De Cyber Resilience Act bevat basisregels voor cyberbeveiliging voor elk hardware- of softwareproduct met een digitaal element dat op de EU-markt wordt aangeboden.

De wet is gericht op fabrikanten, importeurs en distributeurs, wat betekent dat reguliere servicebedrijven buiten het toepassingsgebied vallen, tenzij ze dergelijke producten op de markt brengen. Dit is van belang omdat de CRA strenge beveiligingseisen vóór het op de markt brengen introduceert en verplichtingen voor kwetsbaarheidsbeheer op de lange termijn, dus "wie moet voldoen aan de Cyber Resilience Act" is vandaag de dag een belangrijke vraag voor technologieleveranciers.

Lees ook: Wat is de Cyber Veerkracht Wet?

Toepasselijkheidscriteria voor de Cyber Resilience Act (CRA)

CRA is van toepassing op basis van een paar duidelijke factoren. Organisaties moeten hun producten beoordelen, hun rol in de toeleveringsketen en waar en hoe ze werken.

• Industrie / sector - elke sector die hardware of software met een digitaal element op de EU-markt brengt, van IoT voor consumenten tot industriële besturingssystemen.
• Rol van de organisatie - fabrikant, importeur of distributeur (inclusief wederverkopers) vallen hieronder; gebruikers van kant-en-klare producten niet.
• Geografie / regio - is van toepassing als het product beschikbaar wordt gesteld in de EU, ongeacht waar het bedrijf is gevestigd.
• Producttype / -klasse - voor kritieke producten (bijv. firewalls, wachtwoordmanagers) gelden strengere conformiteitstrajecten; voor niet-kritieke producten zijn nog steeds basiscontroles nodig.
• Uitzonderingen - vrije en open source software die op niet-commerciële basis wordt geleverd en producten die uitsluitend voor de nationale veiligheid of defensie zijn ontwikkeld, vallen buiten het toepassingsgebied.

Is de Cyber Resilience Act (CRA) verplicht en hoe controleer ik of deze op jou van toepassing is?

Ja, naleving van de CRA is verplicht als uw organisatie digitale producten op de EU-markt brengt die onder de CRA vallen. Hier leest u hoe u kunt controleren of het op u van toepassing is:

• Bevestig dat het product digitale elementen bevat en op de EU-markt wordt gebracht.
• Identificeer je rol: fabrikant, importeur of distributeur.
• Controleer op vrijstellingen (niet-commercieel open source, alleen defensiegebruik).
• Breng het product in kaart ten opzichte van de vereisten voor cyberbeveiliging van bijlage I van de CRA.
• Bepaal of het product in een kritieke klasse valt die door een derde partij moet worden beoordeeld.

Voorbeelden van organisaties die hieraan moeten voldoen

Hier zijn een paar typische bedrijfsprofielen die onder de CRA-vereisten vallen:

• Een Finse startup die slimme IoT-apparaten voor verlichting verkoopt in heel Europa (fabrikant).
• Een Duitse groothandelaar die netwerkrouters uit Azië importeert voor detailhandelaars in de EU (importeur).
• Een SaaS-leverancier in Ierland die een on-premises beveiligingstoestel levert aan klanten in de EU (distributeur en fabrikant).

Wanneer treedt de Cyber Resilience Act (CRA) in werking?

De CRA is al van kracht, maar specifieke verplichtingen hebben een gespreid tijdschema. De belangrijkste data zijn:

• 10 december 2024 - Verordening treedt in werking.
• 10 september 2026 - de eerste verplichtingen (vroegtijdige melding van incidenten en kwetsbaarheden) beginnen 21 maanden na de inwerkingtreding.
• 10 december 2027 - volledige naleving vereist 36 maanden na inwerkingtreding.

Lees hoe u kunt voldoen aan de CRA-vereisten in dit artikel.

Wat gebeurt er als je je niet aan de regels houdt?

Niet-naleving heeft ernstige financiële en operationele gevolgen. Dit is wat er kan gebeuren:

• Boetes tot €15 miljoen of 2,5% van de wereldwijde omzet, als dat hoger is
• Product van de EU-markt halen
• Verplichte terugroepacties voor onveilige producten
• Verkoopverbod in EU-landen
• Onderzoeken door nationale markttoezichtautoriteiten

Hoe Cyberday organisaties ondersteunt

Als uw producten onder CRA vallen, biedt Cyberday u een duidelijke structuur om aan de eisen te voldoen. Ons platform brengt Annex I vereisten in kaart in traceerbare taken, helpt bij het opbouwen van technische documentatie en ondersteunt workflows voor het rapporteren van incidenten en kwetsbaarheden. Het is ontwikkeld om u te helpen op een praktische en continue manier te voldoen aan de Cyber Resilience Act.

Begin vandaag nog met uw CRA-compliance met de gratis proefversie van Cyberday!