NIS2 vs CRA: het verschil en de overlap
NIS2 en de Cyber Resilience Act reguleren verschillende dingen. NIS2 stelt eisen aan organisaties, de CRA aan producten.
NIS2 is de Europese wet voor netwerk- en informatiebeveiliging, formeel Richtlijn (EU) 2022/2555. In Nederland is NIS2 omgezet in de Cyberbeveiligingswet (Cbw), die op 15 augustus 2026 in werking is getreden (Rijksoverheid, 2026).
De Cyber Resilience Act is Verordening (EU) 2024/2847 en geldt voor producten met digitale elementen: software, hardware en alles daartussenin dat op de Europese markt wordt aangeboden. Een verordening werkt rechtstreeks in elke lidstaat, dus zonder Nederlandse omzetting.
De verordening is van toepassing met ingang van 11 december 2027, met twee onderdelen die eerder gelden: de meldplicht van de fabrikant vanaf 11 september 2026 en de regels voor aangemelde instanties vanaf 11 juni 2026 (Cyber Resilience Act, art. 71 lid 2, 2024).
De vraag “welke van de twee geldt voor mij” heeft daarom een ander antwoord dan bij de andere normparen. Val je onder NIS2, dan gaat het om je dienstverlening. Val je onder de CRA, dan gaat het om wat je in de handel brengt.
Je valt wel onder NIS2 en niet onder de CRA als je software gebruikt in plaats van uitbrengt. Wie software onder eigen naam of merk in de handel brengt, is fabrikant, ook zonder fabriek en ook als de software gratis is (Cyber Resilience Act, art. 3 punt 13, 2024).
Wat de kaders wel verbindt, is de keten. NIS2 verplicht je de beveiliging van je rechtstreekse leveranciers te beoordelen; de CRA levert precies het bewijs waarmee die leveranciers dat kunnen aantonen.
Andersom stelt de CRA geen enkele eis aan je eigen bedrijfsvoering. Geen zorgplicht, geen meldplicht aan een toezichthouder over je eigen incidenten, geen registratieplicht.
NIS2 en CRA mappen
NIS2 en CRA mappen levert een smallere uitkomst op dan bij andere normparen, omdat de kaders verschillende objecten reguleren. De koppeling loopt via de keten.
NIS2 op de CRA mappen
NIS2 op de CRA mappen raakt twee van de tien maatregelcategorieën van de zorgplicht (Cyberbeveiligingswet, art. 21 lid 3, 2026).
| NIS2-maatregel (Cbw art. 21 lid 3) | Waar de CRA raakt | Wat de CRA daarvan levert | Waar het in je IT-omgeving landt |
|---|---|---|---|
| d. Beveiliging van de toeleveringsketen | De kern van de koppeling. Bij het kiezen van ketenmaatregelen weeg je de kwaliteit van de producten en de cyberbeveiligingspraktijken van je leveranciers mee, inclusief hun veilige ontwikkelingsprocedures (Cyberbeveiligingswet, art. 21 lid 4, 2026) | CE-markering, EU-conformiteitsverklaring en technische documentatie per product (Cyber Resilience Act, art. 13 lid 12, 2024) | Beheer van tenant-koppelingen en beoordeling van de producten die je inzet |
| e. Beveiliging bij het verwerven, ontwikkelen en onderhouden van systemen, inclusief de respons op en bekendmaking van kwetsbaarheden | Bijlage I deel II schrijft het kwetsbaarhedenproces van de fabrikant voor (Cyber Resilience Act, bijlage I deel II, 2024) | Een contactadres voor kwetsbaarheidsmeldingen en een beleid voor gecoördineerde openbaarmaking per product | Patchmanagement via Microsoft Intune, gevoed door de updates die de fabrikant levert |
| De overige acht categorieën | Geen raakvlak | Niets | De CRA stelt geen eisen aan jouw organisatie |
De rest van de zorgplicht heeft geen tegenhanger. De CRA zegt niets over je risicobeleid, je incidentbehandeling, je bedrijfscontinuïteit, je cryptografie of je toegangsbeheer, omdat die over jouw bedrijfsvoering gaan en niet over een product.
De CRA op NIS2 mappen
De CRA op NIS2 mappen levert alles op wat een product moet kunnen en wat een fabrikant moet doen. Daar heeft NIS2 geen enkele bepaling voor.
