Cyber Resilience Act: cybersecurity wordt een producteigenschap

Vanaf vandaag (11-09-2026) geldt een belangrijke nieuwe verplichting voor fabrikanten van digitale producten. De Europese Cyber Resilience Act maakt cybersecurity niet langer alleen een verantwoordelijkheid van de organisatie die een product gebruikt. Ook de fabrikant wordt verantwoordelijk voor de veiligheid van het product gedurende de levenscyclus.

Cybersecurity is lange tijd vooral benaderd als een verantwoordelijkheid van de gebruiker. Organisaties moesten hun systemen beveiligen, updates installeren, sterke authenticatie toepassen en medewerkers bewust maken van cyberrisico’s.

Maar wat als het product zelf onvoldoende veilig is ontworpen?

Met de Europese Cyber Resilience Act (CRA) verandert dat uitgangspunt fundamenteel. De Europese Unie legt fabrikanten van producten met digitale elementen verplichtingen op rond cybersecurity, van ontwerp en ontwikkeling tot onderhoud en het afhandelen van kwetsbaarheden.

Daarmee ontstaat een belangrijke verschuiving:
Cybersecurity wordt een producteigenschap, geen optionele extra.

Wat is de Cyber Resilience Act?

De Cyber Resilience Act is een Europese verordening die cybersecurity-eisen stelt aan producten met digitale elementen die op de Europese markt worden gebracht.

Het gaat om een brede categorie producten. Niet alleen om smartphones of IoT-apparaten, maar ook om hardwarecomponenten, software, besturingssystemen, netwerkapparatuur en andere producten die digitale functionaliteit bevatten.

De CRA trad in december 2024 in werking. De belangrijkste verplichtingen gaan gelden vanaf 11 december 2027. Een belangrijke uitzondering is de meldplicht voor actief uitgebuite kwetsbaarheden en ernstige incidenten. Die verplichting geldt vanaf 11 september 2026.

Dat betekent dat de CRA vanaf vandaag geen toekomstmuziek meer is.

Van ‘secure by design’ naar een wettelijke verplichting

Een van de belangrijkste principes achter de CRA is security by design.

Daarmee wordt de CRA ook relevant voor inkoop en leveranciersbeheer, third-party riskmanagement en informatie security.mee wordt de CRA ook relevant voor inkoop en leveranciersbeheer, third-party riskmanagement en informatie security.
Een fabrikant moet al tijdens de planning, het ontwerp, de ontwikkeling en de productie rekening houden met cybersecurityrisico’s. Daarvoor moet een cybersecurity-risicobeoordeling worden uitgevoerd en moeten passende maatregelen worden genomen.

Denk daarbij onder andere aan:

• veilige standaardinstellingen;
• toegangscontrole;
• bescherming van gegevens;
• cryptografie;
• veilige softwareontwikkeling;
• het beperken van kwetsbaarheden;
• beveiligingsupdates;
• een proces voor vulnerability management.

De Europese Commissie benadrukt daarbij dat cybersecurity niet alleen betrekking heeft op het eindproduct, maar ook op onderdelen zoals softwarecomponenten, chips en besturingssystemen. Dat is een wezenlijke verandering. Een fabrikant kan cybersecurity niet meer uitsluitend als een configuratievraag bij de klant neerleggen.

Een product moet niet alleen veilig zijn bij aanschaf

Een tweede belangrijk onderdeel van de CRA is de levenscyclus van het product.

Fabrikanten moeten een supportperiode vaststellen. Tijdens die periode moeten zij kwetsbaarheden effectief behandelen. De einddatum van die supportperiode moet bovendien bij aankoop duidelijk worden vermeld.

Dat maakt een vraag die organisaties bij iedere nieuwe IT-investering zouden moeten stellen ineens veel belangrijker:

Hoelang blijft dit product daadwerkelijk veilig ondersteund?

Een product dat vandaag technisch uitstekend presteert, kan over enkele jaren een serieus risico worden wanneer beveiligingsupdates stoppen. De economische levensduur en de cybersecuritylevensduur van een product zijn daarmee niet langer vanzelfsprekend hetzelfde.

De meldplicht is vanaf vandaag actief

Een van de meest concrete onderdelen van de CRA gaat vandaag in.

Fabrikanten moeten actief uitgebuite kwetsbaarheden en ernstige incidenten die de beveiliging van hun digitale producten raken melden.
Daarbij gelden strakke termijnen:

• binnen 24 uur: een eerste waarschuwing;
• binnen 72 uur: een volledige eerste melding;
• binnen 14 dagen nadat een corrigerende maatregel beschikbaar is: een eindrapport voor actief uitgebuite kwetsbaarheden;
• binnen één maand: een eindrapport voor ernstige incidenten.

De meldingen lopen via het Europese CRA Single Reporting Platform en worden gedeeld met de relevante CSIRT’s en ENISA. Voor fabrikanten betekent dit dat vulnerability-management, incident- response en productontwikkeling steeds meer met elkaar verweven raken.

Wat betekent dit voor organisaties die geen producten maken?

Een belangrijke nuance: de CRA richt zich primair op fabrikanten, importeurs en distributeurs van producten met digitale elementen. Een organisatie die bijvoorbeeld netwerkapparatuur, software of SaaS-oplossingen gebruikt, is daardoor niet automatisch zelf CRA-plichtig.

Maar dat betekent niet dat de CRA voor die organisatie onbelangrijk is. Integendeel.

De CRA gaat waarschijnlijk invloed hebben op de manier waarop organisaties hun leveranciers en digitale producten beoordelen.

