Wat is de Cyber Resilience Act?
De Cyber Resilience Act (CRA, Verordening (EU) 2024/2847) is een Europese verordening die bindende cybersecurity-eisen stelt aan alle hardware- en softwareproducten met digitale elementen die op de EU-markt worden gebracht, gedurende hun hele levenscyclus. Fabrikanten moeten hun producten veilig ontwerpen, zonder bekende uitbuitbare kwetsbaarheden leveren, jarenlang gratis beveiligingsupdates bieden en actief misbruikte kwetsbaarheden melden. De verordening is sinds 10 december 2024 van kracht; de meldplicht geldt sinds 11 september 2026 en de volledige eisen vanaf 11 december 2027.
Voor OT betekent dit dat leveranciers van bijvoorbeeld PLC’s, industriële routers, HMI’s, engineeringsoftware of Industrial Internet of Things-devices verplicht worden om hun producten veilig te ontwikkelen én te onderhouden, inclusief updates en kwetsbaarhedenbeheer. Zonder CRA-conformiteit geen CE-markering en dus geen toegang tot de Europese markt.
🗓️ Wanneer geldt de Cyber Resilience Act?
De Commissie stelde de CRA voor op 15 september 2022. Na het politieke akkoord stemde de Raad op 10 oktober 2024 in; de verordening dateert van 23 oktober 2024 en verscheen op 20 november 2024 in het Publicatieblad van de EU. Daarna geldt een gefaseerde invoering:
| Datum | Mijlpaal |
|---|---|
| 10 december 2024 | Inwerkingtreding van de verordening |
| 11 juni 2026 | Regels voor aangemelde instanties (conformiteitsbeoordeling) van toepassing |
| 11 september 2026 | CRA-meldplicht van artikel 14: actief misbruikte kwetsbaarheden en ernstige incidenten melden via het Single Reporting Platform van ENISA |
| 11 december 2027 | Volledige toepassing: essentiële eisen, conformiteitsbeoordeling, CE-markering en supportperiode |
Producten die vóór 11 december 2027 in de handel zijn gebracht, hoeven alleen aan de essentiële eisen te voldoen als ze daarna ingrijpend worden gewijzigd. De meldplicht geldt echter ook voor die al geleverde producten.
🧱 Voor welke producten geldt de CRA?
De CRA geldt voor elk product met digitale elementen: hardware of software waarvan het beoogde of redelijkerwijs te verwachten gebruik een directe of indirecte, logische of fysieke dataverbinding met een apparaat of netwerk omvat. Ook de bijbehorende oplossingen voor gegevensverwerking op afstand vallen eronder, als het product zonder die clouddienst een functie niet kan uitvoeren. Losse SaaS-diensten vallen er niet onder; daarvoor geldt in de praktijk NIS2.
| Voorbeeldcomponent | CRA-toepassing |
|---|---|
| PLC of RTU | Firmware moet veilig zijn, updates traceerbaar en geverifieerd |
| Industriële router of switch | Belangrijk product klasse I: standaard veilige configuratie en een beveiligd updateproces |
| Industriële firewall | Belangrijk product klasse II: altijd beoordeling door een aangemelde instantie |
| SCADA-software | Leverancier moet kwetsbaarheden behandelen, publiceren en patchen |
| Sensor met netwerkinterface | Heeft een dataverbinding, dus product met digitale elementen |
| Engineeringsoftware | Onderhevig aan eisen voor documentatie, logging en updates |
De CRA geldt ook voor ingebouwde componenten, zoals Embedded besturingssystemen, databases, open-sourcebibliotheken en update-agents. De eindfabrikant moet zulke componenten met gepaste zorgvuldigheid selecteren en kwetsbaarheden erin melden aan de partij die de component onderhoudt.
