De Cyber Resilience Act: wat betekent de CRA voor uw digitale producten?

Bijna alles wat we kopen of maken heeft tegenwoordig een digitaal hart: de slimme thermostaat, de app op uw telefoon, de firewall in het serverhok. Maar hoe veilig is dat hart eigenlijk, en wie is verantwoordelijk als het misgaat? Met de Cyber Resilience Act (CRA) geeft Europa daar een duidelijk antwoord op. En de eerste verplichting geldt al sinds 11 september 2026. Hoog tijd dus om te weten waar u staat.

Wat is de CRA?

De CRA, officieel de Verordening cyberweerbaarheid, is een Europese verordening die de beveiliging van digitale producten moet verbeteren. Ze is eind 2024 in werking getreden en geldt rechtstreeks in Nederland. Op 11 december 2027 is de volledige CRA van kracht. Vanaf dat moment moeten alle producten met digitale elementen veilig ontworpen en gemaakt zijn, en door updates veilig blijven.

Valt uw product eronder?

Grote kans van wel. De CRA geldt voor alle producten met digitale elementen op de Europese markt. Dat zijn fysieke producten zoals IoT-apparaten, firewalls en netwerkapparatuur, maar ook software zoals mobiele apps, videogames en besturingssystemen. Zelfs componenten als videokaarten en softwarebibliotheken vallen eronder.

Producten worden ingedeeld in vier categorieën: regulier, belangrijk klasse I, belangrijk klasse II en kritiek. Hoe zwaarder de categorie, hoe strenger de controle. Voor een gewone app volstaat een zelfbeoordeling, voor een firewall of smartcard is een onafhankelijke instantie (notified body) nodig. Bepalend is de kernfunctie van product. Een smartphone met een wachtwoordmanager wordt dus niet ineens een “belangrijk product”.

De meldplicht geldt al

Sinds 11 september 2026 moeten fabrikanten actief misbruikte kwetsbaarheden en ernstige incidenten melden bij het NCSC, via MijnNCSC of het CRA-meldformulier. Denk aan een foutieve update met ernstige gevolgen. Dat moet zonder onnodige vertraging, en in ieder geval binnen 24 uur na ontdekking.

Hoe begint u?

December 2027 lijkt ver weg, maar een veilig ontwerp en een werkend meldproces regelt u niet in een paar weken. Begin met drie vragen:

• Welke van onze producten hebben digitale elementen, en in welke categorie vallen ze?
• Zijn we fabrikant, importeur of distributeur?

• Kunnen we een kwetsbaarheid binnen 24 uur melden en daarna snel oplossen?

Hoe Aranea u helpt

Regels werken pas als ze landen in de dagelijkse praktijk. Daarom zien we veiligheid als randvoorwaarde: privacy, security en compliance ingebouwd vanaf dag één. We brengen samen met u in kaart wat de CRA voor uw organisatie betekent en vertalen dat naar concrete stappen. Geen dikke rapporten, wel aantoonbaar in control. Neem vrijblijvend contact op met ons.