor de CRA regelt Nederland alleen de uitvoering, zoals het toezicht.

Moet ik mijn product laten certificeren?

Meestal niet. Voor producten in de standaardcategorie beoordeelt u zelf of het product voldoet. Een externe beoordeling is nodig bij klasse II, bij klasse I als u geen geharmoniseerde norm of Europese certificering volledig toepast, en bij kritieke producten.

Moet ik ook melden over producten die ik al jaren verkoop?

Ja. De meldplicht geldt sinds 11 september 2026 voor alle producten binnen de reikwijdte, ook als ze lang voor die datum op de markt kwamen. Volgens de richtsnoeren van de Europese Commissie blijft de meldplicht ook gelden als de ondersteuningsperiode van een product is afgelopen.

Wat levert de CRA mij als koper op?

Meer zekerheid bij de aanschaf. Vanaf december 2027 staat de CE-markering ook voor de Europese cybersecurity-eisen. U ziet bij aankoop tot wanneer een product beveiligingsupdates krijgt, en die updates zijn gratis. Dat maakt leveranciers vergelijken een stuk eenvoudiger.