De Cyber Resilience Act (CRA) is de EU-verordening, formeel Verordening (EU) 2024/2847, die cybersecurity-eisen stelt aan elke fabrikant van hardware of software met digitale elementen. De betekenis van CRA is dus letterlijk: een wet over de weerbaarheid van producten, niet van organisaties.
De CRA is op 10 december 2024 in werking getreden en geldt gefaseerd. De meldplicht gaat in op 11 september 2026, de meeste overige verplichtingen waaronder de CE-markering op 11 december 2027 (EUR-Lex, 2024).
De verordening geldt voor fabrikanten, importeurs en distributeurs van connected hardware en software die binnen de EU wordt verkocht.
Het is een productveiligheidsregel, geen norm voor de interne beveiliging van een organisatie zoals NIS2 of ISO 27001 dat wel zijn.
Bij overtreding kan een boete volgen tot 15 miljoen euro of 2,5 procent van de wereldwijde jaaromzet (EUR-Lex, 2024).
Begin daarom met een inventarisatie van welke producten je zelf ontwikkelt of op de markt brengt, zodat je weet of de CRA voor jou geldt en welke verplichtingen op je afkomen.
Wat is de Cyber Resilience Act?
De Cyber Resilience Act is de EU-verordening die cybersecurity-eisen stelt aan producten met digitale elementen: hardware en software met een directe of indirecte verbinding met een ander apparaat of netwerk. De verordening staat officieel bekend als Verordening (EU) 2024/2847 en is op 10 december 2024 in werking getreden (EUR-Lex, 2024).
De CRA is de eerste EU-brede wet die fabrikanten verplicht cybersecurity al bij het ontwerp van een product mee te nemen, in plaats van achteraf te patchen. Het uitgangspunt is dat een product zijn hele levensduur veilig te gebruiken moet blijven, niet alleen op het moment van aankoop (Europese Commissie, 2024).
Omdat de CRA een verordening is en geen richtlijn, geldt ze rechtstreeks in elke EU-lidstaat. Dat onderscheidt de CRA van NIS2, een richtlijn die eerst via een nationale wet wordt omgezet.
Voor wie geldt de CRA?
De CRA geldt voor fabrikanten, importeurs en distributeurs van hardware- en softwareproducten met digitale elementen die op de Europese markt worden gebracht.
- Fabrikanten: bedrijven die de producten ontwikkelen en op de markt brengen, dragen de meeste verplichtingen, van security-by-design tot de CE-markering.
- Importeurs: partijen die producten van buiten de EU op de Europese markt brengen, moeten controleren of de fabrikant aan de CRA voldoet.
- Distributeurs: partijen die producten verkopen of leveren binnen de EU, moeten controleren of het product de vereiste CE-markering en documentatie heeft.
De CRA richt zich op het product zelf, niet op de organisatie die het gebruikt. Een gewone eindgebruikersorganisatie, bijvoorbeeld een MKB-bedrijf dat IT-diensten afneemt, valt zelf niet onder de CRA. Wie zelf software ontwikkelt of connected hardware verkoopt binnen de EU, is voor die producten wel fabrikant in de zin van de CRA.
Is de CRA verplicht en vanaf wanneer?
Ja, de CRA is verplicht. Omdat het een verordening is, is de CRA direct van toepassing in elke EU-lidstaat, zonder dat daar eerst een nationale wet voor nodig is (EUR-Lex, 2024). De verplichtingen gelden volgens een gefaseerde tijdlijn:
- 10 december 2024: de verordening treedt in werking.
- 11 september 2026: de meldplicht voor actief misbruikte kwetsbaarheden en ernstige beveiligingsincidenten gaat in (EUR-Lex, 2024).
- 11 december 2027: de meeste overige verplichtingen gelden, waaronder de conformiteitsbeoordeling en de CE-markering (EUR-Lex, 2024).
Fabrikanten die nu al producten ontwikkelen, doen er goed aan ruim voor deze data te beginnen met security-by-design en een kwetsbaarhedenbeleid. Die processen staan niet van de ene op de andere dag.
Wat zijn de belangrijkste verplichtingen onder de CRA?
- Security-by-design en by-default: producten moeten al vanaf het ontwerp met een minimaal aanvalsoppervlak en veilige standaardinstellingen worden gebouwd.
- Kwetsbaarhedenbeheer en coordinated disclosure: een proces voor het opsporen, verhelpen en gecoordineerd openbaar maken van kwetsbaarheden.
- Verplichte beveiligingsupdates: gedurende de verwachte levensduur van het product, met een ondersteuningsperiode van minimaal 5 jaar tenzij de verwachte levensduur korter is (EUR-Lex, 2024).
- CE-markering: via een conformiteitsbeoordeling aantonen dat het product aan de verplichte cybersecurity-eisen voldoet.
De CRA-meldplicht
Fabrikanten moeten actief misbruikte kwetsbaarheden en ernstige beveiligingsincidenten melden bij ENISA. Een vroege waarschuwing volgt binnen 24 uur na constatering, een volledige melding binnen 72 uur (EUR-Lex, 2024). Die meldplicht gaat als eerste onderdeel van de verordening in, op 11 september 2026.
