Wat is de Cyber Resilience Act (CRA) en waarom is die ingevoerd?
De Cyber Resilience Act (CRA) is een EU-verordening met basisregels voor de cyberbeveiliging van producten met digitale elementen. Daaronder vallen in de praktijk veel softwareproducten (apps, embedded software, on-prem software), hardware met software en in bepaalde gevallen ook de bijbehorende remote/cloud-functionaliteit die nodig is om het product te laten werken (definities in Artikel 3 CRA).
De EU heeft de CRA ingevoerd om een uniform minimumniveau van cybersecurity voor digitale producten te creëren en om te voorkomen dat er per lidstaat een ander regime ontstaat. Dat verkleint fragmentatie en maakt het voor ondernemers beter voorspelbaar welke cyberbeveiligingseisen gelden bij verkoop in de EU (zie o.a. Overweging 4 CRA).
Belangrijk voor ondernemers: de CRA gaat niet over de vraag óf je ooit gehackt wordt, maar over wat je als producent/aanbieder aantoonbaar moet doen: security-by-design bij ontwikkeling en structureel onderhoud (updates, kwetsbaarheden, support) ná release.
Voor wie is de CRA relevant? (rollen in de keten)
De CRA richt zich op partijen die producten met digitale elementen op de EU-markt aanbieden (definitie in Artikel 3(22) CRA). De verordening werkt met rollen in de keten.
De belangrijkste rol is de fabrikant: degene die het product ontwikkelt of laat ontwikkelen en het onder eigen naam of merk op de markt brengt (definitie in Artikel 3(13) CRA). Daarnaast zijn er de importeur (EU-partij die een product van buiten de EU in de EU in de handel brengt; Artikel 3(16) CRA) en de distributeur (partij in de keten die aanbiedt zonder inhoudelijk te wijzigen; Artikel 3(17) CRA).
Voor ondernemers is vooral relevant dat verantwoordelijkheid kan “verschijnen” op onverwachte plekken. Als een importeur of distributeur een product onder eigen naam/merk aanbiedt of een ingrijpende wijziging doorvoert, kan die partij voor CRA-doeleinden als fabrikant worden behandeld (Artikel 21 en 22 CRA).
Territoriale werking: wat als de aanbieder Amerikaans is (of alles in de VS draait)?
De kernvraag is niet waar je servers staan, maar of je het product op de EU-markt aanbiedt: dus of het wordt verstrekt met het oog op distributie of gebruik op de markt van de Unie in het kader van een handelsactiviteit, al dan niet tegen betaling (definitie “op de markt aanbieden” in Artikel 3(22) CRA).
Praktisch betekent dit dat een Amerikaanse aanbieder die een app verkoopt of commercieel aanbiedt aan EU-gebruikers, in scope kan komen zodra de app bedoeld is voor distributie of gebruik in de EU. Dat de app (deels) draait in een Amerikaanse cloudomgeving verandert die basis-toets niet automatisch.
Een nuttige nuance is dat de CRA expliciet aangeeft dat het louter hosten van software in open repositories, package managers of samenwerkingsplatforms op zichzelf niet hetzelfde is als “op de markt aanbieden” (zie Overweging 20 CRA). Dit is geen vrijstelling, maar het dwingt je wél om scherp te kijken wie in jouw keten feitelijk de aanbieder/fabrikant is.
Fasering: wanneer moet je wat geregeld hebben?
De CRA wordt gefaseerd van toepassing. De belangrijkste data voor ondernemers zijn:
Vanaf 11 juni 2026 wordt Hoofdstuk IV (Artikelen 35–51) van toepassing (o.a. het stelsel rond conformiteitsbeoordelingsinstanties). Vanaf 11 september 2026 wordt Artikel 14 CRA van toepassing (meldplichten). Vanaf 11 december 2027 wordt de verordening in brede zin van toepassing (slotbepaling/toepassingsdata, OJ L 2024/2847, p. 67).