Een product mag alleen op de markt als het product zelf voldoet aan bijlage I deel I en de processen van de fabrikant aan bijlage I deel II (Cyber Resilience Act, art. 6, 2024). Deel I begint bij het ontwerp: het product wordt zo ontworpen, ontwikkeld en geproduceerd dat het een passend beveiligingsniveau op basis van de risico’s waarborgt (Cyber Resilience Act, bijlage I deel I punt 1, 2024). Daaruit volgen de concrete eisen: geen bekende uitbuitbare kwetsbaarheden bij het aanbieden, een standaard beveiligde configuratie en beveiligingsupdates die waar van toepassing automatisch en standaard ingeschakeld zijn (Cyber Resilience Act, bijlage I deel I punt 2, 2024).
Deel II gaat over het proces: de fabrikant handelt kwetsbaarheden af gedurende de ondersteuningsperiode van het product (Cyber Resilience Act, art. 13 lid 8, 2024).
De aanpak in drie stappen
- Vaststellen of je fabrikant bent in de zin van de verordening, of alleen afnemer (Cyber Resilience Act, art. 3 punt 13, 2024).
- Ben je afnemer, gebruik dan de CRA-documentatie van je leveranciers als bewijsmateriaal voor je ketenbeoordeling onder Cbw art. 21 lid 3 sub d.
- Ben je fabrikant, dan is de CRA een apart traject naast je Cbw-verplichtingen, met de conformiteitsroute die bij je productcategorie hoort (Cyber Resilience Act, art. 32, 2024).
Werkplekbeheer en Compliant
Audit-klaar wórden is stap één. Met compliant werkplekbeheer houd je het daarna aantoonbaar werkend, vaste prijs per werkplek, van MKB tot Enterprise.
Kies dit als je op je eigen Microsoft 365-licentie blijft en de technische basis op orde wilt: beheer, back-up, endpointbescherming en toegangsbeheer.
Kies dit als je naast de techniek ook je mensen wilt meenemen. Inclusief Business Premium en security awareness-training.
Kies dit als een opdrachtgever, tender of norm bewijs van je vraagt. Inclusief de Purview- en Defender-suites, monitoring en de rapportage waar een auditor om vraagt.
Kies dit als je organisatie uit Compliant MKB groeit en op Microsoft 365 E5 wilt draaien.
De belangrijkste verschillen tussen NIS2 en de CRA
Het belangrijkste verschil tussen NIS2 en de CRA is het object. NIS2 reguleert organisaties en hun diensten, de CRA reguleert producten en hun fabrikanten.
| Kenmerk | NIS2 | CRA |
|---|---|---|
| Vorm | Richtlijn, omgezet in de Cyberbeveiligingswet | Verordening, rechtstreeks werkend |
| Reguleert | Organisaties in aangewezen sectoren | Producten met digitale elementen |
| Richt zich tot | Essentiële en belangrijke entiteiten | Fabrikanten, importeurs en distributeurs |
| Kern van de plicht | Tien maatregelcategorieën voor je bedrijfsvoering (Cyberbeveiligingswet, art. 21 lid 3, 2026) | Producteisen uit bijlage I deel I en een kwetsbaarhedenproces uit bijlage I deel II (Cyber Resilience Act, art. 6, 2024) |
| Bewijs | Aantoonbaarheid richting de toezichthouder | CE-markering en EU-conformiteitsverklaring per product (Cyber Resilience Act, art. 13 lid 12, 2024) |
| Beoordeling | Zelf toetsen en registreren | Conformiteitsbeoordeling langs een van de routes van artikel 32, afhankelijk van de productcategorie met een aangemelde instantie (Cyber Resilience Act, art. 32, 2024) |
| Documentatie | Vorm vrij | Technische documentatie volgens bijlage VII, te bewaren ten minste tien jaar na het in de handel brengen of zolang de ondersteuningsperiode duurt, welke van de twee langer is (Cyber Resilience Act, art. 13 lid 13, 2024) |
| Meldplicht | Significante incidenten: vroegtijdige waarschuwing binnen 24 uur, melding binnen 72 uur, eindverslag uiterlijk één maand (Cyberbeveiligingswet, art. 26 lid 1, 27 lid 1 en 29 lid 1, 2026) | Actief uitgebuite kwetsbaarheden: vroegtijdige waarschuwing binnen 24 uur, kwetsbaarheidsmelding binnen 72 uur, eindverslag uiterlijk 14 dagen nadat de maatregel beschikbaar is (Cyber Resilience Act, art. 14 lid 2, 2024) |
