De Cyber Resilience Act (CRA) komt eraan.
Is uw product klaar?

De Cyber Resilience Act is op EU-niveau aangenomen en zal in fases ingevoerd worden.

• De eerste deadline is 11 september 2026, wanneer de rapportageverplichtingen in werking treden.
• Vanaf 11 december 2027 moet volledig aan de vereisten worden voldaan.

Dat klinkt misschien alsof er nog tijd genoeg is, maar het integreren van beveiliging in uw ontwikkelings- en ondersteuningsprocessen is geen kwestie van even snel regelen. Hoe eerder u begint, hoe meer ruimte u heeft om het goed aan te pakken.

Dat hangt af van het type software. Als uw software lokaal geïnstalleerd moet worden en een netwerkverbinding vereist, valt deze hoogstwaarschijnlijk binnen het toepassingsgebied. Pure SaaS-producten vallen over het algemeen niet onder de Cyber Resilience Act, hoewel ze mogelijk wel onder NIS2 vallen. De grens is niet altijd eenduidig, en de EU werkt nog aan technische richtsnoeren om hierover duidelijkheid te scheppen. Als u twijfelt, neem dan contact met ons op, dan zoeken we het samen uit.

Dat hangt af van de manier waarop de software wordt verspreid. Open-sourcesoftware die op niet-commerciële basis wordt ontwikkeld en gedeeld, valt over het algemeen buiten het toepassingsgebied van de Cyber Resilience Act. Als u echter inkomsten uit de software genereert, betaalde ondersteuning aanbiedt of de software in een commercieel product integreert, kunt u wel onder het toepassingsgebied vallen. De grens is niet altijd even duidelijk, en de EU werkt nog aan technische richtsnoeren om grensgevallen te verduidelijken. Als uw organisatie open-sourcesoftware commercieel verspreidt of erop voortbouwt, is het de moeite waard om uw situatie zorgvuldig te beoordelen.

ISO 27001 vormt al een sterke basis, maar is op zichzelf niet voldoende. Deze norm richt zich op de manier waarop uw organisatie de informatiebeveiliging beheert. De Cyber Resilience Act gaat een stap verder door specifieke eisen te stellen aan de producten die u ontwikkelt en verkoopt. Dit omvat onder meer hoe u deze ontwerpt, hoe u omgaat met kwetsbaarheden na de lancering, en hoe u uw naleving documenteert en aantoont.

Dat gezegd hebbende, vullen ISO 27001 en de Cyber Resilience Act elkaar goed aan. De 2022-versie van ISO 27001 bevat een aantal maatregelen in bijlage A die specifiek betrekking hebben op veilige ontwikkeling, waaronder veilige codeerpraktijken, de bescherming van testomgevingen en beveiliging in ontwikkelings- en ondersteuningsprocessen. Deze maatregelen vormen een nuttig uitgangspunt, maar de Cyber Resilience Act verwacht een meer productspecifieke en gedocumenteerde aanpak die verder gaat dan wat ISO 27001 op zichzelf vereist.

De twee verordeningen hebben verschillende doelstellingen. NIS2 richt zich op de manier waarop organisaties hun eigen systemen, netwerken en dagelijkse werkzaamheden beveiligen. De CRA richt zich op de producten die zij ontwikkelen en verkopen.

Als uw organisatie onder NIS2 valt en tevens producten met digitale elementen ontwikkelt of distribueert, zijn beide verordeningen op u van toepassing. In de praktijk vullen de twee verordeningen elkaar aan. Sterk bestuur en risicobeheer in het kader van NIS2 vormen een goede basis voor naleving van de Cyber Resilience Act, maar de Cyber Resilience Act voegt productspecifieke verplichtingen toe die niet onder NIS2 vallen.

Niet-naleving kan leiden tot boetes, handhavingsmaatregelen of een verbod op de verkoop van uw product op de EU-markt. Naast de juridische gevolgen kan dit ook invloed hebben op uw relaties met klanten en partners, evenals op uw verzekeringsdekking. Nog belangrijker is dat de Cyber Resilience Act bedoeld is om de lat voor alle digitale producten in Europa hoger te leggen. Organisaties die dit als een strategische prioriteit beschouwen in plaats van als een wettelijke verplichting, zullen er zowel commercieel als qua reputatie beter voor staan.

Naleving van de Cyber Resilience Act wordt voornamelijk aangetoond door middel van de CE-markering, in combinatie met een gedocumenteerde conformiteitsbeoordeling. Dit betekent dat u moet kunnen aantonen welke risicobeoordeling u hebt uitgevoerd, welke beveiligingsmaatregelen u hebt getroffen, hoe kwetsbaarheden worden gemonitord en aangepakt, en hoe beveiligingsupdates beschikbaar worden gesteld. De Cyber Resilience Act vereist ook dat bepaalde informatie openbaar wordt gemaakt, zoals relevante risico’s en beveiligingsaspecten van uw product. Naleving gaat dus niet alleen over wat u doet. Het gaat er ook om dat u dit duidelijk en consistent kunt aantonen.

Cingulum kan u helpen met al deze nalevingsdocumenten. 

Vanaf 11 september 2026 moeten organisaties actief misbruikte kwetsbaarheden en ernstige incidenten die de beveiliging van hun producten aantasten, melden aan de bevoegde nationale autoriteiten. De meldingstermijn is strikt: binnen 24 uur nadat het incident bekend is geworden, moet een eerste melding worden ingediend, gevolgd door een meer gedetailleerde melding binnen 72 uur. Dit vereist duidelijke interne processen, ruim voordat de deadline verstrijkt. Veel organisaties onderschatten hoeveel structurele voorbereiding dit vergt, van het vaststellen van verantwoordelijkheden tot het opzetten van de juiste monitoring- en documentatieprocessen.

Ja, als uw producten op de EU-markt worden gebracht, is de Cyber Resilience Act van toepassing, ongeacht waar uw organisatie is gevestigd. De verordening geldt voor het product, niet voor de producent. Als u aan klanten in de EU verkoopt, naar de EU importeert of onder uw eigen merk binnen de EU distribueert, valt u onder het toepassingsgebied. Veel niet-Europese fabrikanten en softwareontwikkelaars worden hierdoor geraakt, zelfs als ze geen fysieke aanwezigheid in Europa hebben.