Uitgezonderd zijn producten die al onder eigen sectorregels vallen: medische hulpmiddelen en in-vitrodiagnostica (MDR en IVDR), motorvoertuigen (Verordening 2019/2144), gecertificeerde luchtvaartproducten en scheepsuitrusting. Ook identieke reserveonderdelen en producten die uitsluitend voor nationale veiligheid of defensie zijn ontwikkeld, vallen buiten de CRA. Vrije open-sourcesoftware die buiten een commerciële activiteit wordt aangeboden, is uitgezonderd; voor stichtingen die open source structureel ondersteunen geldt een licht regime als open-source-steward.
🧠 Welke essentiële eisen stelt de CRA?
Bijlage I van de verordening bevat twee delen. Deel I gaat over de eigenschappen van het product. Op basis van een gedocumenteerde risicobeoordeling moet het product, waar van toepassing:
- Zonder bekende uitbuitbare kwetsbaarheden op de markt komen
- Secure by default geleverd worden, met een mogelijkheid om terug te zetten naar de oorspronkelijke staat; dus geen universele standaardwachtwoorden
- Ongeautoriseerde toegang voorkomen met authenticatie en identiteits- en toegangsbeheer
- Vertrouwelijkheid en integriteit beschermen van data, commando’s, programma’s en configuratie, bijvoorbeeld met encryptie en ondertekende firmware
- Beschikbaarheid van essentiële functies borgen, ook tegen denial-of-service, en het aanvalsoppervlak beperken
- Alleen noodzakelijke gegevens verwerken (dataminimalisatie) en de negatieve impact op andere apparaten en netwerken beperken, met mechanismen die de gevolgen van een incident inperken
- Logging bieden van relevante interne activiteit, zoals toegang tot en wijziging van data en functies
- Beveiligingsupdates mogelijk maken, waar van toepassing automatisch en met een melding aan de gebruiker
Deel II regelt de kwetsbaarheidsbehandeling door de fabrikant: een machineleesbare SBOM met ten minste de directe afhankelijkheden, kwetsbaarheden snel verhelpen, regelmatig testen, verholpen kwetsbaarheden openbaar maken, een beleid voor gecoördineerde openbaarmaking (responsible disclosure) met een meldadres, en patches veilig, zonder vertraging en gratis verspreiden met een advies aan gebruikers.
✅ Welke verplichtingen hebben fabrikanten, importeurs en distributeurs?
| Verplichting | Concrete invulling |
|---|---|
| Risicobeoordeling | Gedocumenteerd, meegenomen in alle fasen van ontwerp tot onderhoud en bijgewerkt tijdens de supportperiode |
| Supportperiode | Minimaal vijf jaar, tenzij het product naar verwachting korter wordt gebruikt; einddatum (maand en jaar) zichtbaar bij aankoop |
| Beschikbaarheid updates | Elke beveiligingsupdate blijft minimaal tien jaar na uitgifte beschikbaar, of de rest van de supportperiode als die langer is |
| Technisch dossier | Inclusief risicobeoordeling en SBOM; met de EU-conformiteitsverklaring minimaal tien jaar bewaren |
| Meldplicht | Actief misbruikte kwetsbaarheden en ernstige incidenten binnen 24 uur, 72 uur en met eindrapport melden (zie CRA-meldplicht) |
| Gebruikersinformatie | Contactpunt voor kwetsbaarheden, beoogd gebruik, supportperiode en instructies voor veilige installatie en uitfasering |
Importeurs mogen alleen producten met CE-markering en technisch dossier op de markt brengen; distributeurs controleren die markering. Wie een product onder eigen naam verkoopt of ingrijpend wijzigt, wordt zelf fabrikant. De CRA noemt een wijziging ingrijpend als ze de naleving van de essentiële eisen raakt of het beoogde gebruik verandert; de richtsnoeren die de Commissie op 27 juli 2026 publiceerde, werken dat begrip verder uit. Voor een systeemintegrator die een bestaande machine bijvoorbeeld uitbreidt met toegang op afstand, is dat een belangrijk aandachtspunt.