| Registratie | Verplicht in het entiteitenregister van het NCSC (NCSC, 2026) | Geen entiteitenregistratie, wel productdocumentatie |
| Sanctie | Boete tot 10 miljoen euro of 2 procent van de wereldwijde jaaromzet voor een essentiële entiteit (Cyberbeveiligingswet, art. 80 lid 3, 2026) en tot 7 miljoen euro of 1,4 procent voor een belangrijke entiteit (Cyberbeveiligingswet, art. 87 lid 3, 2026), naast aanwijzing, openbaarmaking en schorsing van een bestuurder | Boete tot 15 miljoen euro of 2,5 procent van de wereldwijde jaaromzet bij niet-naleving van bijlage I en de artikelen 13 en 14 (Cyber Resilience Act, art. 64 lid 2, 2024), naast marktverbod en terugroepactie |
| Geldt sinds | 15 augustus 2026 (Rijksoverheid, 2026) | 11 december 2027, met de meldplicht van de fabrikant vanaf 11 september 2026 (Cyber Resilience Act, art. 71 lid 2, 2024) |
Zijn NIS2 en de CRA allebei verplicht?
NIS2 en de CRA zijn allebei verplicht, maar ze richten zich tot verschillende partijen. NIS2 verplicht organisaties die een dienst leveren, de CRA verplicht fabrikanten die een product met digitale elementen op de Europese markt brengen.
Maak je software of hardware en breng je die in de handel, dan is de CRA jouw kader. Gebruik je die producten in je dienstverlening, dan is de Cyberbeveiligingswet jouw kader en is de CRA vooral een bron van bewijs over je leveranciers.
Doe je allebei, dan gelden ze naast elkaar en vervangen ze elkaar niet.
Val je onder NIS2, onder de CRA of onder beide?
Je valt onder NIS2 als je een dienst levert in een aangewezen sector en onder de CRA als je een product met digitale elementen in de handel brengt. Die twee sluiten elkaar niet uit.
NIS2 kijkt naar je organisatie
De Cyberbeveiligingswet geldt voor essentiële en belangrijke entiteiten in de aangewezen sectoren die de drempel halen. Wat je maakt of verkoopt doet daarbij niet ter zake; het gaat om de dienst die je levert en de systemen waarmee je dat doet.
De CRA kijkt naar je product
De Cyber Resilience Act richt zich tot de fabrikant: wie een product met digitale elementen ontwikkelt of vervaardigt (of laat ontwerpen, ontwikkelen of vervaardigen) en dat onder eigen naam of merk in de handel brengt, tegen betaling, met een verdienmodel of gratis (Cyber Resilience Act, art. 3 punt 13, 2024). In de handel brengen is het voor het eerst aanbieden op de markt van de Unie; aanbieden is verstrekken in het kader van een handelsactiviteit, al dan niet tegen betaling (Cyber Resilience Act, art. 3 punt 21 en 22, 2024).
De fabrikant zorgt dat het product is ontworpen, ontwikkeld en geproduceerd overeenkomstig bijlage I deel I en beoordeelt daarvoor de cyberbeveiligingsrisico’s over de hele levenscyclus, van planning tot onderhoud (Cyber Resilience Act, art. 13 lid 1 en 2, 2024). Dat toont hij aan met een EU-conformiteitsverklaring en een CE-markering (Cyber Resilience Act, art. 13 lid 12, 2024).
Ook een importeur of distributeur die een product onder eigen naam of merk in de handel brengt of ingrijpend wijzigt, geldt als fabrikant (Cyber Resilience Act, art. 21, 2024). Hetzelfde geldt voor ieder ander die een product ingrijpend wijzigt en het daarna op de markt aanbiedt (Cyber Resilience Act, art. 22 lid 1, 2024). Wie software ontwikkelt en die onder eigen naam uitbrengt, is dus fabrikant, ook zonder fabriek en ook zonder factuur.
Wanneer je onder beide valt
Een organisatie die zowel diensten levert in een NIS2-sector als zelf software uitbrengt, valt onder allebei. Denk aan een softwareleverancier die zijn eigen product ook als beheerde dienst aanbiedt.
