EU-wet voor productbeveiliging
Cyber Resilience Act: eisen voor je digitale producten
De Cyber Resilience Act (CRA) is een EU-wet voor verbonden hardware en software, van slimme apparaten tot apps. Producten moeten aan de beveiligingseisen voldoen om in de EU verkocht te mogen worden.
- Soort
- EU-verordening voor productbeveiliging
- Meldplicht vanaf
- 11 september 2026
- Belangrijkste verplichtingen vanaf
- 11 december 2027
- Voor wie
- Fabrikanten, importeurs en distributeurs
Voor wie dit geldt
Bedrijven die digitale producten verkopen
- Fabrikanten die verbonden hardware of software in de EU verkopen, ongeacht waar ze gevestigd zijn.
- Importeurs die deze producten de EU binnenbrengen.
- Distributeurs die deze producten aan klanten in de EU verkopen.
Medische hulpmiddelen en medische hulpmiddelen voor in-vitrodiagnostiek onder de MDR of IVDR zijn uitgesloten op grond van artikel 2(2)(a) en (b). Ook motorvoertuigen en hun onderdelen onder EU-regels voor typegoedkeuring en gecertificeerde producten voor de burgerluchtvaart zijn uitgesloten. Dat geldt ook voor uitrusting van zeeschepen en producten die uitsluitend voor defensie of nationale veiligheid zijn gemaakt. Elke uitsluiting geldt voor het product, niet voor het hele bedrijf. Niet-commerciële opensourcesoftware valt buiten de CRA.
Krijg een eerste indicatie of de CRA voor een product geldt, in welke categorie het valt en welke conformiteitsbeoordeling waarschijnlijk nodig is.
Doe de gratis CRA-beoordelingDatums om rekening mee te houden
CRA-termijnen voor meldingen en producten
10 december 2024
De Cyber Resilience Act is in werking getreden.
11 september 2026
De meldplicht is gaan gelden.
11 december 2027
De belangrijkste verplichtingen voor productbeveiliging gaan gelden.
Wat je moet doen
Neem beveiliging mee in ontwikkeling en ondersteuning
-
Beoordeel de risico’s per product
Beschrijf het product, het beoogde gebruik en de beveiligingsrisico’s. Bepaal daarna welke beveiligingsmaatregelen nodig zijn.
-
Ontwikkel en test veilig
Neem beveiligingseisen mee in het ontwerp, het programmeren, de tests en de besluiten over releases.
-
Houd softwareonderdelen bij
Houd een lijst van softwareonderdelen bij en beoordeel wat kwetsbaarheden daarin voor je product betekenen.
-
Regel meldingen en oplossingen
Richt een meldpunt voor kwetsbaarheden in en regel herstel. Fabrikanten moeten actief misbruikte kwetsbaarheden en ernstige incidenten die de productbeveiliging raken via het Europese centrale meldplatform melden.
-
Plan updates en conformiteitsbeoordeling
Leg de ondersteuning vast, bereid beveiligingsupdates voor en bewaar de documenten die aantonen dat je product aan de regels voldoet.
Hoe we helpen
Stem productbeveiliging en CRA-voorbereiding op elkaar af
We bepalen welke eisen gelden en coördineren de voorbereiding met je productteam. We helpen beveiligingstekorten aanpakken, kwetsbaarhedenbeheer invoeren en documentatie en tests voorbereiden voor de toepasselijke conformiteitsbeoordeling.
Veelgestelde vragen
Veelgestelde vragen
Bijbehorende wetten en normen
- IEC 62443
Normen voor industriële beveiliging, voor bedrijven die industriële systemen beheren, bouwen en leveren. Fabrikanten van industriële apparatuur kunnen dit werk gebruiken bij hun voorbereiding op de CRA.
- NIS2
De EU-richtlijn over cybersecurity voor organisaties in kritieke sectoren. De CRA geldt voor de producten die je verkoopt; NIS2 gaat over hoe je bedrijf zijn eigen systemen beveiligt.
Gratis gesprek van 30 minuten
Plan de CRA-voorbereiding van je producten
Neem je productlijst mee naar een gratis gesprek van 30 minuten. Bespreek de meldplicht en hoe je je producten voorbereidt.
