Alles wat u moet weten over de Cyber Resilience Act

By Rebecca Harper • 23 juni 2026 • Leestijd: 10 minuten

De De Europese Unie-wet inzake cyberweerbaarheid (CRA) Dit is de eerste belangrijke regelgeving die cyberbeveiliging beschouwt als een vereiste voor productveiligheid in plaats van een vereiste voor organisatorisch bestuur.

Hoewel er veel regelgeving is die zich richt op hoe organisaties intern cyberrisico's beheren, hanteert de CRA een andere aanpak. De focus ligt op de producten zelf. Meer specifiek gaat het erom of de software, apparaten, platforms en verbonden technologieën die op de Europese markt komen, van meet af aan veilig zijn ontworpen, op de juiste manier worden onderhouden en gedurende hun hele levenscyclus worden ondersteund.

Jarenlang werd cybersecurity vaak beschouwd als een kwestie van governance, een operationele zorg of een technische uitdaging die grotendeels onder de verantwoordelijkheid van beveiligingsteams viel. De CRA (Cybersecurity Reform Act) wijst op iets breders: cybersecurity wordt steeds vaker gezien als een vereiste voor productveiligheid en voor organisaties die producten op de EU-markt verkopen, reiken de gevolgen veel verder dan alleen naleving van de wet.

Wat is de Cyber Resilience Act?

De kern van de CRA is het verbeteren van de cyberbeveiliging van producten met digitale elementen.

In de praktijk valt een product dat software bevat, verbinding maakt met een netwerk, digitaal gegevens uitwisselt of ingebouwde, verbonden technologie bevat, waarschijnlijk binnen het toepassingsgebied.

De regelgeving is van toepassing op de gehele productlevenscyclus en legt verplichtingen op met betrekking tot ontwikkeling met beveiliging vanaf het ontwerp, kwetsbaarheidsbeheer, beveiligingsupdates en patches, incident- en kwetsbaarheidsrapportage, technische documentatie en conformiteitsbeoordelingen, en doorlopend productbeveiligingsonderhoud. Ook worden er financiële sancties opgelegd en, wellicht nog belangrijker, bestaat de mogelijkheid dat producten worden beperkt of volledig van de markt worden gehaald als organisaties zich aanhoudend en ernstig niet aan de regels houden.

Het doel is om het aantal onveilige digitale producten dat de Europese markt binnenkomt te verminderen en tegelijkertijd een consistentere basis te creëren voor de verwachtingen ten aanzien van cyberbeveiliging in alle lidstaten. Belangrijk is dat dit geen richtlijn of aanbevolen kader is. De CRA is een wettelijk bindende verordening.

Waarom de CRA belangrijk is

Een van de redenen waarom de CRA zoveel aandacht heeft gekregen, is dat het de verantwoordelijkheidsverdeling verandert.

Historisch gezien richtten veel cyberregelgevingen zich op de veerkracht van organisaties: hoe bedrijven risico's beheren, reageren op incidenten, leveranciers controleren en kritieke diensten beschermen. De CRA verlegt de aandacht naar de beveiliging van het product zelf.

In feite behandelt de regelgeving cyberbeveiliging meer als traditionele productveiligheid. Net zoals van fabrikanten wordt verwacht dat ze ervoor zorgen dat fysieke producten aan veiligheidsnormen voldoen voordat ze op de markt komen, verwacht de CRA dat digitale producten aan basisvereisten voor cyberbeveiliging voldoen voordat ze in de EU verkocht mogen worden. Dit heeft aanzienlijke gevolgen voor productontwikkelingsteams, technische afdelingen, softwareleveranciers, inkoopmanagers en toeleveringsketens.

Het bevestigt tevens een bredere markttrend. Klanten, toezichthouders, verzekeraars en investeerders verwachten steeds vaker dat organisaties niet alleen aantonen dat ze kunnen reageren op cyberincidenten, maar ook dat beveiliging vanaf het begin in hun producten is ingebouwd.

Op wie is de CRA van toepassing?

Een veelvoorkomende misvatting is dat de regelgeving alleen van toepassing is op organisaties met hun hoofdkantoor in de EU. In werkelijkheid is de CRA van toepassing op elke organisatie die in aanmerking komende producten op de EU-markt brengt, ongeacht waar het bedrijf zelf gevestigd is. Dat betekent dat organisaties in het VK, de VS en wereldwijd onder de regelgeving kunnen vallen als ze producten met digitale elementen in Europa verkopen.

