De Cyber Resilience Act (CRA) is een EU-verordening die verplichte cyberbeveiligingseisen stelt aan digitale producten en aangesloten apparaten die in de EU op de markt worden gebracht. Het doel is om de kloof te dichten waarin veel producten worden geleverd met weinig of geen ingebouwde beveiliging, waardoor gebruikers worden blootgesteld aan uitbuiting.

CRA is van toepassing op de gehele levenscyclus van een product, van ontwikkeling en ontwerp tot monitoring, onderhoud en updates na het op de markt brengen. Het richt zich rechtstreeks op fabrikanten, importeurs en distributeurs, waardoor de verantwoordelijkheid voor cyberbeveiliging wordt verlegd naar degenen die digitale producten op de markt brengen. Dit maakt CRA anders dan regelgeving zoals GDPR of NIS2, die zich richten op gegevensbescherming en beveiliging op serviceniveau.

Waar staat CRA voor?

CRA staat voor Cyber Resilience Act, een bindende EU-verordening die in 2024 wordt aangenomen. Het doel is om ervoor te zorgen dat alle hardware en software met digitale elementen worden geleverd met ingebouwde cyberbeveiliging en dat verkopers verantwoordelijk blijven voor de beveiliging van producten in de loop der tijd. Het zorgt voor een geharmoniseerde set regels in de hele EU, ter vervanging van gefragmenteerde nationale benaderingen.

Wat vereist CRA?

CRA introduceert cyberbeveiligingsverplichtingen voor de volledige levenscyclus van een product, met een mix van pre-market en post-market controles. De belangrijkste CRA-vereisten zijn:

• Veilig door ontwerp en standaard: Producten moeten kwetsbaarheden minimaliseren en out of the box veilig zijn, met sterke standaardconfiguraties.
• Behandeling van kwetsbaarheden: Fabrikanten moeten duidelijke processen opzetten om kwetsbaarheden te ontvangen, te beoordelen en te verhelpen, inclusief coördinatie met beveiligingsonderzoekers.
• Beveiligingsupdates: Voortdurende ondersteuning is vereist voor de verwachte levenscyclus van het product, inclusief tijdige levering van patches.
• Rapportage van incidenten: Misbruikte kwetsbaarheden en beveiligingsincidenten moeten binnen 24 uur aan ENISA worden gemeld.
• Technische documentatie: Omvat een risicobeoordeling, conformiteitsbeoordeling en een conformiteitsverklaring.
• Post-market monitoring: Leveranciers moeten opkomende bedreigingen en het gedrag van producten na de verkoop volgen en indien nodig actie ondernemen.
• CE-markering voor cyberbeveiliging: Producten moeten een CE-markering hebben die bevestigt dat ze voldoen aan de cyberbeveiligingsnormen van de CRA.
• Conformiteitsbeoordelingen:
  • Klasse I (standaardproducten): Zelfbeoordeling toegestaan.
  • Klasse II (kritieke producten): Audits door derden zijn vereist (bijv. besturingssystemen, wachtwoordmanagers, firewalls).

Voorbeelden van CRA-productclassificatie

De CRA introduceert twee productklassen op basis van cyberbeveiligingsrisico:

• Klasse I (standaardproducten): Minder kritisch. Zelfbeoordeling toegestaan.
• Klasse II (kritieke producten): Hoger risico. Conformiteitsbeoordeling door derden vereist.

Hieronder staan voorbeeldclassificaties om organisaties te helpen begrijpen waar hun producten onder kunnen vallen:

Tip: Zelfs producten van Klasse I moeten nog steeds voldoen aan alle basisvereisten van de CRA, alleen met een eenvoudiger beoordelingsproces. Kritische Klasse II-producten vereisen meer rigoureuze nalevingsstappen.

Hoe CRA productbeveiliging verbetert en waarom het belangrijk is

De Cyber Resilience Act verbetert de beveiliging van producten door cyberbeveiliging tot een ingebouwde verantwoordelijkheid tijdens de hele levenscyclus van een product te maken. De wet verplicht fabrikanten om secure-by-design en standaardpraktijken toe te passen, kwetsbaarheden systematisch te beheren en snel te reageren op beveiligingsincidenten. Deze verplichtingen verkleinen de kans dat onveilige producten gebruikers bereiken en helpen voorkomen dat geïsoleerde zwakke plekken grootschalige exploitatierisico's worden.

