De CRA voor IT-leveranciers
Wat IT-leveranciers moeten weten over de Cyber Resilience Act (CRA): beveiligingsregels voor hardware- en softwareproducten
Vanuit Europa komen er in hoog tempo verschillende digitale wetten op ons af. Dit artikel zoomt in op één van de cybersecurity-wetten: de CRA. Wat betekent deze wet voor IT-leveranciers?
Snel naar….
1. Doel van de Cyber Resilience Act (CRA)
De CRA stelt eisen aan de beveiliging van hardware- en softwareproducten die contact kunnen maken met andere producten. Het verplicht fabrikanten om deze producten veiliger te ontwerpen en ze gedurende de hele levenscyclus te onderhouden. De transparantieverplichtingen uit de wet zorgen ervoor dat gebruikers veilige producten kunnen kiezen en deze ook veilig kunnen gebruiken.
2. Voor welke producten geldt de CRA?
De CRA geldt effectief voor alle hardware- en softwareproducten die contact kunnen maken met een ander product of netwerk (in de wet ‘producten met digitale elementen’ genoemd). Dat is een zeer breed toepassingsgebied: dit loopt van een evenementen-app op je telefoon, tot de telefoon zelf, tot de robot in een productielijn en de besturingssoftware in een sluis. Het contact met een ander product of netwerk kan permanent zijn, draadloos, met een usb-stick of op andere manieren. De wet maakt vervolgens onderscheid tussen ‘gewone’ producten met digitale elementen, belangrijke producten met digitale elementen en kritieke producten met digitale elementen. Voor die laatste twee typen producten gelden strengere regels. Dat hebben we verder uitgewerkt onder het kopje ‘De conformiteitsbeoordelingsprocedure voor belangrijke en kritieke producten’.
Wanneer valt een gratis product onder de CRA?
De wet geldt voor producten die op de markt worden aangeboden of in de handel worden gebracht in de EU. Er moet dus sprake zijn van een commerciële activiteit. De CRA benadrukt dat hier niet alleen sprake van is als je een prijs rekent voor het product, maar bijvoorbeeld ook als gebruikers ‘betalen’ met persoonsgegevens die niet noodzakelijk zijn voor het functioneren van het product. Of wanneer een gratis app werkt met een betaalde dienstverlening. Er is bijvoorbeeld geen sprake van een commerciële activiteit als je producten gratis beschikbaar stelt zonder intentie winst te generen, of als producten slechts voor interne doeleinden worden ontwikkeld.
Open source, updates en uitzonderingen
De wet is van toepassing op ieder individueel product dat geleverd is (en dus niet alleen op een productielijn of productserie). En enkele uitzonderingen daargelaten (wanneer daar aparte regelgeving voor is, zoals auto’s en gezondheidszorg), maakt het niet uit in welke sector je actief bent of hoe groot je onderneming is. Verder geldt de wet zowel voor closed source als voor open source software. Tot slot geldt de wet voor nieuwe producten én substantiële updates van bestaande producten.
Meer informatie over de toepassing van de wet is te vinden in de richtsnoeren van de Europese Commissie over de CRA.
3. Wanneer geldt de CRA niet?
- De CRA geldt voor producten, en niet voor diensten. De wet is dus niet van toepassing op software die als dienst wordt aangeboden (via een abonnement, zoals SaaS). Op SaaS (en andere vormen van remote data processing, zoals IaaS of PaaS) is overigens wel weer een uitzondering op de uitzondering: als zonder de SaaS-dienst (of andere remote data processing) het product één van zijn functies niet kan vervullen, valt die dienst wel onder de CRA.
- Hardware- en softwareproducten die versimpeld gezegd niet commercieel aangeboden worden, vallen niet onder de wet.
- De CRA is niet van toepassing op enkele sectoren en toepassingen, waaronder producten voor medische hulpmiddelen, burgerluchtvaart, nationale veiligheid en defensie. Deze sectoren kennen hun eigen regelgeving.
4. Wie moet aan de CRA voldoen?
De hardware- en softwareproducten moeten aan verschillende vereisten voldoen. Dat is uitgewerkt in verplichtingen voor fabrikanten, importeurs en distributeurs van die producten. De fabrikant heeft de meeste verplichtingen. En er gelden weer iets strengere eisen voor importeurs dan voor distributeurs.
Let op: importeurs en distributeurs, of andere (rechts)personen, worden onder de CRA als fabrikant beschouwd zodra zij een product onder hun eigen naam of merk op de markt brengen, of een substantiële wijziging aan een product doorvoeren. Voor de CRA geldt net als bij bestaande productregelgeving: als het gaat om een niet in de EU-gevestigde fabrikant moet er een ‘marktdeelnemer’ in de EU gevestigd zijn als verantwoordelijke voor het product.
