Cyber Resilience Act: dit regel je als maker van digitale producten

Je verkoopt een eigen app, ontwikkelt software onder je bedrijfsnaam of brengt een slim apparaat op de markt. Dan kan de Cyber Resilience Act voor jou gelden. Ook als je bedrijf alleen uit jou bestaat.

Deze Europese wet stelt eisen aan de veiligheid van digitale producten. De meeste producteisen gaan gelden op 11 december 2027. Maar de meldplicht voor bepaalde beveiligingsproblemen begint al op 11 september 2026. Wat betekent dat voor je dagelijkse werk?

Geldt de CRA voor jouw bedrijf?

Bij een fabrikant denk je misschien aan een fabriek met een productielijn. De CRA gebruikt een ruimer begrip. Je kunt ook fabrikant zijn als je software ontwikkelt of laat ontwikkelen en die onder je eigen naam of merk op de Europese markt brengt.

Het gaat om producten die rechtstreeks of indirect gegevens kunnen uitwisselen met een apparaat of netwerk. Denk aan mobiele apps, besturingssystemen en verbonden apparaten. Ook apart verkochte softwareonderdelen kunnen eronder vallen.

Welke uitzonderingen zijn er?

De CRA geldt niet voor iedere digitale dienst. Een zelfstandige clouddienst valt er niet automatisch onder. Gegevensverwerking op afstand kan er wél onder vallen als die bij een digitaal product hoort en nodig is voor een functie daarvan.

Ook bestaan er uitzonderingen voor bepaalde producten die al onder andere Europese regels vallen, zoals medische hulpmiddelen. Software die je uitsluitend voor intern gebruik ontwikkelt, valt buiten het commerciële aanbod waarop de CRA zich richt.

Werk je met open source? Dat is geen algemene vrijstelling. Niet-commercieel aangeboden vrije en opensourcesoftware kan buiten de regels vallen; een commercieel aangeboden product op basis van open source kan er juist wel onder vallen. Alleen code bijdragen aan een project waarvoor je niet verantwoordelijk bent, maakt je niet automatisch fabrikant.

Wat moet je melden en wanneer?

De meldplicht gaat over twee soorten problemen: een kwetsbaarheid in je product waarvan betrouwbaar bewijs bestaat dat die daadwerkelijk is misbruikt, en een ernstig incident dat de beveiliging van je product raakt. Een gevonden programmeerfout is dus niet vanzelf zo’n melding.

Vanaf 11 september 2026 gelden deze termijnen. De klok begint te lopen zodra je als fabrikant kennis krijgt van het actieve misbruik of het ernstige incident.

Je hoeft bij de eerste waarschuwing nog niet alle antwoorden te hebben. De procedure voorziet juist in aanvullende informatie. Wacht daarom niet op een afgerond onderzoek voordat je beoordeelt of je moet melden.

Waar doe je een melding?

De Europese meldroute loopt via het Single Reporting Platform van ENISA. Voor fabrikanten met hun hoofdvestiging in Nederland is het NCSC de aangewezen ontvanger; het NCSC verwijst voor de Nederlandse toegang naar MijnNCSC. Je hoeft niet zelf ieder EU-land apart te benaderen.

Op 7 september 2026, de controledatum van dit artikel, kondigt ENISA de start aan voor 11 september. Volg de actuele ENISA-uitleg over toegang en de Nederlandse meldinformatie voor de officiële route.

Wat kun je alvast regelen?

Begin bij je eigen aanbod. Onder welke naam verschijnen je producten? Welke onderdelen maak je zelf en welke komen van leveranciers? Met zo’n overzicht wordt het makkelijker om je verantwoordelijkheid af te bakenen.

Daarna helpt een korte werkwijze die je ook op een drukke werkdag kunt volgen:

1. Leg vast waar beveiligingsmeldingen binnenkomen en wie ze beoordeelt. Werk je alleen? Bedenk wie kan helpen als je niet bereikbaar bent.
2. Spreek met opdrachtgevers en leveranciers af hoe jullie elkaar snel informeren.
3. Noteer bij een incident wanneer je ervan hoorde, welk product en welke versie het betreft en wat al bekend is. Bewaar ook je genomen maatregelen.
4. Bereid de toegang voor. Voor de Europese route kun je alvast een persoonlijk EU Login-account met multifactorauthenticatie regelen. ENISA adviseert registratie van je bedrijf op het platform pas wanneer je moet melden.

Wie zoekt het probleem uit, wie doet de melding en wie houdt klanten op de hoogte? Een paar duidelijke afspraken besparen op zo’n moment veel overleg.

Veelgestelde vragen over de Cyber Resilience Act

Je las zojuist een artikel uit de Knab Bieb. Dé online verzamelplek met honderden praktische artikelen over hoe je je geldzaken slim kunt regelen.