--- id: CP-370 slug: cyber-resilience-act-cra-nl lang: nl title: De Cyber Resilience Act description: "Verordening (EU) 2024/2847 legt fabrikanten van digitale producten cyberbeveiligingsregels op: wat dat voor u als medewerker verandert." canonical_url: https://startbrain.io/cyberpedia/nl/articles/cyber-resilience-act-cra-nl/ markdown_url: https://startbrain.io/cyberpedia/nl/articles/cyber-resilience-act-cra-nl.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: Brain, “De Cyber Resilience Act”, Cyberpedia, 2026. https://startbrain.io/cyberpedia/nl/articles/cyber-resilience-act-cra-nl/ (CC BY 4.0) wing: 6 theme: safeguard_data reflex: cr-035 schema: G3 updated: "2026-11-03" translations: nl: https://startbrain.io/cyberpedia/nl/articles/cyber-resilience-act-cra-nl/ fr: https://startbrain.io/cyberpedia/fr/articles/cyber-resilience-act-cra/ en: https://startbrain.io/cyberpedia/en/articles/cyber-resilience-act-cra-explained/ de: https://startbrain.io/cyberpedia/de/articles/cyber-resilience-act-cra-de/ es: https://startbrain.io/cyberpedia/es/articles/reglamento-ciberresiliencia-cra/ it: https://startbrain.io/cyberpedia/it/articles/regolamento-cyber-resilience-act-cra/ sources: - "n": 1 title: Cyber Resilience Act publisher: Commission européenne url: https://digital-strategy.ec.europa.eu/en/policies/cyber-resilience-act published: "2026-09-07" accessed: "2026-11-03" - "n": 2 title: Secure by Design | CISA publisher: CISA url: https://www.cisa.gov/securebydesign accessed: "2026-11-03" - "n": 3 title: Secure Software Development Framework | CSRC publisher: NIST url: https://csrc.nist.gov/projects/ssdf published: "2026-10-06" accessed: "2026-11-03" - "n": 4 title: Secure-by-Design | CISA publisher: CISA url: https://www.cisa.gov/resources-tools/resources/secure-by-design published: "2023-10-25" accessed: "2026-11-03" --- # De Cyber Resilience Act Een smartwatch, een babyfoon, een app of een programma voor op de computer: al deze producten kunnen een beveiligingsrisico met zich meebrengen dat gebruikers moeilijk zien. De Cyber Resilience Act (CRA), Verordening (EU) 2024/2847, wil bereiken dat apparaten en software zo worden ontworpen, bijgewerkt en onderhouden dat ze de mensen die ermee werken beschermen [1]. De tekst richt zich in de eerste plaats tot fabrikanten. Toch verandert wat fabrikanten moeten doen ook wat het bedrijf kan kopen, hoe het zijn leveranciers kan vergelijken en wat het hun kan vragen. ## In 30 seconden - Waar het voorkomt: in producten met digitale elementen, hardware of software [1]. - Wat de tekst wil: het lage cyberbeveiligingsniveau van veel producten en het gebrek aan tijdige beveiligingsupdates verminderen [1]. - De reflex: vraag de leverancier voordat u een verbonden product koopt of installeert hoe hij omgaat met kwetsbaarheden en updates. De CE-markering op grond van de CRA komt later, want de belangrijkste verplichtingen gelden vanaf 11 december 2027 [1]. - Als het al gebeurd is: meld een product waarvan de fabrikant niet antwoordt over zijn updates vóór elk gebruik bij de IT-afdeling of de afdeling inkoop. ## Directe vragen ### Wat is de Cyber Resilience Act? Het is een Europese verordening die verplichte cyberbeveiligingseisen stelt aan fabrikanten van producten met digitale elementen. Ze beslaat de planning, het ontwerp, de ontwikkeling en het onderhoud van die producten [1]. ### Wie krijgt ermee te maken? De verordening beschermt consumenten en bedrijven die software of hardware met digitale elementen kopen [1]. De verplichtingen rusten op de fabrikanten en moeten in elke fase van de waardeketen worden nageleefd [1]. Op de pagina van de Commissie staat ook dat fabrikanten overal in de toeleveringsketen een verantwoordelijkheid voor de beveiliging dragen [1]. ### Waaraan herkent u een conform product? Producten krijgen de CE-markering om aan te geven dat ze aan de eisen van de verordening voldoen [1]. De nationale markttoezichtautoriteiten zien toe op de toepassing van de regels [1]. ### Is de verordening al van kracht? Ze is op 10 december 2024 in werking getreden [1]. De meldingsverplichtingen gelden vanaf 11 september 2026 en de belangrijkste verplichtingen vanaf 11 december 2027 [1]. ### Moet een risicovol product door een derde worden gecontroleerd? Bepaalde producten die voor de cyberbeveiliging bijzonder belangrijk zijn, moeten mogelijk een beoordeling door een aangemelde instantie, een derde partij, ondergaan voordat ze op de markt van de Unie worden verkocht [1]. ## Wat er verandert voor medewerkers De verordening geeft de gewone medewerker geen taak. Het effect is indirect: de Commissie legt uit dat consumenten en bedrijven moeilijk kunnen weten welke producten veilig zijn en ze moeilijk goed kunnen configureren, en dat de CRA het gemakkelijker moet maken producten met de juiste cyberbeveiligingsfuncties te herkennen [1]. Kies liever voor apparaten