Wat is een opensourcesoftwaresteward?
Ook bevat de wet regels voor ‘opensourcesoftwarestewards’. Voor hen gelden enkele verplichtingen in het kader van commercieel én niet-commercieel aangeboden open source software (zie het kopje ‘Verplichtingen voor opensourcesoftwarestewards’). Een opensourcesoftwaresteward is een rechtspersoon (geen fabrikant) die ‘systematisch en duurzaam’ ondersteuning verleent voor de ontwikkeling van opensourcesoftware. Dit zijn stichtingen en entiteiten (met en zonder winstoogmerk) die vrije en opensourcesoftware ontwikkelen en publiceren in een zakelijke context, en bijvoorbeeld de samenwerkingsplatforms voor softwareontwikkeling hosten en beheren, broncodes of software hosten of de software of ontwikkeling daarvan beheren of aansturen.
Hieronder werken we de verplichtingen per rol uit (in een iets andere volgorde dan de wet zelf, de relevante wetsartikelen staan genoteerd). Ik ben een:
Deze content is alleen voor leden
Ben je nog geen lid van NLdigital maar ben je wel geïnteresseerd in meer informatie over het lidmaatschap? Lees hier meer over ons lidmaatschap.
Let op! Het kan zijn dat je na het inloggen wordt teruggestuurd naar de home-pagina – zoek dan deze pagina weer op via kennis & producten > CRA
12. De CRA meldplicht en vrijwillige meldingen
Fabrikanten moeten vanaf 11 september 2026 actief uitgebuite kwetsbaarheden en ernstige incidenten melden bij de bevoegde toezichthouders.
Een ‘actief uitgebuite kwetsbaarheid’ is een kwetsbaarheid waarvan er betrouwbaar bewijs bestaat dat een kwaadwillende partij deze heeft misbruikt in een systeem, zonder toestemming van de eigenaar van dat systeem. Dit geldt voor gepatchte en niet-gepatchte kwetsbaarheden. Kwetsbaarheden gaan dus over problemen ‘in het product’. De meldplicht geldt niet voor elke gevonden kwetsbaarheid of elke CVE. Kwetsbaarheden die ontdekt worden via intern onderzoek of responsible disclosure, maar die nog niet aantoonbaar zijn misbruikt, vallen buiten deze meldplicht.
Een ‘ernstig incident’ is een incident dat de beveiliging rondom het product zelf raakt. Dit gaat dus niet zozeer om problemen ‘in het product’. De wet legt uit dat het gaat om situaties waarbij het incident:
- de beschikbaarheid, authenticiteit, integriteit of vertrouwelijkheid van gevoelige of belangrijke gegevens of functies negatief beïnvloedt of kan beïnvloeden;
- leidt of kan leiden tot de introductie of uitvoering van kwaadaardige code in het product of in de netwerk- en informatiesystemen van een gebruiker.
Het kan dus gaan om het hacken van de organisatie die het product ontwikkelt, het hacken van een deployment/distributieserver of scenario’s als remote code execution (RCE) of supply chain-compromittering.
De CRA hanteert een getrapt systeem van meldingen met strikte deadlines. Alle termijnen lopen vanaf het moment dat je op de hoogte raakt van de kwetsbaarheid of het incident.
| Stap | Termijn | Inhoud |
| Early warning | Binnen 24 uur | Signalering van de kwetsbaarheid of het incident; indicatie in welke lidstaten het product beschikbaar is |
| Volledige melding | Binnen 72 uur | Algemene informatie over het product, de aard van de kwetsbaarheid of het incident, genomen en aanbevolen mitigerende maatregelen |
| Eindrapport (kwetsbaarheid) | Uiterlijk 14 dagen na beschikbaarheid van een patch of mitigerende maatregel | Volledige beschrijving inclusief ernst, eventuele informatie over de aanvaller en details over de beschikbaar gestelde fix |
| Eindrapport (incident) | Binnen 1 maand na de 72-uurs-melding | Volledige beschrijving van het incident en de genomen maatregelen |
Het NCSC kan tussentijds om aanvullende statusupdates vragen. Fabrikanten dienen zich voor te bereiden op actieve communicatie gedurende het hele proces, niet alleen op de formele meldmomenten.