Waarom 11 september 2026 zo belangrijk is: Artikel 14 bevat korte termijnen, waaronder een vroegtijdige waarschuwing binnen 24 uur en verdere meldingen binnen 72 uur nadat de fabrikant kennis heeft gekregen van een actief uitgebuite kwetsbaarheid (Artikel 14 CRA). Dit vraagt om een werkend intern proces (triage, escalatie, besluitvorming, logging) en heldere verantwoordelijkheden in de keten — niet pas in 2027, maar vóór die datum.
Wat moet je als ondernemer concreet doen? (kernverplichtingen)
De CRA draait om twee samenhangende blokken: (A) eisen aan het product en (B) eisen aan jouw organisatieproces.
Aan de productkant geldt het uitgangspunt dat producten zodanig ontworpen, ontwikkeld en geproduceerd moeten worden dat zij een passend cyberbeveiligingsniveau waarborgen (essentiële vereisten in Bijlage I, Deel I CRA). In gewone taal: security moet onderdeel zijn van het ontwerp, en je hoort het product niet op de markt te brengen met bekende, uitbuitbare kwetsbaarheden (Bijlage I, Deel I).
Aan de proceskant gaat het om vulnerability handling: hoe je kwetsbaarheden ontvangt, beoordeelt, oplost en hoe je updates veilig uitrolt. Dit sluit aan op de verplichtingen voor fabrikanten in Artikel 13 CRA en de procesvereisten in Bijlage I, Deel II CRA, waaronder het organiseren van een contactpunt voor kwetsbaarheden, triage/patching en het gedurende een ondersteuningsperiode effectief aanpakken van kwetsbaarheden.
Daarnaast is CRA-compliance in hoge mate een bewijs- en dossiervraag. Je moet compliance kunnen onderbouwen met technische documentatie (verplichtingen in Artikel 31 CRA, met minimale inhoud in Bijlage VII CRA). Dit is geen “eenmalige map voor de toezichthouder”, maar een doorlopend bewijsdossier dat actueel moet blijven gedurende de ondersteuningsperiode.
Tot slot werkt de CRA met conformiteit en CE-markering. Voor software is expliciet geregeld dat de CE-markering kan worden aangebracht op de EU-conformiteitsverklaring of op de website bij het softwareproduct (Artikel 30 CRA).
Normen en ISO: wat is verplicht onder de CRA en wat is verstandig?
De CRA bevat geen algemene wettelijke plicht om ISO-gecertificeerd te zijn (bijvoorbeeld ISO/IEC 27001) als zelfstandige “certificeringseis”. Wat de CRA wél doet, is werken met (i) essentiële vereisten, (ii) manieren om conformiteit aannemelijk te maken en (iii) documentatie waarmee je dat onderbouwt.
Een belangrijk mechanisme is het vermoeden van conformiteit: als je product en processen in overeenstemming zijn met relevante geharmoniseerde normen die voor de CRA zijn bekendgemaakt, mag je ervan uitgaan dat je aan de betreffende essentiële vereisten voldoet (Artikel 27 CRA, OJ L 2024/2847, p. 46). Daarnaast moet je in je technische documentatie onder meer aangeven welke normen of technische specificaties je hebt toegepast, of — als je die niet (volledig) toepast — hoe je op een andere manier aan de eisen voldoet (Bijlage VII CRA, OJ L 2024/2847, p. 75).
In de praktijk betekent dit voor ondernemers: ook als ISO-certificering niet “hard” wettelijk verplicht is, kan het strategisch verstandig (of contractueel noodzakelijk) zijn om je security- en compliance-aanpak te baseren op erkende normen en frameworks. Dit helpt bij klanten die CRA-compliance eisen in contracten, bij due diligence, en bij het opbouwen van een verdedigbaar dossier richting markttoezicht.
Kan een burger zich direct op de CRA beroepen?
De CRA is een verordening en is daarmee rechtstreeks toepasselijk in elke lidstaat (slotbepaling, OJ L 2024/2847, p. 67). De CRA koppelt bovendien aan consumentenhandhaving door te bepalen dat de Richtlijn (EU) 2020/1828 over representatieve vorderingen van toepassing is op representatieve vorderingen bij inbreuken op CRA-bepalingen die collectieve consumentenbelangen schaden of kunnen schaden (Artikel 65 CRA).
