Cyberweerbaarheidsverordening (Cyber Resilience Act)

Wat is de Cyber Resilience Act?

De Cyber Resilience Act legt cybersecurityregels op producten en niet op bedrijven. Verordening (EU) 2024/2847 trad in werking op 10 december 2024, en vanaf 11 december 2027 mag een product met digitale elementen enkel nog in de EU verkocht worden als het aan een lijst beveiligingseisen voldoet en daarvoor een CE-markering draagt. Ze draait op de machinerie van conformiteitsbeoordeling en CE-markering die Europa al gebruikt voor fysieke producten, en die ook de AI Act ontleent. Bouwen tegen essentiële eisen, technische documentatie schrijven, een conformiteitsbeoordeling doorlopen, een conformiteitsverklaring ondertekenen, de markering aanbrengen. Nieuw is dat die markering nu ook over beveiliging gaat, en over de belofte dat er nog jaren na de factuur iemand kwetsbaarheden oplost.

De zin die bepaalt of dit jouw zaak is, staat in artikel 3. Een product met digitale elementen is een software- of hardwareproduct en de bijbehorende oplossingen voor gegevensverwerking op afstand, inclusief onderdelen die apart op de markt komen. Een pompsturing valt eronder. De app die ze aanstuurt ook. Een library die je los verkoopt evengoed.

Wat valt eronder, en wat niet?

Artikel 2(1) dekt producten die op de EU-markt worden aangeboden en waarvan het beoogde of redelijkerwijs te verwachten gebruik een rechtstreekse of onrechtstreekse dataverbinding met een toestel of netwerk inhoudt. Dat is bijna alles, en software telt mee ook als je ze los verkoopt. Artikel 3(22) omschrijft aanbieden op de markt als levering in het kader van een handelsactiviteit, tegen betaling of gratis, dus een gratis download van je bedrijfssite zit er ook in. De uitsluitingen zijn smal en liggen waar een andere Europese wet hetzelfde risico al regelt: medische hulpmiddelen, motorvoertuigen, gecertificeerde luchtvaartproducten, scheepsuitrusting, reserveonderdelen die een identieke component vervangen, en alles wat uitsluitend voor nationale veiligheid of defensie gebouwd is.

Waar de meeste mensen de bocht missen, is de cloud. Software die je puur als dienst afneemt is geen product met digitale elementen, en de richtsnoeren over toepassingsgebied die de Commissie in juli 2026 goedkeurde zeggen dat een webapplicatie die je enkel via een browser gebruikt er in de regel buiten valt. De cloud komt wel binnen langs de zijdeur, als oplossing voor gegevensverwerking op afstand: verwerking op afstand, gebouwd door of onder verantwoordelijkheid van dezelfde fabrikant, en zonder dewelke het product een van zijn functies niet uitvoert. De backend van jouw toestel hoort bij het product. Je boekhoudpakket in SaaS is helemaal geen product.

Wie is de fabrikant?

De fabrikant draagt zowat alles: de essentiële eisen, de risicobeoordeling, de zorgvuldigheidscontrole op componenten van derden, de documentatie, de conformiteitsbeoordeling, de CE-markering, de ondersteuningsperiode en het melden. Importeurs en distributeurs krijgen in de plaats controleplichten, en allebei geven ze kwetsbaarheden die ze vernemen door aan de fabrikant.

En dan komt de val. Artikel 21 zegt dat een importeur of distributeur als fabrikant beschouwd wordt, en dus onder de artikelen 13 en 14 valt, zodra hij een product onder zijn eigen naam of merk op de markt brengt of een substantiële wijziging aanbrengt aan een product dat er al is. Zet je jouw sticker op de sturing van iemand anders, dan ben je er de fabrikant van. De AI Act hanteert net dezelfde regel voor AI-systemen, en om dezelfde reden: de klant ziet jouw naam, dus de wet legt het dossier bij jou.