Fabrikanten moeten een melding maken via een reporting platform dat werkt via nationale ingangspunten. Waar fabrikanten moeten melden is afhankelijk van het land waarin hun hoofdvestiging staat. De hoofdregel in de CRA is dat onder een hoofdvestiging wordt begrepen de lidstaat waar de besluiten met betrekking tot de cyberbeveiliging van het product hoofdzakelijk worden genomen (en is dus niet per se hetzelfde als de hoofdvestiging op basis van de KvK-inschrijving).
Indien de hoofdvestiging in Nederland staat, meldt de fabrikant via het ingangspunt van het NCSC (Nationaal Cyber Security Centrum), dat als aangewezen CSIRT fungeert. Eén melding volstaat: het NCSC en ENISA ontvangen de melding gelijktijdig, en het NCSC zorgt vervolgens voor verdere verspreiding naar de relevante CSIRTs in andere EU-lidstaten waar het product beschikbaar is. Er wordt ook gewerkt aan een Europees meldpunt dat gelegenheid geeft de melding gelijktijdig te doen bij meerdere landen (het CRA Single Reporting Platform).
Naast de melding bij de toezichthouder is de fabrikant ook verplicht om tijdig de getroffen gebruikers (en waar passend alle gebruikers) van het product zonder onnodige vertraging te informeren over de kwetsbaarheid of het incident, en waar relevant over de maatregelen die zij zelf kunnen nemen.
In bepaalde gevallen geldt er voor opensourcesoftwarestewards ook een meldplicht bij actief uitgebuite kwetsbaarheden en ernstige incidenten. Zie het kopje ‘Verplichtingen voor opensourcesoftwarestewards’.
Daarnaast kunnen fabrikanten en andere (rechts)personen vrijwillig elke kwetsbaarheid, cyberdreiging, incident en bijna-incident melden bij de CSIRT of Enisa.
13. Handhaving
A) Boetes
Als fabrikanten niet voldoen aan de inhoudelijke verplichtingen uit de wet kunnen zij een boete opgelegd krijgen van maximaal 15 miljoen euro (of 2,5% van de wereldwijde jaaromzet als dat hoger ligt).
Als fabrikanten niet voldoen aan een aantal procedurele verplichtingen, of wanneer importeurs en distributeurs niet aan hun verplichtingen uit de wet voldoen, kunnen zij een boete opgelegd krijgen van maximaal 10 miljoen (of 2% van de wereldwijde jaaromzet als dat hoger ligt).
Voor het verstrekken van onjuiste, onvolledige of misleidende informatie aan instanties en toezichthouders kan een boete opgelegd worden van maximaal 5 miljoen (of 1% van de wereldwijde jaaromzet als dat hoger ligt).
Op de boetes gelden twee uitzonderingen:
- Fabrikanten die micro- of kleine ondernemingen zijn krijgen geen boete als zij de termijnen voor een vroegtijdige waarschuwing van actief uitgebuite kwetsbaarheden of ernstige incidenten niet halen;
- Opensourcesoftwarestewards krijgen geen boetes opgelegd als zij niet aan hun verplichtingen voldoen. Zij kunnen wel verplicht worden tot het nemen van passende corrigerende maatregelen.
B) Ingrijpen door toezichthouder
Als de corrigerende maatregelen of het intrekken of terugroepen door fabrikanten, importeurs en distributeurs niet of niet op tijd worden doorgevoerd, kan de toezichthouder het aanbieden van het product verbieden of beperken. Ook kan de toezichthouder zelf het product uit de handel nemen of terugroepen. Daarnaast kan de toezichthouder ook verplichten om maatregelen te nemen bij producten die wél voldoen aan de wet, maar alsnog een significant beveiligingsrisico inhouden én een risico vormen voor onder andere de gezondheid of veiligheid van personen of de bescherming van grondrechten of het algemeen belang. Ook hier kan het gaan om corrigerende maatregelen, het product uit de handel nemen of terugroepen (zie de definitie van significant beveiligingsrisico onder 6.4).
14. Vanaf wanneer geldt de CRA?
De wet gaat in twee fases in. Vanaf 11 september 2026 is de incidentenmeldplicht voor fabrikanten van toepassing. Vanaf 11 december 2027 is de volledige wet van kracht.
15. Wat kan je nu al doen?
Zie voor meer informatie en ons advies over hoe je je kan voorbereiden op de meldplicht:
CRA-meldplicht: wat moet je weten vóór 11 september 2026?
Gerelateerde artikelen
ABRO 2026: wat de nieuwe beveiligingseisen betekenen voor leveranciers aan Rijksoverheid en Politie
Is jouw IT-onderneming verkoopklaar? Ontdek waar je staat