Let op het verschil met de meldplicht uit NIS2: die gaat over incidenten in je eigen organisatie en loopt via het CSIRT, terwijl de CRA-meldplicht over je product gaat en via ENISA loopt. Een softwareleverancier die onder beide valt, richt dus twee verschillende meldroutes in.
Welke ICT-maatregelen raakt de CRA?
De CRA reguleert het product, niet de organisatie. De ICT-laag waar ClickOn aan werkt, is daardoor smal en ondersteunend: de omgeving waarin software wordt gemaakt en de inkoopkant.
De conformiteitsbeoordeling en CE-markering, de SBOM en productdocumentatie, de ondersteuningsperiode, het meldproces richting ENISA en de secure-by-design-eisen in het productontwerp zelf vallen buiten die scope; daarvoor is gespecialiseerd productveiligheids- of compliance-advies nodig.
- Beveiliging van de ontwikkelomgeving: beheerde werkplekken, multifactorauthenticatie en toegangsbeheer voor ontwikkelaars.
- Toegang tot broncode en build-omgeving: rolgebaseerde toegang en conditional access via Entra ID.
- Kwetsbaarhedenbeheer in de eigen omgeving: patch- en kwetsbaarhedenbeheer via Intune.
- Detectie van incidenten: monitoring en response via de Defender-suite, zodat een incident binnen de meldtermijn wordt opgemerkt.
- Inkoop van conforme producten: zicht op gebruikte software en apps via Defender for Cloud Apps, relevant voor wie als afnemer wil weten of producten CRA-conform zijn.
Belangrijke begrippen uit de CRA
- Product met digitale elementen: hardware of software met een directe of indirecte verbinding met een ander apparaat of netwerk.
- Fabrikant: de partij die het product ontwikkelt en onder eigen naam op de markt brengt; draagt de meeste verplichtingen.
- Security-by-design: beveiliging meenemen vanaf het ontwerp in plaats van achteraf toevoegen.
- SBOM: Software Bill of Materials, het overzicht van alle componenten in een product, nodig om kwetsbaarheden te kunnen traceren.
- Coordinated disclosure: het gecoordineerd melden en openbaar maken van gevonden kwetsbaarheden.
- Ondersteuningsperiode: de periode waarin de fabrikant beveiligingsupdates levert, minimaal 5 jaar tenzij de levensduur korter is.
- CE-markering: het merkteken waarmee de fabrikant bevestigt dat het product aan de eisen voldoet.
- ENISA: het Europese agentschap voor cyberbeveiliging, waar de CRA-meldingen naartoe gaan.
Norm-overstijgende ICT-begrippen die bij de CRA terugkomen:
- Cyberincident
- Cyberrisico
- Netwerk- en informatiesysteem
- Softwarekwetsbaarheid
- Patchmanagement en kwetsbaarhedenbeheer
- Beveiliging bij inkoop en ontwikkeling
- Meldplicht
- Toegangsbeheer
- Monitoring en logging
- ICT-product, ICT-dienst en ICT-proces
De CRA vergeleken met andere normen en wetten
De CRA overlapt qua doel met NIS2 en ISO 27001, maar regelt een ander niveau: het product in plaats van de organisatie. Per norm staat de volledige vergelijking op een eigen vergelijkingspagina:
- CRA en de EU AI Act
- CRA en NIS2
- CRA en ISO 27001
- CRA en NEN 7510
Kort het belangrijkste onderscheid: NIS2 stelt eisen aan de interne beveiliging van organisaties, de CRA aan de producten die een fabrikant op de markt brengt. Een softwareleverancier kan met beide te maken krijgen, en dan gelden ze naast elkaar.
Zo helpt ClickOn met de CRA
De CRA is in de kern een verplichting voor fabrikanten, niet voor de organisaties die producten gebruiken. Voor de meeste ClickOn-klanten geldt de CRA daarom niet rechtstreeks: zij nemen producten met digitale elementen af, maar brengen ze zelf niet op de Europese markt.
Ontwikkel of verkoop je zelf software of connected hardware, dan ben je voor die producten fabrikant in de zin van de CRA. Security-by-design in de ontwikkelstraat, de conformiteitsbeoordeling en de CE-markering vallen buiten het IT-beheer dat ClickOn levert; daarvoor is gespecialiseerd productveiligheids- of compliance-advies nodig.
Wat ClickOn wel doet, is de organisatorische informatiebeveiliging eronder op orde brengen: beheerde werkplekken voor ontwikkelaars, toegangsbeheer op broncode en build-omgeving, kwetsbaarhedenbeheer en monitoring. Dat fundament maakt het voor een softwareleverancier makkelijker om de kwetsbaarhedenbeheer- en meldprocessen in te richten die de CRA eist. ClickOn is zelf ISO 27001-gecertificeerd sinds 2021 en doorstond meer dan 25 audits met een slagingspercentage van 100 procent.
De Compliance Sprint brengt de technische maatregelen en de bewijsvoering in 30 dagen op orde, tegen een vaste prijs per werkplek. Met compliant werkplekbeheer (ClickOn Compliant MKB) blijft die basis daarna geborgd, voor 148 euro per werkplek per maand.
Veelgestelde vragen over CRA
Is de CRA verplicht?
Wat betekent CRA?
Voor wie geldt de CRA?
Wat houdt de CRA-meldplicht in?
Wat is het verschil tussen de CRA en NIS2?
Wat zijn de boetes bij overtreding van de CRA?
