De Cyber Resilience Act (CRA, Verordening (EU) 2024/2847) stelt verplichte cyberbeveiligingseisen aan hardware- en softwareproducten die in de Europese Unie op de markt komen. De verordening is op 10 december 2024 in werking getreden. Sinds 11 september 2026 geldt de eerste verplichting: fabrikanten moeten actief misbruikte kwetsbaarheden melden.
Wat moet er worden gemeld?
Volgens Jones Day, dat de richtsnoeren van de Europese Commissie samenvat, moeten fabrikanten twee dingen melden:
- elke actief misbruikte kwetsbaarheid in hun product;
- elk ernstig incident dat de beveiliging van hun product raakt.
De melding gaat tegelijk naar het Europese cyberbeveiligingsagentschap ENISA en naar de aangewezen CSIRT-coördinator, via het Single Reporting Platform van ENISA. De termijnen lopen vanaf het moment dat de fabrikant het weet:
- Vroege waarschuwing: binnen 24 uur.
- Melding: binnen 72 uur.
- Eindrapport: binnen 14 dagen nadat een oplossing of maatregel beschikbaar is (bij een misbruikte kwetsbaarheid), of binnen een maand na de melding van 72 uur (bij een ernstig incident).
Deze meldplicht geldt ook voor producten die al vóór 11 december 2027 op de markt zijn gebracht. De Europese Commissie publiceerde op 27 juli 2026 haar richtsnoeren over de toepassing van de verordening.
Wat komt er nog aan?
De belangrijkste verplichtingen van de CRA gelden vanaf 11 december 2027. Volgens de Europese Commissie omvatten de eisen de planning, het ontwerp, de ontwikkeling en het onderhoud van een product, en moeten fabrikanten kwetsbaarheden gedurende de hele levensduur van het product afhandelen. De verordening geldt voor hardware en software met digitale elementen, zoals babyfoons, smartwatches, apps en computerprogramma’s. Conforme producten krijgen een CE-markering.
Wat betekent dit voor jou?
De CRA richt zich op fabrikanten, niet op gebruikers. Toch merk je er als bedrijf of particulier iets van. Naar onze inschatting vallen ook netwerkapparatuur zoals routers en access points, en camera’s onder de verordening, omdat het hardware met digitale elementen is. Een paar praktische punten:
- Vraag bij de aanschaf van netwerkapparatuur, camera’s of slimme apparaten hoe lang de fabrikant beveiligingsupdates levert en waar je kwetsbaarheden kunt melden.
- Houd de firmware van je apparaten bij. Een melding van de fabrikant helpt alleen als jij de update ook installeert.
- Maak een overzicht van de apparaten op je netwerk en haal weg wat niet meer wordt bijgewerkt.
Hulp bij het overzicht van je netwerk of de apparatuur die je gebruikt? Lees over onze wifi-installatie en netwerkbekabeling, of neem contact met ons op.