Waar bij een aanbesteding of leveranciersselectie traditioneel wordt gekeken naar functionaliteit, prijs, performance en SLA’s, wordt cybersecurity steeds belangrijker als onderdeel van de productkwaliteit.

Vragen die organisaties daarom aan leveranciers zouden moeten stellen zijn bijvoorbeeld:

• Hoe is security meegenomen in het ontwerp van het product?
• Hoe worden kwetsbaarheden geïdentificeerd en afgehandeld?
• Hoe lang wordt het product ondersteund?
• Hoe snel worden security patches beschikbaar gesteld?
• Hoe verloopt het melden van kwetsbaarheden en onvolkomenheden?
• Hoe wordt omgegaan met componenten van derden?
• Welke informatie is beschikbaar over de softwarecomponenten?
• Hoe worden security-incidenten richting klanten gecommuniceerd?
• Welke rol speelt security in de software development lifecycle?

Daarmee wordt de CRA ook relevant voor inkoop en leveranciersbeheer, third-party riskmanagement en informatie security. 

CRA en NIS2: twee kanten van dezelfde medaille

De CRA wordt regelmatig in één adem genoemd met NIS2. Toch richten beide Europese regelgevingen zich op iets anders.

NIS2 kijkt vooral naar de organisatie.

Is de organisatie voldoende cyberweerbaar? Zijn risico’s geïdentificeerd? Is incident response geregeld? Is de supply chain beheerst? Is het bestuur voldoende betrokken?

De CRA kijkt vooral naar het product.

Is het product veilig ontworpen? Worden kwetsbaarheden gedurende de levensduur beheerd? Worden security updates geleverd? Is het product aantoonbaar conform?

Je zou het kunnen samenvatten als:

• NIS2 vraagt: is jouw organisatie cyberweerbaar?
• CRA vraagt: is het product dat jouw organisatie gebruikt of verkoopt cyberveilig ontworpen?

In de praktijk komen beide werelden samen. Een organisatie kan bijvoorbeeld onder NIS2 vallen en tegelijkertijd afhankelijk zijn van tientallen producten en leveranciers die met de CRA te maken krijgen.

Daarmee wordt third-party risk een steeds belangrijker onderdeel van cyberweerbaarheid.

Van IT-vraagstuk naar bestuursvraagstuk

Misschien is dit wel de belangrijkste ontwikkeling. Cybersecurity wordt steeds minder een technisch vraagstuk dat uitsluitend bij IT of de CISO kan worden neergelegd.

Wanneer een organisatie een kritisch digitaal product aanschaft, maakt zij namelijk ook een keuze over:

• afhankelijkheid van een leverancier;
• de duur van de ondersteuning;
• het risico van kwetsbaarheden;
• de snelheid van security updates;
• de continuïteit van het product;
• en uiteindelijk de bedrijfscontinuïteit.

Dat zijn onderwerpen die thuishoren in riskmanagement en governance. De CRA maakt die ontwikkeling nog duidelijker.

Cybersecurity wordt daarmee vergelijkbaar met andere producteigenschappen die we vanzelfsprekend vinden. We accepteren ook niet dat een auto alleen veilig is wanneer de eigenaar zelf alle constructiefouten ontdekt en oplost.

Waarom zouden we dat bij digitale producten wel accepteren?

Wat kunnen organisaties nu al doen?

Hoewel de volledige CRA pas vanaf december 2027 van toepassing is, is wachten geen verstandige strategie.

Organisaties kunnen nu al beginnen met het beoordelen van hun digitale leveranciers en producten.

Een praktische eerste stap is om de belangrijkste leveranciers en producten in kaart te brengen en per product minimaal vast te leggen:

1. Wie is de fabrikant?
2. Hoe kritisch is het product voor de organisatie?
3. Wat is de verwachte levensduur?
4. Hoe lang wordt securitysupport geleverd?
5. Hoe worden kwetsbaarheden gemeld en opgelost?
6. Hoe snel worden security updates beschikbaar gesteld?
7. Wat gebeurt er wanneer de leverancier stopt met ondersteuning?

Voor organisaties die zelf software of digitale producten ontwikkelen, ligt de lat nog hoger. Zij doen er verstandig aan om nu al te kijken naar hun secure development lifecycle, vulnerability management, product security governance, technische documentatie en toekomstige conformatie assessment.

De Europese Commissie heeft in juli 2026 bovendien nieuwe praktische richtsnoeren gepubliceerd om fabrikanten, ontwikkelaars en bedrijven te helpen zich op de CRA voor te bereiden.

Cybersecurity wordt onderdeel van productkwaliteit

De Cyber Resilience Act is meer dan een nieuwe Europese cybersecurityregel. Het is een verandering in de manier waarop we naar digitale producten moeten kijken.

Tot nu toe was de gedachte vaak:

De leverancier levert het product. De klant zorgt voor de beveiliging.

De CRA verschuift dat uitgangspunt naar:

De fabrikant is medeverantwoordelijk voor een veilig product gedurende de levenscyclus.

Dat is een belangrijke stap vooruit, want uiteindelijk begint cyberweerbaarheid niet pas bij de firewall, SOC of incident response. Cyberweerbaarheid begint al bij de vraag welk product je koopt, hoe het is ontworpen en hoe lang de fabrikant bereid is er verantwoordelijkheid voor te nemen.

En dat maakt de Cyber Resilience Act niet alleen relevant voor fabrikanten.

Ook bestuurders, IT-managers, CISO’s, inkopers en riskmanagers zullen cybersecurity steeds vaker moeten meenemen als een fundamentele eigenschap van het product zelf.