Dan gelden de twee regimes naast elkaar en zonder verdringing. De CRA regelt je product en de Cbw je bedrijfsvoering. Ze schakelen elkaar niet uit zoals DORA dat voor de financiële sector doet.
Wanneer je onder geen van beide valt
Een MKB-organisatie die software gebruikt maar niet uitbrengt, valt niet onder de CRA. Haalt zij ook de NIS2-drempels niet, dan gelden beide kaders niet rechtstreeks.
Toch merk je de CRA dan wel, alleen indirect: via de producten die je inkoopt. Die worden veiliger en komen met meer documentatie. Dat helpt je bij je eigen leveranciersbeoordeling.
Overeenkomsten tussen NIS2 en de CRA
De overeenkomsten tussen NIS2 en de CRA zitten in hun onderliggende gedachte: beveiliging is geen eenmalige toestand maar een proces dat blijft lopen.
Wat beide kaders delen:
- Een risicogerichte benadering als vertrekpunt.
- De verplichting kwetsbaarheden te behandelen en te verhelpen, niet alleen te kennen.
- Een meldplicht bij ernstige situaties, elk naar een eigen ontvanger.
- Toezicht met handhavingsbevoegdheden en substantiële sancties.
- De erkenning dat de keten meetelt: de CRA maakt producten veiliger, NIS2 verplicht je die producten te beoordelen.
De twee kaders zijn ontworpen om op elkaar aan te sluiten: de CRA verbetert de bouwstenen, NIS2 verplicht tot zorgvuldig gebruik ervan.
Hoeveel van de zorgplicht dekt de CRA af?
De CRA dekt geen van de tien maatregelcategorieën van de zorgplicht volledig af (Cyberbeveiligingswet, art. 21 lid 3, 2026). Gedekt betekent hier dat de hele categorie wordt bestreken, zonder dat je er iets aan hoeft toe te voegen. Ze raakt er twee, ketenbeveiliging en kwetsbaarhedenafhandeling, en levert daar bewijsmateriaal voor. De beoordeling zelf blijft jouw werk. De telling per categorie staat in de tabel hierboven.
De noemer is de zorgplicht van jouw organisatie. De CRA stelt eisen aan producten, niet aan organisaties, dus de overige acht categorieën raakt ze niet.
Waarom hier geen dekkingspercentage staat
Een dekkingspercentage staat hier niet, omdat het niet te onderbouwen is. Zo’n getal vraagt drie dingen: een noemer waartegen je rekent, een vaste definitie van wanneer iets gedekt heet en een telling die je kunt narekenen. Bij dit paar komt daar bij dat de CRA zich tot een andere partij richt dan de zorgplicht: de fabrikant in plaats van de gebruikende organisatie, zodat een percentage twee verschillende adressanten in één getal zou proppen. De zorgplicht kent bovendien tien maatregelcategorieën van ongelijke omvang. De telling hierboven is wel na te rekenen: nul van de tien categorieën volledig gedekt, twee geraakt met bewijsmateriaal, acht zonder raakvlak, plus de meldplicht, de registratieplicht en de bestuurlijke verplichtingen die buiten de verordening vallen.
Welke NIS2-eisen dekt de CRA niet?
De CRA dekt vrijwel de hele NIS2-zorgplicht niet. Dat is geen tekortkoming maar een gevolg van wat de verordening reguleert.
De acht maatregelcategorieën over je bedrijfsvoering
Risicoanalysebeleid, incidentbehandeling, bedrijfscontinuïteit, effectiviteitsbeoordeling, cyberhygiëne en opleiding, cryptografie, personeel en toegangsbeleid, plus multifactorauthenticatie (Cyberbeveiligingswet, art. 21 lid 3, 2026): geen daarvan komt in de CRA voor.
De verordening stelt eisen aan wat een product moet kunnen, niet aan hoe de organisatie erachter werkt. Een fabrikant met een CE-gemarkeerd product kan intern volstrekt niet op orde zijn.
De meldplicht over je eigen incidenten
NIS2 verplicht tot een vroegtijdige waarschuwing over een significant incident binnen 24 uur, een melding binnen 72 uur en een eindverslag uiterlijk één maand na die melding, bij het CSIRT en de bevoegde autoriteit (Cyberbeveiligingswet, art. 26 lid 1, 27 lid 1 en 29 lid 1, 2026).