De regelgeving zal naar verwachting een breed scala aan organisaties beïnvloeden, waaronder:

Softwareleveranciers
SaaS- en cloudproviders
IoT-fabrikanten
Hardwarefabrikanten met ingebouwde software
Leveranciers van industriële technologie
Importeurs en distributeurs van digitale producten

Fabrikanten dragen de grootste verantwoordelijkheid onder de regelgeving, omdat zij verantwoordelijk zijn voor de naleving ervan gedurende de gehele productlevenscyclus.

Er zijn ook categorieën van "kritieke producten" die aan verscherpt onderzoek en strengere conformiteitseisen worden onderworpen vanwege het cyberrisico dat ermee gepaard gaat.

Wat de CRA (Canada Revenue Agency) vereist

De operationele impact van de CRA is waar veel organisaties waarschijnlijk de grootste druk zullen voelen. De regelgeving gaat niet alleen over het opstellen van documentatie of het bijwerken van beleid. Organisaties moeten aantonen dat beveiliging operationeel is gemaakt gedurende de gehele productlevenscyclus. Dat houdt onder meer in dat beveiligingsprincipes worden ingebed in ontwikkelingsprocessen, dat effectieve kwetsbaarheidsbeheersystemen worden onderhouden, dat beveiligingsupdates op de juiste manier worden uitgebracht en dat technisch bewijs van naleving wordt bijgehouden.

Voor veel bedrijven vereist dit een beter inzicht in softwarecomponenten, afhankelijkheden, leveranciers en risico's van derden. Het legt ook meer nadruk op volwaardige processen voor kwetsbaarheidsbeheer en duidelijkere escalatieprocedures tussen de beveiligings-, engineering-, product- en compliance-teams. In de praktijk zullen sommige organisaties wellicht ontdekken dat de grootste uitdaging niet zozeer het begrijpen van de regelgeving zelf is, maar de operationele paraatheid.

Incidentrapportage onder de CRA en het ENISA-platform

Een van de meest operationele aspecten van de CRA is de invoering van verplichte meldingsplicht voor incidenten en kwetsbaarheden. Fabrikanten zijn verplicht om het volgende te rapporteren:

Actief misbruikte kwetsbaarheden
Ernstige incidenten die de beveiliging van producten met digitale elementen in gevaar brengen.

Belangrijk is dat de meldingsplicht specifiek gekoppeld is aan productbeveiliging en de exploitatie van kwetsbaarheden. Dit maakt de CRA anders dan de bredere meldingsplicht bij datalekken onder regelgeving zoals de AVG of NIS 2..

De tijdschema's zijn opzettelijk veeleisend. Onder Artikel 14 van de CRA, Van organisaties wordt verwacht dat zij het volgende indienen:

Een vroegtijdige waarschuwingsmelding binnen 24 uur nadat een actief misbruikte kwetsbaarheid of een ernstig incident is ontdekt.
Een meer gedetailleerde melding binnen 72 uur.
Een definitief rapport binnen één maand.

Voor veel organisaties kunnen deze rapportageperiodes operationeel lastig te realiseren zijn, met name wanneer de softwareleveringsketens complex zijn of het inzicht in afhankelijkheden beperkt is.

De verordening introduceert tevens een gecentraliseerde rapportagestructuur die is gekoppeld aan het Europees Agentschap voor cyberbeveiliging (ENISA). ENISA ontwikkelt een Single Reporting Platform (SRP). Dit is ontworpen om de rapportage in de lidstaten te stroomlijnen. In plaats van bedrijven te verplichten meerdere nationale autoriteiten afzonderlijk op de hoogte te stellen, is het de bedoeling een meer uniform rapportagesysteem te creëren. De momenteel gepubliceerde rapportageprocedure beschrijft het verwachte proces als volgt:

Een fabrikant identificeert een misbruikte kwetsbaarheid of een ernstig incident.
Een eerste melding wordt ingediend via het ENISA-rapportageplatform.
De relevante nationale autoriteiten en de teams voor de respons op computerbeveiligingsincidenten (CSIRTs) worden op de hoogte gesteld.
Aanvullende technische informatie en details over de herstelmaatregelen worden vervolgens via dezelfde structuur ingediend.

Op het moment van schrijven is het platform zelf nog in ontwikkeling en zullen de rapportageverplichtingen naar verwachting vanaf september 2026 van kracht worden.

