De Cyber Resilience Act
Verordening (EU) 2024/2847 legt fabrikanten van digitale producten cyberbeveiligingsregels op: wat dat voor u als medewerker verandert.
In 30 seconden
- Waar het voorkomt
- In producten met digitale elementen, hardware of software1.
- Wat de tekst wil
- Het lage cyberbeveiligingsniveau van veel producten en het gebrek aan tijdige beveiligingsupdates verminderen1.
- De reflex
- Vraag de leverancier voordat u een verbonden product koopt of installeert hoe hij omgaat met kwetsbaarheden en updates. De CE-markering op grond van de CRA komt later, want de belangrijkste verplichtingen gelden vanaf 11 december 20271.
- Als het al gebeurd is
- Meld een product waarvan de fabrikant niet antwoordt over zijn updates vóór elk gebruik bij de IT-afdeling of de afdeling inkoop.
Waar gaat het over
Een smartwatch, een babyfoon, een app of een programma voor op de computer: al deze producten kunnen een beveiligingsrisico met zich meebrengen dat gebruikers moeilijk zien. De Cyber Resilience Act (CRA), Verordening (EU) 2024/2847, wil bereiken dat apparaten en software zo worden ontworpen, bijgewerkt en onderhouden dat ze de mensen die ermee werken beschermen1.
De tekst richt zich in de eerste plaats tot fabrikanten. Toch verandert wat fabrikanten moeten doen ook wat het bedrijf kan kopen, hoe het zijn leveranciers kan vergelijken en wat het hun kan vragen.
Directe vragen
Wat is de Cyber Resilience Act?
Het is een Europese verordening die verplichte cyberbeveiligingseisen stelt aan fabrikanten van producten met digitale elementen. Ze beslaat de planning, het ontwerp, de ontwikkeling en het onderhoud van die producten1.
Wie krijgt ermee te maken?
De verordening beschermt consumenten en bedrijven die software of hardware met digitale elementen kopen1. De verplichtingen rusten op de fabrikanten en moeten in elke fase van de waardeketen worden nageleefd1. Op de pagina van de Commissie staat ook dat fabrikanten overal in de toeleveringsketen een verantwoordelijkheid voor de beveiliging dragen1.
Waaraan herkent u een conform product?
Producten krijgen de CE-markering om aan te geven dat ze aan de eisen van de verordening voldoen1. De nationale markttoezichtautoriteiten zien toe op de toepassing van de regels1.
Is de verordening al van kracht?
Ze is op 10 december 2024 in werking getreden1. De meldingsverplichtingen gelden vanaf 11 september 2026 en de belangrijkste verplichtingen vanaf 11 december 20271.
Moet een risicovol product door een derde worden gecontroleerd?
Bepaalde producten die voor de cyberbeveiliging bijzonder belangrijk zijn, moeten mogelijk een beoordeling door een aangemelde instantie, een derde partij, ondergaan voordat ze op de markt van de Unie worden verkocht1.
1Wat er verandert voor medewerkers1 min
De verordening geeft de gewone medewerker geen taak. Het effect is indirect: de Commissie legt uit dat consumenten en bedrijven moeilijk kunnen weten welke producten veilig zijn en ze moeilijk goed kunnen configureren, en dat de CRA het gemakkelijker moet maken producten met de juiste cyberbeveiligingsfuncties te herkennen1.
Kies liever voor apparaten en software die het bedrijf heeft goedgekeurd dan voor een verbonden product dat u op eigen initiatief koopt of installeert. Accepteer de aangeboden updates, want het ontbreken van tijdige updates hoort bij de problemen die de tekst wil verhelpen1. Een product dat geen patches meer krijgt melden bij uw IT-afdeling blijft een verstandig advies, geen verplichting uit de verordening. De meldingsverplichtingen van de CRA richten zich tot de fabrikanten1.
2Wat er verandert voor de directieDirectie1 min
Voor de inkoop geldt dat producten de CE-markering zullen dragen1: de directie kan die als controlecriterium hanteren naarmate de tekst van toepassing wordt. Ze kan leveranciers ook vragen hoe ze kwetsbaarheden beheren gedurende de hele levensduur van het product, aangezien de verordening dat van fabrikanten eist1.
De hier aangehaalde bronnen beschrijven de rollen van fabrikant, importeur en distributeur niet in detail. Een directie die hierover vragen heeft, moet de juridische tekst lezen en de praktische gids die de Commissie op 27 juli 2026 publiceerde, bedoeld voor fabrikanten, ontwikkelaars en bedrijven van elke omvang1.
