Nog drie maanden tot de eerste CRA-termijn die echt telt
Het grootste deel van de Cyberweerbaarheidsverordening (Cyber Resilience Act, CRA) lijkt nog ver weg. De verordening, Verordening (EU) 2024/2847, is volledig van toepassing vanaf 11 december 2027, en die datum staat bij de meeste productteams in de planning voor de eisen inzake security by design, de conformiteitsbeoordeling en de CE-markering.
Maar één verplichting komt veel eerder. Vanaf 11 september 2026 moeten fabrikanten van producten met digitale elementen actief misbruikte kwetsbaarheden en ernstige incidenten melden aan de autoriteiten. Die verplichting is niet beperkt tot nieuwe producten: zij geldt ook voor verbonden producten die al in de handel zijn. Voor een bedrijf dat slimme huishoudapparaten, verbonden speelgoed, wearables of een ander product met software of een netwerkverbinding verkoopt, resteren nu drie maanden om een proces in te richten dat binnen 24 uur werkt.
De drie CRA-data
Artikel 71, lid 2, van de CRA noemt drie data van toepassing:
- 11 juni 2026 – hoofdstuk IV (artikelen 35 tot en met 51), over de kennisgeving van conformiteitsbeoordelingsinstanties, is van toepassing. Dit is de basis voor de instanties die later de meer kritieke productklassen gaan beoordelen.
- 11 september 2026 – artikel 14, de meldplichten van fabrikanten, is van toepassing.
- 11 december 2027 – de rest van de verordening is van toepassing, waaronder de essentiële cyberbeveiligingseisen in bijlage I.
De CRA definieert een product met digitale elementen als ‘een software- of hardwareproduct en de bijbehorende oplossingen voor gegevensverwerking op afstand’, inclusief onderdelen die afzonderlijk in de handel worden gebracht. In de praktijk gaat het om de meeste consumentenproducten die verbinding maken met een telefoon, een netwerk of de cloud.
Wat moet worden gemeld
Artikel 14 kent twee meldplichten.
Actief misbruikte kwetsbaarheden (artikel 14, lid 1). Een fabrikant moet elke actief misbruikte kwetsbaarheid in zijn product melden waarvan hij kennis krijgt. De CRA omschrijft een actief misbruikte kwetsbaarheid als een kwetsbaarheid ‘waarvoor betrouwbaar bewijs bestaat dat een kwaadwillende partij deze zonder toestemming van de systeemeigenaar in een systeem heeft misbruikt’. Een kwetsbaarheid die u bij uw eigen tests vindt en die niemand heeft misbruikt, valt niet onder deze verplichte meldplicht, al staat artikel 15 vrijwillige melding wel toe.
Ernstige incidenten (artikel 14, lid 3). Een fabrikant moet ook elk ernstig incident melden dat gevolgen heeft voor de beveiliging van het product. Artikel 14, lid 5, beschouwt een incident als ernstig wanneer het van invloed is of kan zijn op het vermogen van het product om de beschikbaarheid, authenticiteit, integriteit of vertrouwelijkheid van gevoelige of belangrijke gegevens of functies te beschermen, of wanneer het heeft geleid of kan leiden tot het introduceren of uitvoeren van kwaadaardige code in het product of in de netwerk- en informatiesystemen van een gebruiker.
24 uur, 72 uur, 14 dagen en een maand
Beide plichten volgen een getrapt tijdpad, vastgelegd in artikel 14, leden 2 en 4:
| Stap | Actief misbruikte kwetsbaarheid | Ernstig incident |
|---|---|---|
| Vroegtijdige waarschuwing | Binnen 24 uur nadat u er kennis van hebt gekregen | Binnen 24 uur nadat u er kennis van hebt gekregen |
| Melding | Binnen 72 uur, met algemene informatie over het product, het misbruik en eventuele corrigerende of risicobeperkende maatregelen | Binnen 72 uur, met een eerste beoordeling en de genomen maatregelen |
| Eindverslag | Uiterlijk 14 dagen nadat een corrigerende of risicobeperkende maatregel beschikbaar is | Binnen een maand na de melding van het incident |
De vroegtijdige waarschuwing moet, voor zover van toepassing, vermelden in welke lidstaten het product volgens de fabrikant op de markt is aangeboden. Bij incidenten moet zij ook aangeven of het incident vermoedelijk is veroorzaakt door onwettige of kwaadwillige handelingen. Het CSIRT dat de melding ontvangt, kan om een tussentijds statusverslag vragen (artikel 14, lid 6).
Melden aan de autoriteiten is slechts de helft. Op grond van artikel 14, lid 8, moet de fabrikant ook de getroffen gebruikers en, indien nodig, alle gebruikers informeren over de kwetsbaarheid of het incident en over de maatregelen die zij kunnen nemen om de gevolgen te beperken.