🔐 Hoe toont een fabrikant conformiteit aan?
De CRA deelt producten in vier klassen in. Voor de circa 90% standaardproducten, zoals een PLC of sensor, volstaat een zelfbeoordeling (module A). Belangrijke producten klasse I uit bijlage III, zoals routers, switches en besturingssystemen, mogen alleen zelf beoordeeld worden als de fabrikant geharmoniseerde normen, gemeenschappelijke specificaties of Europese cybersecuritycertificering volledig toepast. Klasse II, zoals firewalls en IDS/IPS, vraagt altijd een aangemelde instantie, en voor kritieke producten uit bijlage IV, zoals smart meter gateways en secure elements, kan Europese certificering verplicht worden.
Welke normen daarvoor gelden, beschrijft het artikel CRA-geharmoniseerde normen. Kern: CEN, CENELEC en ETSI werken onder standaardisatieverzoek M/606 aan de EN 40000-reeks, productnormen en OT-profielen op basis van IEC 62443. Begin oktober 2026 is nog geen enkele CRA-norm in het Publicatieblad geciteerd.
🔁 Hoe verhoudt de CRA zich tot andere regelgeving?
| Regelgeving / norm | Relatie met CRA |
|---|---|
| NIS2 en de Cyberbeveiligingswet | Richten zich op de organisatie die producten gebruikt; de CRA op de fabrikant van het product. Samen versterken ze de keten |
| IEC 62443 | IEC 62443-4-1 (veilige ontwikkeling) en IEC 62443-4-2 (componenteisen) sluiten inhoudelijk sterk aan, maar geven zelf geen vermoeden van conformiteit |
| CE-markering | De CRA wordt onderdeel van de CE-conformiteit voor digitale producten |
| Machineverordening | Vanaf 20 januari 2027 eist ook de Machineverordening bescherming tegen corruptie van besturingen; CRA-conformiteit helpt dat aan te tonen |
| AI Act | Een AI-systeem met hoog risico dat aan de CRA voldoet, wordt geacht ook aan de cybersecurity-eisen van de AI Act te voldoen |
| EN 18031 en de Radioapparatuurrichtlijn | Overgangsregime voor draadloze apparatuur tot 11 december 2027 |
Voor draadloze apparatuur gelden sinds 1 augustus 2025 de cybersecurity-eisen uit de Radioapparatuurrichtlijn (Gedelegeerde Verordening 2022/30), die fabrikanten aantonen met EN 18031. Gedelegeerde Verordening (EU) 2026/339 trekt die regeling in met ingang van 11 december 2027; daarna neemt de CRA die rol volledig over. De CRA gaat zo hand in hand met bestaande OT-beveiligingsnormen, maar stelt juridisch bindende eisen aan productbeveiliging.
🏭 Hoe bereidt een OT-leverancier zich voor op de CRA?
- Inventariseer het portfolio - welke producten, firmwareversies en softwarepakketten verkoopt u in de EU, en in welke klasse vallen ze
- Richt een secure-development-proces in - volgens IEC 62443-4-1, met dreigingsmodellering, code-reviews en securitytests
- Bouw de SBOM in de pipeline - genereer per release een machineleesbare SBOM en volg kwetsbaarheden in componenten, ook open source
- Bepaal de supportperiode - realistisch afgestemd op de levensduur; in OT draaien installaties vaak 15 tot 20 jaar, dus vijf jaar is een ondergrens
- Richt een PSIRT in - met 24-uursbereikbaarheid voor de meldplicht en advisories in CSAF-formaat
- Stel het technisch dossier op - risicobeoordeling, toegepaste normen, testresultaten, SBOM en conformiteitsverklaring
Voor asset owners verandert er ook iets: bij aanschaf kunt u straks een supportperiode, SBOM en CE-conformiteit eisen. Dat helpt bij patchmanagement, kwetsbaarhedenbeheer en het beperken van supply chain-risico. Bestaande legacy systemen blijven buiten de essentiële eisen, zodat lifecycle management belangrijk blijft.