Amerikaanse referentiekaders beschrijven dezelfde beweging en kunnen als leidraad dienen voor een gesprek met een leverancier. Aan de kant van de koper publiceert de CISA een gids, "Secure by Demand", bedoeld voor elke afnemer van software bij inkoopgesprekken met wederverkopers of dienstverleners2. De CISA verwacht dat producten meteen veilig zijn, met multifactorauthenticatie, logging en single sign-on beschikbaar zonder meerprijs2.
Het SSDF-kader van het NIST is een verzameling praktijken voor veilige softwareontwikkeling. Het biedt een gemeenschappelijke taal waarmee softwareproducenten en hun kopers elkaar bij de inkoop beter begrijpen3. De praktijken zijn verdeeld in vier groepen: de organisatie voorbereiden, de software beschermen, goed beveiligde software produceren en reageren op kwetsbaarheden3. Het NIST benadrukt dat dit kader geen afvinklijst is3.
3Wat de tekst zegtOfficiële tekst1 min
De CRA legt fabrikanten verplichte cyberbeveiligingseisen op, van de planning tot het onderhoud van het product1. Fabrikanten moeten kwetsbaarheden behandelen gedurende de hele levenscyclus van hun producten1. Voor bepaalde producten kan een beoordeling door een aangemelde instantie vereist zijn1.
De CE-markering zal de conformiteit bevestigen1. De nationale markttoezichtautoriteiten zullen de regels handhaven1. De CRA bouwt voort op de cyberbeveiligingsstrategie van de Unie van 2020 en op de strategie voor de veiligheidsunie, en vult de NIS2-richtlijn aan1.
De Commissie heeft aparte pagina's over fabrikanten, lidstaten, conformiteitsbeoordeling, micro-ondernemingen en kmo's, opensourcesoftware, normalisatie en meldingsverplichtingen1. Die zijn voor deze fiche niet gelezen.
4Hoe ver de toepassing staat1 min
- 10 december 2024: inwerkingtreding van de verordening1.
- 27 juli 2026: de Commissie publiceert een praktische gids om fabrikanten, ontwikkelaars en bedrijven van elke omvang te helpen aan hun verplichtingen te voldoen1.
- 11 september 2026: begin van de meldingsverplichtingen. Fabrikanten moeten actief misbruikte kwetsbaarheden melden1.
- 11 december 2027: toepassing van de belangrijkste verplichtingen1.
De pagina van de Commissie is voor het laatst bijgewerkt op 7 september 20261. Een product dat nu op de markt komt, valt dus nog niet onder alle belangrijkste verplichtingen, die pas vanaf december 2027 gelden1.
De CISA en 17 Amerikaanse en internationale partners hebben een update van hun principes "Secure by Design" gepubliceerd, waarvan de eerste uitgave van april 2023 dateert4. Die principes zijn: de verantwoordelijkheid nemen voor de beveiligingsresultaten van klanten, radicale transparantie en verantwoordingsplicht omarmen, en leiden vanaf de top4. Het zijn aanbevelingen4.
Fiche
- Identificatie
- CP-370
- Vleugel
- 6. Governance en GRC
- Brain-competentie
- Gegevens beschermen (safeguard_data)
- Brain-reflex
- cr-035
- Schema
- G3 · Anatomische doorsnede
- Talen
- de, en, es, fr, it, nl
- Bronnen
- 4 bronnen gecontroleerd op 3 november 2026
Bronnen4 bronnen
- Commission européenne, “Cyber Resilience Act”, 7 september 2026. https://digital-strategy.ec.europa.eu/en/policies/cyber-resilience-act (geraadpleegd op 3 november 2026)
- CISA, “Secure by Design | CISA”. https://www.cisa.gov/securebydesign (geraadpleegd op 3 november 2026)
- NIST, “Secure Software Development Framework | CSRC”, 6 oktober 2026. https://csrc.nist.gov/projects/ssdf (geraadpleegd op 3 november 2026)
- CISA, “Secure-by-Design | CISA”, 25 oktober 2023. https://www.cisa.gov/resources-tools/resources/secure-by-design (geraadpleegd op 3 november 2026)
Dit artikel citeren
Brain, “De Cyber Resilience Act”, Cyberpedia, 2026. https:/
BibTeX
@misc{brain_cp370_nl_2026,
author = {Brain},
title = {De Cyber Resilience Act},
year = {2026},
howpublished = {Cyberpedia},
url = {https://startbrain.io/cyberpedia/nl/articles/cyber-resilience-act-cra-nl/},
note = {CC BY 4.0}
}