en software die het bedrijf heeft goedgekeurd dan voor een verbonden product dat u op eigen initiatief koopt of installeert. Accepteer de aangeboden updates, want het ontbreken van tijdige updates hoort bij de problemen die de tekst wil verhelpen [1]. Een product dat geen patches meer krijgt melden bij uw IT-afdeling blijft een verstandig advies, geen verplichting uit de verordening. De meldingsverplichtingen van de CRA richten zich tot de fabrikanten [1]. ## Wat er verandert voor de directie Voor de inkoop geldt dat producten de CE-markering zullen dragen [1]: de directie kan die als controlecriterium hanteren naarmate de tekst van toepassing wordt. Ze kan leveranciers ook vragen hoe ze kwetsbaarheden beheren gedurende de hele levensduur van het product, aangezien de verordening dat van fabrikanten eist [1]. De hier aangehaalde bronnen beschrijven de rollen van fabrikant, importeur en distributeur niet in detail. Een directie die hierover vragen heeft, moet de juridische tekst lezen en de praktische gids die de Commissie op 27 juli 2026 publiceerde, bedoeld voor fabrikanten, ontwikkelaars en bedrijven van elke omvang [1]. Amerikaanse referentiekaders beschrijven dezelfde beweging en kunnen als leidraad dienen voor een gesprek met een leverancier. Aan de kant van de koper publiceert de CISA een gids, "Secure by Demand", bedoeld voor elke afnemer van software bij inkoopgesprekken met wederverkopers of dienstverleners [2]. De CISA verwacht dat producten meteen veilig zijn, met multifactorauthenticatie, logging en single sign-on beschikbaar zonder meerprijs [2]. Het SSDF-kader van het NIST is een verzameling praktijken voor veilige softwareontwikkeling. Het biedt een gemeenschappelijke taal waarmee softwareproducenten en hun kopers elkaar bij de inkoop beter begrijpen [3]. De praktijken zijn verdeeld in vier groepen: de organisatie voorbereiden, de software beschermen, goed beveiligde software produceren en reageren op kwetsbaarheden [3]. Het NIST benadrukt dat dit kader geen afvinklijst is [3]. ## Wat de tekst zegt De CRA legt fabrikanten verplichte cyberbeveiligingseisen op, van de planning tot het onderhoud van het product [1]. Fabrikanten moeten kwetsbaarheden behandelen gedurende de hele levenscyclus van hun producten [1]. Voor bepaalde producten kan een beoordeling door een aangemelde instantie vereist zijn [1]. De CE-markering zal de conformiteit bevestigen [1]. De nationale markttoezichtautoriteiten zullen de regels handhaven [1]. De CRA bouwt voort op de cyberbeveiligingsstrategie van de Unie van 2020 en op de strategie voor de veiligheidsunie, en vult de NIS2-richtlijn aan [1]. De Commissie heeft aparte pagina's over fabrikanten, lidstaten, conformiteitsbeoordeling, micro-ondernemingen en kmo's, opensourcesoftware, normalisatie en meldingsverplichtingen [1]. Die zijn voor deze fiche niet gelezen. ## Hoe ver de toepassing staat - 10 december 2024: inwerkingtreding van de verordening [1]. - 27 juli 2026: de Commissie publiceert een praktische gids om fabrikanten, ontwikkelaars en bedrijven van elke omvang te helpen aan hun verplichtingen te voldoen [1]. - 11 september 2026: begin van de meldingsverplichtingen. Fabrikanten moeten actief misbruikte kwetsbaarheden melden [1]. - 11 december 2027: toepassing van de belangrijkste verplichtingen [1]. De pagina van de Commissie is voor het laatst bijgewerkt op 7 september 2026 [1]. Een product dat nu op de markt komt, valt dus nog niet onder alle belangrijkste verplichtingen, die pas vanaf december 2027 gelden [1]. De CISA en 17 Amerikaanse en internationale partners hebben een update van hun principes "Secure by Design" gepubliceerd, waarvan de eerste uitgave van april 2023 dateert [4]. Die principes zijn: de verantwoordelijkheid nemen voor de beveiligingsresultaten van klanten, radicale transparantie en verantwoordingsplicht omarmen, en leiden vanaf de top [4]. Het zijn aanbevelingen [4]. ## Bronnen 1. Commission européenne, “Cyber Resilience Act”, 7 september 2026. https://digital-strategy.ec.europa.eu/en/policies/cyber-resilience-act (geraadpleegd op 3 november 2026) 2. CISA, “Secure by Design | CISA”. https://www.cisa.gov/securebydesign (geraadpleegd op 3 november 2026) 3. NIST, “Secure Software Development Framework | CSRC”, 6 oktober 2026. https://csrc.nist.gov/projects/ssdf (geraadpleegd op 3 november 2026) 4. CISA, “Secure-by-Design | CISA”, 25 oktober 2023. https://www.cisa.gov/resources-tools/resources/secure-by-design (geraadpleegd op 3 november 2026) --- Oorspronkelijke bron: Cyberpedia, de openbare encyclopedie over cyberveiligheid en AI van Brain. Canonieke versie: https://startbrain.io/cyberpedia/nl/articles/cyber-resilience-act-cra-nl/ U mag deze tekst vrij hergebruiken onder de licentie CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/), mits u “Brain, Cyberpedia” vermeldt met een link naar bovenstaand adres.