Nederlandse context: het wetsvoorstel Uitvoeringswet Cyber Resilience Act ligt sinds december 2025 bij de Tweede Kamer. Daarin is de Rijksinspectie Digitale Infrastructuur (RDI) de markttoezichthouder en het NCSC het CSIRT dat meldingen ontvangt. Boetes lopen op tot € 15 miljoen of 2,5% van de wereldwijde jaaromzet voor overtreding van de essentiële eisen en de verplichtingen uit artikel 13 en 14, tot € 10 miljoen of 2% voor andere verplichtingen en tot € 5 miljoen of 1% voor onjuiste informatie aan toezichthouders.
❓ Veelgestelde vragen
Geldt de Cyber Resilience Act ook voor producten die al verkocht zijn?
De essentiële eisen van de Cyber Resilience Act gelden alleen voor producten die vanaf 11 december 2027 op de markt komen, of voor bestaande producten die daarna ingrijpend worden gewijzigd. De CRA-meldplicht voor actief misbruikte kwetsbaarheden geldt wél voor alle producten binnen de reikwijdte, ook voor producten die al eerder zijn geleverd.
Valt een PLC onder de Cyber Resilience Act?
Ja, een PLC is een product met digitale elementen en valt dus onder de Cyber Resilience Act. Zonder specifieke beveiligingsfunctie is het meestal een standaardproduct waarvoor zelfbeoordeling volstaat. Heeft de PLC kernfuncties als een router of firewall, dan kan een strengere klasse gelden.
Hoe lang moet een fabrikant beveiligingsupdates leveren onder de CRA?
De Cyber Resilience Act eist een supportperiode van minimaal vijf jaar, tenzij het product naar verwachting korter wordt gebruikt. De periode moet passen bij de verwachte gebruiksduur, die in OT vaak veel langer is. Elke beveiligingsupdate moet daarnaast minimaal tien jaar na uitgifte beschikbaar blijven.
Wat is het verschil tussen de Cyber Resilience Act en NIS2?
De Cyber Resilience Act stelt eisen aan producten en hun fabrikanten, ongeacht de sector of omvang van de afnemer. NIS2, in Nederland de Cyberbeveiligingswet, stelt eisen aan essentiële en belangrijke organisaties en hun eigen netwerken en informatiesystemen. Een drinkwaterbedrijf valt onder NIS2, de leverancier van zijn PLC’s onder de CRA.
Geldt de CRA voor open-sourcesoftware?
Open-sourcesoftware die buiten een commerciële activiteit wordt ontwikkeld en aangeboden, valt niet onder de Cyber Resilience Act. Een fabrikant die open source in een commercieel product verwerkt, is wel verantwoordelijk voor de beveiliging van die componenten. Open-source-stewards krijgen lichtere verplichtingen en kunnen geen boete krijgen.
Wie houdt in Nederland toezicht op de Cyber Resilience Act?
In Nederland wordt de Rijksinspectie Digitale Infrastructuur (RDI) markttoezichthouder voor de Cyber Resilience Act, volgens het wetsvoorstel Uitvoeringswet Cyber Resilience Act. Het NCSC is het CSIRT dat CRA-meldingen van fabrikanten ontvangt via het Single Reporting Platform van ENISA.
📌 Samengevat
De Cyber Resilience Act verplicht fabrikanten van digitale producten om cybersecurity structureel te borgen: veilig ontwerp, geen bekende kwetsbaarheden, minimaal vijf jaar beveiligingsupdates en een meldplicht sinds 11 september 2026. Voor OT betekent dit dat alle netwerkgekoppelde componenten, van veldsensor tot SCADA-server, vanaf 11 december 2027 aan eisen voor veilige ontwikkeling, kwetsbaarhedenbeheer en langdurig onderhoud moeten voldoen om een CE-markering te mogen dragen.