Waar de meldingen naartoe gaan
Meldingen worden ingediend via het gemeenschappelijke meldplatform dat ENISA, het cyberbeveiligingsagentschap van de EU, op grond van artikel 16 moet opzetten en beheren. De fabrikant gebruikt het elektronische meldpunt van het CSIRT dat is aangewezen als coördinator in de lidstaat van zijn hoofdvestiging in de Unie, en de melding is tegelijkertijd toegankelijk voor ENISA (artikel 14, lid 7).
De hoofdvestiging van een fabrikant is de plaats waar de beslissingen over de cyberbeveiliging van zijn producten overwegend worden genomen. Een fabrikant zonder hoofdvestiging in de EU volgt een volgorde die in artikel 14, lid 7, is vastgelegd: de lidstaat van de gemachtigde die voor het grootste aantal van zijn producten optreedt, daarna die van de importeur die de meeste van zijn producten in de handel brengt, vervolgens die van de distributeur die de meeste ervan op de markt aanbiedt, en ten slotte de lidstaat met de meeste gebruikers. Voor een merk van buiten de EU dat via een importeur in de EU verkoopt, kan dat betekenen dat het land van de importeur bepaalt welk CSIRT de melding ontvangt.
Producten die al in de handel zijn
Het detail waar veel bedrijven door verrast worden, staat in de overgangsbepalingen. In de regel vallen producten die vóór 11 december 2027 in de handel zijn gebracht alleen onder de CRA als zij na die datum substantieel worden gewijzigd (artikel 69, lid 2). Artikel 69, lid 3, maakt daarop een uitzondering: de meldplichten van artikel 14 gelden voor alle producten die binnen het toepassingsgebied vallen en vóór 11 december 2027 in de handel zijn gebracht.
Een verbonden product dat u in 2024 hebt gelanceerd en nog ondersteunt, valt dus vanaf 11 september 2026 onder de meldplicht, ook al hoeft het geen conformiteitsbeoordeling volgens de CRA te ondergaan, tenzij het vanaf 11 december 2027 substantieel wordt gewijzigd.
De CRA verbindt ook echte sancties aan deze plicht. Op grond van artikel 64, lid 2, kan het niet nakomen van de verplichtingen van artikel 14 leiden tot administratieve geldboeten van maximaal € 15 miljoen of, voor een onderneming, maximaal 2,5% van haar totale wereldwijde jaaromzet van het voorgaande boekjaar, indien dit hoger is.
Een voorbereidingsplan voor de zomer
Met nog drie maanden te gaan is het werk vooral organisatorisch:
- Maak een lijst van elk verbonden product dat u in de handel hebt gebracht, inclusief uitgefaseerde modellen die nog in gebruik zijn, en van de softwareversies in het veld.
- Wijs aan wie verantwoordelijk is voor de beslissing, binnen enkele uren, of een melding een ‘actief misbruikte kwetsbaarheid’ of een ‘ernstig incident’ betreft, en wie de vroegtijdige waarschuwing verstuurt.
- Richt een kanaal in voor informatie over kwetsbaarheden van leveranciers, onderzoekers, klanten en uw eigen monitoring, zodat u weet wanneer de klok van 24 uur begint te lopen.
- Stel vast waar uw hoofdvestiging is, of welke lidstaat van toepassing is volgens de volgorde van artikel 14, lid 7, als u buiten de EU zit.
- Bereid sjablonen voor de communicatie met gebruikers voor op grond van artikel 14, lid 8, in de talen van de markten waar het product wordt verkocht.
- Maak afspraken over rollen met uw importeur of gemachtigde, zodat informatie de fabrikant snel bereikt.
Is uw product ook radioapparatuur, lees dan onze gids over de Radioapparatuurrichtlijn en de probleempagina’s over nieuwe cyberbeveiligingsregels voor verbonden apparaten en Bluetooth of wifi toevoegen aan een bestaand product.
Hoe Conphora u helpt
De CRA-meldplicht is een termijnprobleem: de informatie die u in de eerste 24 uur nodig hebt, moet klaarliggen voordat er iets gebeurt. Met Conphora kunt u:
- Een register bijhouden van uw verbonden producten, met modellen, softwareversies, markten en de betrokken marktdeelnemers.
- Elk product koppelen aan de verantwoordelijke medewerkers en documenten, zodat degene die over een melding moet beslissen alles op één plek vindt.
- De CRA-data per product volgen, van de meldplicht in september 2026 tot de volledige toepassing in december 2027.
- Meldingen en berichten aan gebruikers opslaan bij het product waarop ze betrekking hebben, klaar voor een verzoek van een markttoezichtautoriteit.
Bekijk hoe Conphora werkt en hoe het uw productgegevens paraat houdt voor de autoriteiten.
Wilt u uw verbonden producten klaar hebben voor 11 september? Bekijk abonnementen en prijzen →