In de praktijk is de CRA primair opgezet als product-compliance en markttoezichtregime, maar de rechtstreekse toepasselijkheid en consumentenhandhavingskoppeling vergroten het risico op klachten, geschillen en contractuele druk waarbij CRA-normen als maatstaf worden gebruikt.
Wat zijn de gevolgen bij overtreding?
De CRA sluit aan op het EU-markttoezichtkader (o.a. Verordening (EU) 2019/1020). Als corrigerende maatregelen uitblijven, kunnen toezichthouders het op de markt aanbieden verbieden of beperken en producten uit de handel laten nemen of laten terugroepen (o.a. Artikel 52 e.v. CRA).
Daarnaast verplicht Artikel 64 CRA lidstaten sancties vast te stellen en bevat het boetemaxima. Voor niet-naleving van essentiële vereisten (Bijlage I) en kernverplichtingen zoals die voor fabrikanten en meldplichten (o.a. Artikel 13 en 14 CRA) kan de maximale administratieve geldboete oplopen tot EUR 15.000.000 of (voor ondernemingen) 2,5% van de wereldwijde jaaromzet (als dat hoger is). Voor andere categorieën overtredingen (bijvoorbeeld rond documentatie/CE-markering en bepaalde ketenverplichtingen) geldt een maximum van EUR 10.000.000 of 2% van de wereldwijde jaaromzet (als dat hoger is).
Waarom dit nú al management-aandacht verdient (ook met AI coding)
AI-assisted coding (zoals Claude, Copilot of vergelijkbare tools) versnelt ontwikkeling, maar verandert niet wie verantwoordelijk is. Zodra jouw organisatie een app of product als fabrikant op de EU-markt aanbiedt, moet je security-by-design aantoonbaar maken, third-party componenten beheersen en vooral je vulnerability handling en meldprocessen operationeel hebben. De combinatie van “sneller shippen” en onvoldoende volwassen release governance kan daardoor juist méér CRA-risico creëren.
Korte Q&A
Wat is CRA compliance? CRA compliance betekent dat je digitale product én je ontwikkel- en onderhoudsprocessen voldoen aan de eisen uit de Cyber Resilience Act, inclusief documentatie, CE-markering (waar relevant), updates en vulnerability handling.
Geldt de CRA ook voor apps en SaaS? Vaak wel, zodra de software als product met digitale elementen op de EU-markt wordt aangeboden en de functionaliteit (incl. eventuele remote verwerking) binnen de definities valt.
Is ISO/IEC 27001 verplicht onder de CRA? Niet als algemene certificeringsplicht. Normen (waaronder ISO-normen) kunnen wel praktisch helpen bij het aantonen van een volwassen aanpak en kunnen via geharmoniseerde normen of technische specificaties een rol spelen in je conformiteitsdossier.
Wat is de belangrijkste deadline? Voor veel ondernemers is 11 september 2026 cruciaal omdat vanaf die datum de meldplichten van Artikel 14 gaan gelden, met korte termijnen.
Wat als mijn bedrijf Amerikaans is? De locatie van je bedrijf of hosting is niet beslissend; relevant is of het product bedoeld is voor distributie of gebruik op de EU-markt.
Wat gebeurt er als ik niet voldoe? Je kunt te maken krijgen met corrigerende maatregelen (zoals beperkingen of terugroepacties) en met boetes die — afhankelijk van de overtreding — kunnen oplopen tot EUR 15 miljoen of 2,5% van de wereldwijde jaaromzet.
Vragen
Heeft u vragen naar aanleiding van dit artikel? Onze advocaten staan klaar om u te adviseren! Neem contact op met een van onze advocaten via de mail, telefonisch of vul het contactformulier in voor een vrijblijvend eerste gesprek. Wij denken graag met u mee.