De CRA kent ook een meldplicht, maar over iets anders: actief uitgebuite kwetsbaarheden en ernstige incidenten die de beveiliging van het product raken. Dat is een productmelding en geen bedrijfsmelding, met een andere aanleiding en een ander loket.
De registratieplicht
De registratie in het entiteitenregister van het NCSC volgt uit de Cyberbeveiligingswet en geldt sinds 15 augustus 2026 (NCSC, 2026). De CRA kent geen entiteitenregistratie.
De bestuurlijke verplichtingen
De maatregelen van de zorgplicht behoeven de goedkeuring van het bestuur (Cyberbeveiligingswet, art. 24 lid 1, 2026). Ieder bestuurslid beschikt over de kennis en vaardigheden om risico’s te onderkennen en maatregelen en hun gevolgen te beoordelen (Cyberbeveiligingswet, art. 24 lid 2, 2026) en toont dat aan met een certificaat van deelname aan een training (Cyberbeveiligingswet, art. 24 lid 5, 2026).
Voor die kenniseis geldt een termijn van twee jaar na de inwerkingtreding van dat lid; voor een later benoemd bestuurslid twee jaar na de benoeming (Cyberbeveiligingswet, art. 24 lid 3, 2026). De CRA legt verplichtingen bij de fabrikant als onderneming, niet bij individuele bestuurders. De bestuurdersboete van ten hoogste 25.000 euro (Cyberbeveiligingswet, art. 93 lid 2, 2026) heeft in de verordening geen tegenhanger.
Welke CRA-eisen dekt NIS2 niet?
NIS2 dekt de hele productkant niet. Dit is het meest concrete deel van de vergelijking, want de CRA is uitgesproken specifiek.
Producten zonder bekende uitbuitbare kwetsbaarheden
Een product met digitale elementen mag niet op de markt worden aangeboden met bekende uitbuitbare kwetsbaarheden, in het Engels exploitable vulnerabilities (Cyber Resilience Act, bijlage I deel I punt 2 sub a, 2024). Dat is een harde ondergrens die NIS2 nergens stelt.
Daar hangt een tweede eis aan: het product wordt geleverd met een standaard beveiligde configuratie, met de mogelijkheid het in zijn oorspronkelijke toestand te herstellen; alleen bij een product op maat kan de fabrikant met de zakelijke gebruiker iets anders afspreken (Cyber Resilience Act, bijlage I deel I punt 2 sub b, 2024).
Een softwarestuklijst
De fabrikant documenteert de kwetsbaarheden en componenten van het product, onder meer met een softwarestuklijst (software bill of materials, SBOM) in een algemeen gebruikt en machineleesbaar formaat, die ten minste de afhankelijkheden op het hoogste niveau bevat (Cyber Resilience Act, bijlage I deel II punt 1, 2024).
Deelt de fabrikant die lijst met de gebruiker, dan vermeldt hij waar die te raadplegen is (Cyber Resilience Act, bijlage II punt 9, 2024). De lijst hoort ook bij de technische documentatie (Cyber Resilience Act, bijlage VII punt 2 sub b, 2024). NIS2 vraagt beheer van assets op systeemniveau (Cyberbeveiligingswet, art. 21 lid 3 sub i, 2026), maar kent geen componentenlijst per product.
Beveiligingsupdates, automatisch en standaard aan
Kwetsbaarheden moeten via beveiligingsupdates verholpen kunnen worden, waar van toepassing automatisch en standaard ingeschakeld, met een duidelijk opt-outmechanisme, een melding van beschikbare updates en de mogelijkheid een update tijdelijk uit te stellen (Cyber Resilience Act, bijlage I deel I punt 2 sub c, 2024).
De fabrikant verspreidt die updates onverwijld en kosteloos, met adviezen voor de gebruiker (Cyber Resilience Act, bijlage I deel II punt 8, 2024) en waar technisch haalbaar los van functionaliteitsupdates (Cyber Resilience Act, bijlage I deel II punt 2, 2024). NIS2 vraagt van jou dat je patcht. De CRA vraagt van de fabrikant dat patchen mogelijk en makkelijk is.
Een meldpunt en gepubliceerd CVD-beleid per product
De fabrikant voert een beleid voor gecoördineerde openbaarmaking van kwetsbaarheden, wijst een contactadres aan waar kwetsbaarheden gemeld kunnen worden en zorgt voor een mechanisme om updates veilig te verspreiden (Cyber Resilience Act, bijlage I deel II punt 5, 6 en 7, 2024). Contactpunt en beleid horen bij de informatie die de gebruiker meekrijgt (Cyber Resilience Act, bijlage II punt 2, 2024).