Operationeel gezien zullen deze verplichtingen waarschijnlijk meer druk uitoefenen op:

Kwetsbaarheidsmonitoring
Interne escalatieprocedures
Zichtbaarheid van de softwarestuklijst (SBOM)
Toezicht op leveranciers
Coördinatie van de respons op incidenten
Communicatie tussen de teams voor engineering, beveiliging, juridische zaken en compliance.

Belangrijke data die bedrijven moeten weten

Er zijn twee belangrijke data waarop organisaties zich nu al zouden moeten voorbereiden.

Vanaf 11 september 2026 gaan de meldingsverplichtingen van de CRA met betrekking tot kwetsbaarheden en incidenten van kracht.

De bredere nalevingsverplichtingen treden in werking op 11 december 2027. Vanaf dat moment moeten producten die de EU-markt betreden voldoen aan de cybersecurity-eisen van de CRA, technische documentatie bijhouden, relevante conformiteitsbeoordelingen voltooien en voldoen aan de bijbehorende CE-markeringsverplichtingen– de conformiteitsmarkeringseis, bekend van de fysieke productveiligheid, die bevestigt dat een product voldoet aan de toepasselijke EU-regelgeving voordat het op de markt wordt gebracht.

Hoewel die deadlines nog ver weg lijken, merken veel organisaties met complexe toeleveringsketens of beperkt inzicht in de supply chain management (SBOM) nu al dat de operationele voorbereiding aanzienlijk langer duurt dan verwacht.

Wat bedrijven vaak verkeerd begrijpen over de Canadese belastingdienst (CRA)

Een van de meest voorkomende misverstanden is de opvatting dat de CRA (Consumer Regulation Act) voornamelijk een IoT-regelgeving is. Hoewel verbonden consumentenapparaten zeker onder de reikwijdte vallen, is de regelgeving veel breder van toepassing dan veel organisaties aanvankelijk denken. Bedrijfssoftware, cloudgebaseerde platforms, industriële technologieën, embedded softwaresystemen en een breed scala aan verbonden producten kunnen allemaal worden beïnvloed.

Een andere misvatting is dat de regelgeving alleen van toepassing is op organisaties met hun hoofdkantoor binnen de EU. In werkelijkheid is de CRA van toepassing op organisaties die producten met digitale elementen op de EU-markt brengen, ongeacht waar het bedrijf zelf gevestigd is. Organisaties uit het VK en de VS die in Europa verkopen, hebben dezelfde verplichtingen als aanbieders die in de EU gevestigd zijn.

Er bestaat ook een neiging om te onderschatten hoe operationeel de regelgeving is. De CRA is niet zomaar een documentatieoefening of een ander beleidsgestuurd compliancekader. Organisaties moeten aantonen dat ze veilige ontwikkelmethoden hanteren, processen voor het afhandelen van kwetsbaarheden hebben, patchbeheermogelijkheden bieden en doorlopend productbeveiligingsonderhoud uitvoeren.

Dit betekent dat de regelgeving waarschijnlijk gevolgen zal hebben voor:

Engineering- en ontwikkelingsteams
Productfuncties
DevOps en beveiligingsactiviteiten
Inkoop- en leveranciersbeheer
Juridische en compliance-teams
Uitvoerend leiderschap

Veel organisaties onderschatten ook de benodigde voorbereidingstijd. De grootste uitdaging is waarschijnlijk niet het begrijpen van de regelgeving zelf. Vaker ligt de moeilijkheid in de operationele paraatheid. Veelvoorkomende knelpunten zijn onder andere:

Beperkt inzicht in softwarecomponenten en afhankelijkheden.
Onvolledig SBOM-beheer
Zwakke controle op de beveiliging van leveranciers
Gefragmenteerde processen voor kwetsbaarheidsbeheer
Onvolwassen escalatie- en rapportageprocedures
Moeilijkheid om aan te tonen dat er sprake is van ontwikkelingspraktijken die van meet af aan veiligheid garanderen.

Ten slotte richten veel bedrijven zich in eerste instantie op de financiële sancties die aan de regelgeving verbonden zijn, terwijl ze de bredere commerciële gevolgen over het hoofd zien. Autoriteiten kunnen de verkoop beperken, corrigerende maatregelen eisen, terugroepacties afdwingen of niet-conforme producten volledig van de EU-markt verwijderen. Voor veel organisaties kan de voortdurende toegang tot de Europese markt uiteindelijk de belangrijkste drijfveer worden om aan de CRA-voorschriften te voldoen.

