De EU Cyber Resilience Act uitgelegd: wat verandert er en voor wie

Vanaf 11 september 2026 moeten fabrikanten van producten met digitale elementen op de EU-markt binnen 24 uur nadat zij kennis krijgen van een actief misbruikte kwetsbaarheid of een ernstig incident, een vroegtijdige waarschuwing indienen. De meeste verplichtingen voor fabrikanten onder de CRA gaan pas in december 2027 in. Dit artikel legt uit wat de rapportageplicht vanaf september inhoudt, wie hieraan moet voldoen en wat organisaties zouden moeten vastleggen bij de inkoop van verbonden apparatuur.

Belangrijk is dat de rapportageplicht niet beperkt is tot nieuwe producten. Zij kan ook worden geactiveerd door een kwetsbaarheid of incident bij een product dat jaren eerder al op de EU-markt is gebracht. De rapportagetermijn gaat in zodra de fabrikant kennis krijgt van een actief misbruikte kwetsbaarheid in een van zijn producten, of van een ernstig incident. Een ernstig incident is een incident dat het vermogen van het product om gevoelige of belangrijke gegevens of functies te beschermen negatief beïnvloedt of kan beïnvloeden. Het omvat ook een incident dat heeft geleid, of kan leiden, tot het introduceren of uitvoeren van kwaadaardige code in het product of in het netwerk van een gebruiker.

De verplichting geldt ook voor fabrikanten buiten de EU die producten op de EU-markt brengen. De belangrijkste verplichtingen op het gebied van productveiligheid en kwetsbaarheidsbeheer gaan pas in op 11 december 2027. Voor fabrikanten brengt september dus zowel de rapportageplicht als de bijbehorende verplichting om getroffen gebruikers te informeren.

Voor de rapportageplicht wel. In grote lijnen valt hardware en software onder de verordening waarvan het beoogde of redelijkerwijs te verwachten gebruik een verbinding met een apparaat of netwerk omvat. Sommige producten die onder specifieke sectorale EU-wetgeving vallen, zijn uitgezonderd, waaronder bepaalde medische hulpmiddelen, producten voor motorvoertuigen, gecertificeerde luchtvaartapparatuur en maritieme apparatuur.

Producten die vóór 11 december 2027 op de EU-markt zijn gebracht, vallen grotendeels buiten de wet. Zij vallen er alleen onder als zij later zodanig worden gewijzigd dat dit gevolgen heeft voor hun veiligheid of hun beoogde doel. De rapportageplicht vormt hierop de uitzondering: deze geldt voor elk product dat onder de verordening valt, ongeacht wanneer het op de markt is gebracht. Een verwarmingsregelaar die in 2019 voor het eerst op de EU-markt is gebracht, hoeft niet alsnog een nieuwe conformiteitsbeoordeling of CE-markering te ondergaan enkel omdat de rapportageplicht is ingegaan. Vanaf 11 september moet de fabrikant echter wel een actief misbruikte kwetsbaarheid of een ernstig incident met betrekking tot dat product melden.

De fabrikant dient de melding in. Volgens de verordening is dit de persoon of organisatie die het product ontwikkelt of vervaardigt, of laat ontwerpen, ontwikkelen of vervaardigen, en het onder zijn eigen naam of merk op de markt brengt. Dit geldt ongeacht of het product wordt geleverd tegen betaling, tegen monetisatie of gratis. Het installeren, uitvoeren of onderhouden van het product maakt een organisatie op zichzelf nog geen fabrikant.

De verplichting hangt af van waar het product op de markt wordt gebracht, niet van waar de fabrikant is gevestigd. Ook fabrikanten van buiten de EU die producten op de EU-markt brengen, blijven hiervoor verantwoordelijk.