Dat is het instrument dat op de ISO 27001-pagina als restant terugkwam: NIS2 vraagt om de respons op en bekendmaking van kwetsbaarheden (Cyberbeveiligingswet, art. 21 lid 3 sub e, 2026), maar schrijft geen kanaal voor. De CRA doet dat wel, alleen dan bij de fabrikant.
De meldplicht van de fabrikant
Vanaf 11 september 2026 meldt de fabrikant een actief uitgebuite kwetsbaarheid, in het Engels actively exploited vulnerability, via het centrale meldingsplatform: een vroegtijdige waarschuwing binnen 24 uur, een kwetsbaarheidsmelding binnen 72 uur en een eindverslag uiterlijk 14 dagen nadat de corrigerende maatregel beschikbaar is (Cyber Resilience Act, art. 14 lid 2, 2024; Cyber Resilience Act, art. 71 lid 2, 2024). Voor een ernstig incident dat de beveiliging van het product raakt geldt dezelfde vroegtijdige waarschuwing binnen 24 uur (Cyber Resilience Act, art. 14 lid 4, 2024).
Die meldplicht loopt naast de jouwe onder de Cbw. Raakt een uitgebuite kwetsbaarheid in een product van je leverancier jouw dienstverlening, dan meldt de fabrikant het product en meld jij het incident.
CE-markering, conformiteitsverklaring en technische documentatie
De fabrikant stelt technische documentatie op, voert de conformiteitsbeoordeling uit, stelt de EU-conformiteitsverklaring op en brengt de CE-markering aan (Cyber Resilience Act, art. 13 lid 12, 2024). De verklaring volgt het model van bijlage V en bevat de elementen die de gevolgde procedure uit bijlage VIII voorschrijft (Cyber Resilience Act, art. 28 lid 2, 2024).
Documentatie en verklaring bewaart hij ten minste tien jaar na het in de handel brengen, of zolang de ondersteuningsperiode duurt als die langer is (Cyber Resilience Act, art. 13 lid 13, 2024). NIS2 kent geen productdocumentatie en geen bewaartermijn van die orde.
De ondersteuningsperiode
De ondersteuningsperiode duurt ten minste vijf jaar; korter mag alleen als het product naar verwachting korter wordt gebruikt (Cyber Resilience Act, art. 13 lid 8, 2024). De einddatum, ten minste met maand en jaar, is op het moment van aankoop kenbaar (Cyber Resilience Act, art. 13 lid 19, 2024).
Gedurende die periode handelt de fabrikant kwetsbaarheden af conform bijlage I deel II (Cyber Resilience Act, art. 13 lid 8, 2024). Dat is een productverplichting met een looptijd. NIS2 kent daar niets vergelijkbaars voor.
De conformiteitsroute per productcategorie
Voor producten zonder bijzondere risicoklasse kiest de fabrikant zelf: interne controle (module A), EU-typeonderzoek (module B) gevolgd door conformiteit met het type op basis van interne productiecontrole (module C), volledige kwaliteitsborging (module H) of een Europese cyberbeveiligingscertificeringsregeling (Cyber Resilience Act, art. 32 lid 1, 2024). De procedures zelf staan in bijlage VIII (Cyber Resilience Act, bijlage VIII, 2024).
Een belangrijk product van klasse I uit bijlage III mag interne controle alleen gebruiken als het volledig geharmoniseerde normen, gemeenschappelijke specificaties of een certificeringsregeling volgt; anders is EU-typeonderzoek of volledige kwaliteitsborging verplicht (Cyber Resilience Act, art. 32 lid 2, 2024). Klasse II kent die keuze niet en gaat via EU-typeonderzoek, volledige kwaliteitsborging of een certificeringsregeling op ten minste niveau substantieel (Cyber Resilience Act, art. 32 lid 3, 2024). Die routes zijn een conformiteitsbeoordeling door derden (Cyber Resilience Act, art. 27 lid 9, 2024). Voor kritieke producten uit bijlage IV kan de Commissie een Europees cyberbeveiligingscertificaat verplicht stellen (Cyber Resilience Act, art. 8 lid 1, 2024); zolang dat niet zo is, gelden de routes van klasse II (Cyber Resilience Act, art. 32 lid 4, 2024).