De sancties bij niet-naleving

De financiële sancties onder de CRA zijn aanzienlijk. Voor de ernstigste overtredingen kunnen organisaties boetes krijgen tot € 15 miljoen of 2.5% van de wereldwijde jaaromzet, afhankelijk van welk bedrag hoger is. Deze sancties kunnen worden opgelegd wanneer organisaties niet voldoen aan de cybersecurity-eisen, hun rapportageverplichtingen verwaarlozen of niet-conforme producten op de markt brengen.

Er kunnen aanvullende sancties worden opgelegd wanneer organisaties onjuiste of misleidende informatie aan toezichthouders verstrekken.

De financiële sancties alleen dekken echter niet het volledige bedrijfsrisico dat aan de regelgeving verbonden is. De potentiële impact op markttoegang, klantvertrouwen, geschiktheid voor aanbestedingen en leveranciersrelaties kan commercieel gezien zelfs nog belangrijker zijn.

Voorbereiding op de CRA: Waar te beginnen?

Voor veel organisaties, De voorbereiding vereist meer dan alleen het herzien van beleid of het bijwerken van nalevingsdocumentatie.De regelgeving zal bedrijven waarschijnlijk dwingen om te onderzoeken hoe beveiliging is ingebed in productontwerp, -ontwikkeling, -onderhoud, leveranciersbeheer en incidentafhandeling.

Voor veel organisaties is het het beste om eerst de reikwijdte te bepalen: inzicht krijgen in welke producten onder de regelgeving vallen en welke niet. Van daaruit kan de voorbereiding in een logische volgorde verlopen:

Fundament: zorg voor zichtbaarheid. De meeste organisaties merken dat de grootste uitdaging in de beginfase niet zozeer de procesvolwassenheid is, maar eerder het gebrek aan inzicht, met name het vermogen om softwarecomponenten en -afhankelijkheden in kaart te brengen via een goed bijgehouden softwarelijst (SBOM). Zonder dit ontbreekt een betrouwbare basis voor kwetsbaarheidsbeheer en leverancierstoezicht.

Proces: kwetsbaarheden en incidentrespons versterken. Met een duidelijk inzicht kunnen organisaties de volwassenheid van hun kwetsbaarheidsbeheerprocessen beoordelen, hun vermogen om te voldoen aan de ambitieuze rapportagetermijnen van de CRA (Common Reporting Agency) en de effectiviteit van de escalatieprocedures tussen de afdelingen engineering, beveiliging en compliance.

Garantie: bewijs van beveiligingsprincipes die vanaf het ontwerp zijn toegepast. De laatste stap is aantonen dat beveiliging al tijdens de ontwikkelingscyclus is ingebouwd en niet achteraf is toegevoegd. Dit is doorgaans het punt waar Organisaties met volwaardige governancekaders, zoals ISO 27001, zijn beter gepositioneerd.De infrastructuur voor controles bestaat al; deze moet worden uitgebreid en gericht op productbeveiliging.

Dit is ook de reden waarom veel bedrijven hun bestaande governance- en beveiligingskaders steeds vaker afstemmen op de nieuwe productbeveiligingseisen. Kaderwerken alleen garanderen geen naleving, maar organisaties met een volwassen governance, risicomanagement, leverancierstoezicht en incidentrespons zullen waarschijnlijk in een sterkere positie verkeren wanneer de CRA-verplichtingen van kracht worden.

De reisrichting

De Cyber Resilience Act (CRA) vertegenwoordigt een belangrijke evolutie in de regelgeving rondom cyberbeveiliging. In plaats van zich uitsluitend te richten op organisatorisch bestuur of veerkracht, legt de CRA de cyberbeveiligingseisen direct op de digitale producten zelf. Voor organisaties die actief zijn op de Europese markt, zal dit waarschijnlijk niet alleen een kwestie van compliance worden, maar ook van productstrategie, operationele veerkracht en commercieel vertrouwen.

De organisaties die het best in staat zijn om succesvol te reageren, zijn waarschijnlijk degenen die de CRA niet langer zien als een compliance-oefening op het laatste moment, maar als onderdeel van een bredere verschuiving naar veilige bedrijfsvoering vanaf het ontwerp, grotere veerkracht en meer productverantwoordelijkheid.

Uiteindelijk weerspiegelt de CRA een bredere realiteit waarmee moderne bedrijven worden geconfronteerd: cybersecurity is niet langer alleen een verantwoordelijkheid van de IT-afdeling. Het wordt in toenemende mate een kernvereiste voor productkwaliteit, klantvertrouwen en markttoegang.