Waar opensourcesoftware staat

Over dit stuk wordt voortdurend verkeerd bericht. De verordening stelt open source niet bij naam vrij. Alles hangt aan handelsactiviteit, want de CRA raakt enkel producten die op de markt worden aangeboden, en dat betekent geleverd in het kader van een handelsactiviteit, dus software die gepubliceerd wordt zonder commerciële levering valt er buiten. Overweging 18 voegt eraan toe dat de omstandigheden waarin een project ontwikkeld of gefinancierd is op zich niets beslissen. Artikel 3(14) maakt daarnaast een tussencategorie, de beheerder van opensourcesoftware: een rechtspersoon, geen fabrikant, die systematisch en duurzaam de ontwikkeling ondersteunt van bepaalde opensourceproducten die voor handelsactiviteiten bestemd zijn. Artikel 24 geeft die beheerders een korte lijst: een gedocumenteerd cybersecuritybeleid, op verzoek meewerken met de markttoezichtautoriteiten, en actief misbruikte kwetsbaarheden melden. Geen conformiteitsbeoordeling, geen CE-markering, en artikel 64(10) houdt hen buiten de boetes. Een bedrijf dat opensourcesoftware verpakt en verkoopt is wel gewoon fabrikant van dat product, wat de licentie ook zegt.

Wat het product moet hebben

Bijlage I deel I opent met de eis met de scherpste rand: het product komt op de markt zonder bekende exploiteerbare kwetsbaarheden. De rest van deel I gaat over een veilige standaardconfiguratie, updates die automatisch kunnen installeren, toegangscontrole, versleuteling van relevante gegevens, enkel data verwerken die ter zake doet en een beperkt aanvalsoppervlak.

Deel II loopt jaren na de verkoop door. Het vraagt een software bill of materials in een gangbaar en machineleesbaar formaat, minstens voor de directe afhankelijkheden, kwetsbaarheden zonder uitstel oplossen met beveiligingsupdates die los van functionele updates buitengaan waar dat haalbaar is, een beleid voor gecoördineerde bekendmaking van kwetsbaarheden met een contactadres waar een onderzoeker ook antwoord krijgt, en updates die veilig en gratis verdeeld worden, tenzij een zakelijke klant voor een product op maat iets anders afsprak. Die SBOM is de tegenhanger in klassieke software van de AI bill of materials, en het is degene die effectief in een wet staat.

Rond dat alles zit de ondersteuningsperiode. Artikel 13(8) zegt dat die weerspiegelt hoelang het product naar verwachting in gebruik blijft en minstens vijf jaar bedraagt, tenzij het product echt korter meegaat, en artikel 13(19) vraagt dat de einddatum duidelijk bij aankoop vermeld staat.

Melden: de deadlines die er als eerste waren

Artikel 14 geldt sinds 11 september 2026, vijftien maanden voor de rest, en het slaat op toestellen die vandaag al in het veld staan, niet enkel op wat je vanaf december 2027 verkoopt. Net die timing verrast bedrijven.

Er zijn twee triggers. Een actief misbruikte kwetsbaarheid, in artikel 3(42) omschreven als een kwetsbaarheid waarvoor betrouwbaar bewijs bestaat dat een kwaadwillende ze in een systeem heeft misbruikt zonder toestemming van de eigenaar. En een ernstig incident, dat volgens artikel 14(5) het vermogen van het product aantast of kan aantasten om gevoelige of belangrijke gegevens en functies te beschermen, of kan leiden tot kwaadaardige code in het product of in de systemen van een gebruiker. Voor allebei loopt dezelfde klok in drie stappen, vanaf het moment dat de fabrikant er weet van heeft.

1. 24 uur: een eerste waarschuwing.

2. 72 uur: een vollediger melding, met wat er geweten is en welke corrigerende maatregel al genomen is.

3. Het eindverslag: binnen 14 dagen nadat er voor een kwetsbaarheid een corrigerende maatregel beschikbaar is, en binnen een maand bij een ernstig incident.

Eén indiening dekt beide bestemmelingen. Ze gaat naar het CSIRT dat als coördinator aangewezen is in het land van je hoofdvestiging en bereikt tegelijk ENISA, via het gemeenschappelijke meldplatform dat ENISA onder artikel 16 beheert. Getroffen gebruikers moeten het horen, en zit het lek in een component van iemand anders, dan ook wie die component onderhoudt.

De rest van de kalender

In werking sinds 10 december 2024, hoofdstuk IV over aangemelde instanties sinds 11 juni 2026, artikel 14 sinds 11 september 2026, al de rest vanaf 11 december 2027. Producten die voor die laatste datum op de markt kwamen, vallen enkel onder het volledige regime als ze nadien substantieel gewijzigd worden. Het normeringswerk is ook nog niet af: normalisatieverzoek M/606 werd in april 2025 aanvaard door CEN, CENELEC en ETSI, en in september 2026 is er onder dat verzoek nog geen enkele geharmoniseerde norm bekendgemaakt in het Publicatieblad. Zolang dat niet gebeurd is, bestaat er geen vermoeden van overeenstemming om op te steunen en documenteert een fabrikant rechtstreeks tegen de tekst van bijlage I.