Door de verantwoordelijkheid bij fabrikanten, importeurs en distributeurs te leggen, zorgt CRA ervoor dat beveiliging niet langer optioneel of uitgesteld is, maar onderdeel wordt van productkwaliteit en wettelijke naleving.

Organisaties die voldoen aan CRA profiteren van:

• Minder kwetsbaarheden door gestructureerde ontwikkel- en testpraktijken
• Sneller reageren op incidenten via verplichte verwerking en rapportage van kwetsbaarheden
• Meer vertrouwen in leveranciers en toeleveringsketens, vooral in gereguleerde sectoren
• Duidelijkheid in regelgeving dankzij een uniforme nalevingsnorm voor de hele EU
• Marktvoordeel, aangezien veilige, CRA-conforme producten aantrekkelijker worden voor B2B-inkopers en klanten uit de publieke sector.

In het algemeen verhoogt CRA de basisnorm voor cyberbeveiliging voor digitale producten en creëert het zowel wettelijke aansprakelijkheid als concurrentiemogelijkheden.

Wereldwijde vergelijkingen

CRA heeft dezelfde doelen als andere mondiale kaders, maar verschilt in reikwijdte en handhaving:

Beste praktijken van ratingbureaus en veelvoorkomende uitdagingen

Beste praktijken van vroege gebruikers:

• Veilig coderen integreren in SDLC
• Scannen op kwetsbaarheden en triage automatiseren
• Product Incident Response Teams (PSIRT's) opzetten
• Herbruikbare sjablonen voor technische documentatie maken
• Met platforms als Cyberday verantwoordelijkheden toewijzen en bewijs verzamelen

Veelvoorkomende uitdagingen:

• Oudere producten inbouwen zonder basisbeveiliging
• Budgettering voor patching en ondersteuning op lange termijn
• Overlapping met CE-markering en richtlijn radioapparatuur begrijpen
• Meerdere conformiteitsbeoordelingsprocessen beheren

FAQs

Is CRA verplicht?

Ja. Ratingbureau is een bindende EU-verordening. Zodra de handhaving begint, is naleving verplicht voor alle toepasselijke producten die op de EU-markt worden gebracht.

Waarom is CRA belangrijk?

CRA zorgt ervoor dat verkopers van producten wettelijk aansprakelijk zijn en dicht de al lang bestaande leemte in de regelgeving voor cyberbeveiliging voor aangesloten apparaten en software. Het helpt de risico's van onveilige producten in de hele EU te beperken en zorgt ervoor dat verkopers de beveiliging vanaf het begin inbouwen.

Wie moet voldoen aan CRA?

CRA is van toepassing op:

• Fabrikanten, importeurs en distributeurs van digitale producten
• Producten met digitale elementenmet inbegrip van:
  • IoT-apparaten
  • Mobiele en desktop apps
  • Ingebedde systemen
  • Besturingssystemen
  • Industriële besturingssoftware

Uitgesloten: Producten die al onder specifieke sectorale EU-wetten vallen (bijv. medische apparatuur, auto's, luchtvaart).

Wanneer is de CRA van kracht?

De Ratingbureauverordening is op 10 december 2024 in werking getreden. Belangrijkste deadlines:

• September 2025: ENISA ontvangt nationale uitvoeringsplannen.
• September 2026: meldingsplicht voor incidenten wordt afdwingbaar.
• December 2027: volledige verplichtingen van toepassing. Daarna moeten alle producten binnen het toepassingsgebied voldoen aan de CRA-verplichtingen.

Wordt CRA ondersteund in Cyberday?

Ja. CRA is beschikbaar om te werken in Cyberday. Het platform omvat:

• Specifieke taken en controles voor ratingbureaus
• Veilige ontwikkeling en update-ondersteuning
• Sjablonen voor technische documentatie
• Kwetsbaarheid en incident response workflows
• Voortdurende updates als richtlijnen evolueren