Boetes voor de fabrikant
Niet-naleving van bijlage I of van de artikelen 13 en 14 kost tot 15 miljoen euro of 2,5 procent van de totale wereldwijde jaaromzet van het voorafgaande boekjaar, als dat hoger is (Cyber Resilience Act, art. 64 lid 2, 2024). Andere verplichtingen, waaronder die van importeurs en distributeurs, de EU-conformiteitsverklaring en de conformiteitsbeoordeling, kosten tot 10 miljoen euro of 2 procent (Cyber Resilience Act, art. 64 lid 3, 2024). Onjuiste, onvolledige of misleidende informatie aan een aangemelde instantie of markttoezichtautoriteit kost tot 5 miljoen euro of 1 procent (Cyber Resilience Act, art. 64 lid 4, 2024).
Ter vergelijking: de Cbw gaat tot 10 miljoen euro of 2 procent voor een essentiële entiteit (Cyberbeveiligingswet, art. 80 lid 3, 2026) en tot 7 miljoen euro of 1,4 procent voor een belangrijke entiteit (Cyberbeveiligingswet, art. 87 lid 3, 2026). Het hoogste CRA-tarief ligt boven het hoogste Cbw-tarief, maar het treft de fabrikant, niet de gebruiker.
Wat betekenen NIS2 en de CRA voor je ICT-omgeving?
Voor je ICT-omgeving verandert de CRA niet wat je moet doen, maar wel waarmee je het doet.
Je NIS2-werk blijft hetzelfde en landt in de bekende componenten van je Microsoft 365-omgeving: identiteiten en toegang in Entra ID, werkplekken en endpoints in Intune en Defender, e-mail en samenwerking in Exchange Online en Teams, data en encryptie in Purview, plus back-up en herstel en de koppelingen met leveranciers.
Wat de CRA daaraan toevoegt is bewijsmateriaal. Producten die je inkoopt komen met een conformiteitsverklaring, een gepubliceerd contactadres voor kwetsbaarheden en een bekende ondersteuningsperiode. Dat is het materiaal voor de ketenbeoordeling die de zorgplicht van je vraagt.
De ondersteuningsperiode van een product is voortaan kenbaar. Dat maakt het mogelijk om vooruit te plannen: software waarvan de ondersteuning afloopt, wordt een aantoonbaar risico in plaats van een verrassing.
Ben je zelf fabrikant, dan valt de CRA-conformiteit buiten de technische beheerlaag. Dat is werk van je productontwikkeling en je kwaliteitsmanagement, met mogelijk een aangemelde instantie erbij.
Welk bewijs vraagt elk kader uit dezelfde systemen?
De bewijsstromen lopen bij dit paar in tegengestelde richting: de CRA levert bewijs dat NIS2 gebruikt.
| Onderwerp | Wat de CRA oplevert | Wat NIS2 daarmee doet |
|---|---|---|
| Leveranciersbeoordeling | CE-markering en EU-conformiteitsverklaring per product (Cyber Resilience Act, art. 13 lid 12, 2024) | Bewijs dat het ingekochte product aan de Europese eisen voldoet, als onderdeel van de ketenbeoordeling (Cyberbeveiligingswet, art. 21 lid 4, 2026) |
| Kwetsbaarhedenafhandeling | Een gepubliceerd contactadres en CVD-beleid van de fabrikant (Cyber Resilience Act, bijlage I deel II punt 5 en 6, 2024) | Het kanaal waarlangs je een gevonden kwetsbaarheid meldt en waar je informatie over het product haalt |
| Patchmanagement | Beveiligingsupdates die waar van toepassing standaard automatisch installeren (Cyber Resilience Act, bijlage I deel I punt 2 sub c, 2024) | De patchstatus die je bij een incident moet kunnen aantonen |
| Levensduur | De ondersteuningsperiode van ten minste vijf jaar, met de einddatum bij aankoop (Cyber Resilience Act, art. 13 lid 8 en 19, 2024) | De onderbouwing dat je software gebruikt die nog wordt onderhouden |
| Componenten | De softwarestuklijst, machineleesbaar en ten minste de afhankelijkheden op het hoogste niveau (Cyber Resilience Act, bijlage I deel II punt 1, 2024) | Het inzicht in welke componenten in je omgeving zitten, als onderdeel van het beheer van assets |
| Configuratie | Een standaard beveiligde configuratie bij levering (Cyber Resilience Act, bijlage I deel I punt 2 sub b, 2024) | Het uitgangspunt waarvandaan je je eigen inrichting hardt |
| Jouw eigen bedrijfsvoering | Niets | De volledige zorgplicht, de meldplicht en de registratie |
De onderste rij is de belangrijkste. De CRA levert je bouwstenen, geen vrijstelling. Wie denkt dat CE-gemarkeerde producten hem NIS2-compliant maken, verwart het gereedschap met het werk.