Cyber Resilience Act tegenover NIS2: een product of een organisatie

NIS2 hangt aan je organisatie. Richtlijn (EU) 2022/2555, in België omgezet door de wet van 26 april 2024 die op 18 oktober 2024 in werking trad, kijkt of je bedrijf in een opgesomde sector zit en boven een omvangsdrempel uitkomt. Is dat zo, dan registreer je je bij het Centrum voor Cybersecurity België, neem je risicobeheersmaatregelen en meld je significante incidenten in je eigen dienstverlening via Safeonweb@work, op hetzelfde ritme van 24 uur, 72 uur en een maand.

De CRA hangt aan iets dat je verkoopt. Sector en personeelsbestand komen nergens in de test voor. Twee mensen die één connected sensor verkopen zijn fabrikant met de volledige lijst. Een boekhoudkantoor van driehonderd mensen dat geen software verkoopt heeft als fabrikant geen enkele CRA-verplichting. Een bedrijf kan allebei zijn, en dan lopen de plichten naast elkaar in plaats van in elkaar: dezelfde klokken, een andere aanleiding, een ander kanaal.

NIS2 vraagt hoe je je eigen netwerk verdedigt. De CRA vraagt wat je verkocht hebt, en blijft dat minstens vijf jaar na de factuur vragen.

Wat dit betekent voor een Belgische kmo

Neem een bedrijf van achtentwintig mensen bij Kortrijk dat een connected sturing bouwt voor koelcellen: een kast met firmware, een app op de telefoon, en een dashboard in de cloud dat de kast nodig heeft om haar ontdooicycli in te plannen. Die drie stukken zijn samen één product met digitale elementen, want het dashboard is een oplossing voor gegevensverwerking op afstand waarzonder een functie van de kast niet werkt.

Sinds 11 september 2026 dekt de meldplicht al de toestellen die vandaag draaien. Meldt een onderzoeker een fout in de firmware en is er betrouwbaar bewijs dat iemand ze misbruikt, dan begint de klok van 24 uur te lopen zodra het bedrijf er redelijke zekerheid over heeft. Geregistreerd zijn op het platform van ENISA moet voor die dag geregeld zijn, niet op die dag zelf.

Voor toestellen die vanaf 11 december 2027 op de markt komen, geldt de rest: geen bekende exploiteerbare kwetsbaarheden bij release, een SBOM, een gepubliceerd meldbeleid met een contactadres, een beschermd updatemechanisme, een ondersteuningsperiode van minstens vijf jaar met de einddatum zichtbaar bij aankoop, de technische documentatie van bijlage VII, een EU-conformiteitsverklaring en de CE-markering. Zo'n sturing staat niet in de lijst van belangrijke producten in bijlage III, dus de weg van interne controle blijft open en er komt geen aangemelde instantie aan te pas.

Een bedrijf dat enkel koopt krijgt een andere versie van dezelfde lijst: vandaag vragen aan je leverancier, later een markering op de doos. Wat is de einddatum van de ondersteuningsperiode, bestaat er een beleid voor gecoördineerde bekendmaking van kwetsbaarheden en waar komt zo'n melding terecht, krijgen we een SBOM, wie is de fabrikant als het product onder een ander merk verkocht wordt, en zijn beveiligingsupdates gratis en los van functionele releases. Een leverancier die in september 2026 de vraag over de ondersteuningsperiode niet beantwoord krijgt, is er nog niet aan begonnen.

Twee dingen aan Belgische kant liggen nog open. Het CCB is het nationale CSIRT onder de NIS2-wet en publiceert CRA-informatie, wat het de logische route maakt voor de melding van een Belgische fabrikant, en welke Belgische autoriteit het markttoezicht op de CRA doet is publiek niet uitgeklaard. Het plafond op de sancties staat in artikel 64: voor inbreuken op bijlage I of op de artikelen 13 en 14 tot 15 miljoen euro of 2,5 procent van de wereldwijde jaaromzet, het hoogste van de twee, waarbij de autoriteit rekening moet houden met de omvang van het bedrijf.