De Cyber Resilience Act raakt meer bedrijven dan je denkt
Maak je een machine met een internetverbinding, een sensor die data doorstuurt of software die je aan klanten levert? Dan is de kans groot dat de Cyber Resilience Act (CRA) ook over jouw product gaat. Deze Europese wet stelt eisen aan de cybersecurity van digitale producten, en een deel van die eisen geldt nu al.
Twijfel je of de CRA voor jouw bedrijf geldt? Wij denken graag met je mee.
Wat is de Cyber Resilience Act?
De Cyber Resilience Act, in Nederland ook wel de cyberweerbaarheidsverordening genoemd, is Europese wetgeving voor de veiligheid van producten met digitale elementen. Het gaat om hardware, software en losse componenten die verbinding kunnen maken met een apparaat of netwerk. De eisen gelden niet alleen op het moment van verkoop, maar gedurende de hele levenscyclus van je product. Je moet dus ook na de verkoop kwetsbaarheden verhelpen en beveiligingsupdates leveren.
De CRA is in december 2024 in werking getreden. Sinds 11 september 2026 geldt de meldplicht voor actief misbruikte kwetsbaarheden en ernstige incidenten. Vanaf 11 december 2027 moeten alle producten die je op de Europese markt brengt aan de volledige eisen voldoen. In Nederland wordt de Rijksinspectie Digitale Infrastructuur (RDI) naar verwachting de toezichthouder. De uitvoeringswet die dat regelt, ligt op dit moment nog bij de Tweede Kamer.
Vier vragen die bepalen of de CRA voor jou geldt
Of je onder de Cyber Resilience Act valt, hangt niet af van je sector of de grootte van je bedrijf. Het hangt af van wat je op de markt brengt. Loop deze vier vragen langs:
- Maak, importeer of verkoop je een product dat verbinding maakt met een apparaat of netwerk, zoals een machine met remote monitoring, een slimme sensor of een app?
- Breng je dat product commercieel op de Europese markt, tegen betaling of als onderdeel van een verdienmodel?
- Ben je fabrikant, importeur of distributeur van dat product?
- Valt je product buiten eigen sectorregels, zoals die voor medische hulpmiddelen, voertuigen of de luchtvaart?
Beantwoord je alle vier de vragen met ja, dan valt jouw bedrijf onder de CRA. Vergeet daarbij de bijbehorende online diensten niet. Het portaal waarmee je klant zijn machine op afstand uitleest, telt ook mee. Juist in de maakindustrie zien we dat bedrijven zich vaak niet realiseren dat hun producten digitaal genoeg zijn om onder de wet te vallen.
Je rol bepaalt wat je moet doen
De zwaarste verplichtingen liggen bij de fabrikant, de partij die het product ontwikkelt of onder eigen naam verkoopt. Als fabrikant beoordeel je de risico’s van je product, ontwerp je het veilig en lever je beveiligingsupdates gedurende de ondersteuningsperiode, die in de regel minimaal vijf jaar is. Je stelt technische documentatie op, laat de conformiteit beoordelen en brengt de CE-markering aan.
Importeurs en distributeurs hebben vooral een controlerende rol. Zij gaan na of de fabrikant zijn werk heeft gedaan, bijvoorbeeld of de CE-markering en documentatie aanwezig zijn. Let wel op: verkoop je een product onder je eigen merknaam of wijzig je het ingrijpend, dan word je zelf als fabrikant gezien. Met alle verplichtingen die daarbij horen.
Waarom de meldplicht nu al aandacht vraagt
De meldplicht is het eerste onderdeel van de CRA dat geldt, en de termijnen zijn kort. Ontdek je dat een kwetsbaarheid in je product actief wordt misbruikt, of heb je te maken met een ernstig incident, dan doe je binnen 24 uur een eerste melding. Binnen 72 uur volgt een uitgebreidere melding en later een eindrapport. Meldingen lopen via het Europese meldplatform van ENISA en komen in Nederland terecht bij het Nationaal Cyber Security Centrum (NCSC).
Zo’n proces wil je niet op het moment zelf uitvinden. Wie doet de melding? Wie beoordeelt of iets ernstig genoeg is? Hoe informeer je je klanten? Dat leg je vooraf vast. Een vaste Security Officer as a Service helpt je om dit proces in te richten en houdt het actueel.
Zie de CRA als kans, niet als papierwerk
Bij LinkSecure kijken we vooral naar wat de CRA oplevert. De wet dwingt je om structureel na te denken over de kwaliteit en veiligheid van je product, van het eerste ontwerp tot de laatste update. Dat maakt je product sterker en betrouwbaarder, en klanten gaan daar steeds vaker naar vragen.
“De CRA is geen papieren verplichting, maar een kans om je product beter en veiliger te maken. Wie dat goed organiseert, bouwt er ook een sterkere klantrelatie mee op.”
Dennis Smit, LinkSecure
Er zit ook een commerciële kant aan. Je bent verplicht je product gedurende de ondersteuningsperiode veilig te houden, en beveiligingsupdates moeten kosteloos zijn. Die doorlopende zorg is wel een natuurlijk moment om met je klanten afspraken te maken over beheer, monitoring en ondersteuning. Zo wordt een eenmalige verkoop een langdurige relatie.
Hoe begin je vandaag?
Start met een overzicht van alle producten die je op de markt brengt, inclusief software en bijbehorende online diensten. Bepaal per product of het onder de CRA valt en welke rol je hebt. Richt daarna direct je meldproces in, want die verplichting loopt al. Pas dan volgt de gap-analyse: waar voldoet je product nog niet aan de eisen, en wat is er nodig om dat voor december 2027 op orde te hebben?
Voor de afbakening is de leidraad van de Europese Commissie een goed startpunt. Die verscheen in juli 2026, bevat veel praktijkvoorbeelden en besteedt specifiek aandacht aan het MKB. Een audit of een test door een ethical hacker laat zien waar je product nu staat. Voor bijbehorende webportalen geeft de Kwetsbaarheden Monitor doorlopend inzicht.
Samen bepalen waar jij staat
Weet je nog niet zeker of de Cyber Resilience Act voor jouw bedrijf geldt, of wil je weten wat er voor jouw product nodig is? Plan een vrijblijvende kennismaking. Dan kijken we samen naar je situatie en wat je als eerste moet regelen.