Kun je NIS2 en de CRA samen invoeren?
Je voert NIS2 en de CRA niet samen in, want het zijn verschillende trajecten met verschillende objecten. Wel gebruik je het een voor het ander.
Ben je alleen afnemer, dan is er geen CRA-traject. Wat je doet is de documentatie van je leveranciers verzamelen en gebruiken als onderbouwing bij je ketenbeoordeling. Dat scheelt werk, want je hoeft minder zelf uit te zoeken.
Ben je ook fabrikant, dan lopen er twee trajecten naast elkaar. Het CRA-traject volgt de conformiteitsroute die bij je productcategorie hoort, het Cbw-traject volgt de zorgplicht. Ze delen wel materiaal: het kwetsbaarhedenproces dat de CRA van je vraagt, is grotendeels hetzelfde proces dat de zorgplicht verlangt.
Begin in beide gevallen bij de Cyberbeveiligingswet, want die geldt sinds 15 augustus 2026 en heeft harde termijnen. De CRA is van toepassing vanaf 11 december 2027, met de meldplicht van de fabrikant vanaf 11 september 2026 (Cyber Resilience Act, art. 71 lid 2, 2024). Ben je fabrikant, dan is die meldplicht het eerste wat je inricht.
Andere normvergelijkingen
Andere normvergelijkingen met NIS2 staan hieronder. NIS2 raakt aan meer wetten en normen dan alleen de CRA.
Vergelijkingen met NIS2
Zo helpt ClickOn met NIS2 en de CRA
ClickOn richt je Microsoft 365-werkplek zo in dat de technische compliance-maatregelen voor de Cyberbeveiligingswet in één keer staan, met de aantoonbaarheid erbij. ClickOn is zelf ISO 27001-gecertificeerd sinds 2021 via TÜV Nord, sloot alle vijftien compliance-trajecten succesvol af en doorstond vijfentwintig van de vijfentwintig audits zonder afwijking (ClickOn, 2026).
De CRA raakt productontwikkeling, conformiteitsbeoordeling en CE-markering. Dat is werk van een fabrikant en zijn aangemelde instantie, niet van een MSP.
Wat ClickOn levert is de kant waar de CRA in jouw voordeel werkt:
- Compliance Sprint. Binnen 30 dagen technisch klaar voor het toezicht dat de Cbw meebrengt, tegen een vaste prijs per werkplek (ClickOn, 2026). Week 1 de nulmeting en de gap-analyse, week 2 en 3 de inrichting, week 4 het dashboard als bewijs. Haal je het niet, dan doen we het over.
- ClickOn Compliant MKB. Doorlopend beheer dat compliant blijft, voor 148 euro per werkplek per maand tot driehonderd werkplekken (ClickOn, 2026). Met 24/7 monitoring door een SOC, continue detectie, automatische respons, maandelijkse rapportage, geteste back-upherstellen, dataclassificatie met encryptie en 16 uur audit-ondersteuning per jaar.
Het bijhouden van welke software je gebruikt, welke ondersteuningsperiode daarbij hoort en of updates daadwerkelijk landen, zit in dat doorlopende beheer. Dat is het materiaal waarmee je je ketenbeoordeling onderbouwt.
Wat ClickOn niet doet is juridisch advies, governance-advies of bedrijfsbreed beleid buiten de IT-omgeving, en ClickOn is niet de partij die de formele audit uitvoert.
Weten welke software in je omgeving nog wordt ondersteund en waar je ketenrisico zit? De gap-analyse is week 1 van de Compliance Sprint.
Kies per stap de route die past
ClickOn voert de ICT-laag van NIS2 uit en leveren het bewijs. Beleid, governance en de formele audit blijven bij je adviseur of auditor.