Binnen 24 uur nadat de fabrikant kennis krijgt van de kwetsbaarheid of het incident, dient deze een vroegtijdige waarschuwing in, met vermelding van de EU-landen waar het product volgens de fabrikant beschikbaar is gesteld en, bij een incident, of onrechtmatige of kwaadwillige handelingen worden vermoed. Binnen 72 uur volgt een uitgebreidere melding: wat het product is, wat het probleem is, wat de fabrikant heeft gedaan en wat gebruikers kunnen doen. Bij een kwetsbaarheid volgt uiterlijk 14 dagen nadat een corrigerende of mitigerende maatregel beschikbaar is, een eindverslag. Bij een incident volgt dit binnen één maand na de melding van 72 uur. Het ontvangende incidentresponsteam kan ook vóór het eindverslag om een tussentijds verslag vragen. De fabrikant moet daarnaast de getroffen gebruikers informeren.

Meldingen worden ingediend via één centraal platform dat wordt opgezet door ENISA, het cyberbeveiligingsagentschap van de EU. De Europese Commissie geeft aan dat dit platform operationeel zal zijn op 11 september 2026. De meldingen gaan naar het nationale incidentresponsteam in het EU-land waar de fabrikant hoofdzakelijk zijn beslissingen over productveiligheid neemt. Als de fabrikant geen vestiging in de EU heeft, bepaalt artikel 14 op basis van een aparte rangorde welk land de melding ontvangt.

Vanaf 11 december 2027 moet een fabrikant voor elk nieuw product de ondersteuningsperiode vermelden. Deze ondersteuningsperiode moet minimaal vijf jaar bedragen, tenzij het product naar verwachting korter in gebruik zal zijn. De einddatum moet op het moment van aankoop worden vermeld. Gedurende de ondersteuningsperiode moet een beveiligingsupdate, zodra deze beschikbaar is, zonder onnodige vertraging en in beginsel kosteloos worden verspreid.

Bij apparatuur die op afstand wordt beheerd, kan het verspreiden van die update afhankelijk zijn van het bereik houden van het product. Vijf jaar is lang genoeg om de mobiele netwerken waarvan de verbinding gebruikmaakt, te laten veranderen. Gepubliceerde uitfaseringsdata van 2G-netwerken in Europa laten zien dat de netwerken die beschikbaar zijn gedurende de ondersteuningsperiode van een product kunnen afwijken van de netwerken die beschikbaar waren bij eerste levering. Als de beheerroute wegvalt terwijl het product nog binnen de ondersteuningsperiode valt, moet de fabrikant een andere manier vinden om de update te leveren.

Een organisatie krijgt niet automatisch een rapportageplicht onder artikel 14 door verbonden apparatuur aan te schaffen of te gebruiken. Zij blijft wel afhankelijk van fabrikanten die aan die plicht kunnen voldoen en van producten die bereikbaar blijven wanneer een beveiligingsupdate nodig is. Vier antwoorden horen daarom in het dossier te staan voordat een contract wordt ondertekend. Samen bepalen zij de ondersteuningsperiode, de netwerkafhankelijkheden, de updateroute en de rapportageverantwoordelijkheid.

1. Hoe lang is de ondersteuningsperiode voor dit product, en wat gebeurt er wanneer deze afloopt? Het antwoord zou de einddatum moeten geven, ten minste maand en jaar, en duidelijk moeten aangeven wat daarna doorloopt en wat stopt.
2. Van welke mobiele netwerken kan het product gebruikmaken, en welke afhankelijkheden van een kernnetwerk blijven bestaan over die routes? Toegang tot meerdere radionetwerken kan nog steeds afhangen van één enkele operator-kern.
3. Hoe bereikt een beveiligingsupdate een eenheid in het veld, en is daarvoor ooit een bezoek van een technicus nodig? Als het antwoord een bezoek is, hoort de kostprijs daarvan, vermenigvuldigd met het aantal eenheden, in de vergelijking thuis.
4. Wie rapporteert onder de verordening voor dit product, en wie is het aanspreekpunt wanneer een beveiligingsprobleem wordt gevonden? Het antwoord zou een bedrijf en een persoon of team moeten noemen.

CSL ontwerpt en beheert multi-netwerk- en onafhankelijke-kernconnectiviteit voor kritieke verbonden apparatuur in heel Europa. Neem contact op met ons team om de connectiviteitsbehoeften van een specifiek product of park te bespreken.

• Verordening (EU) 2024/2847 (Cyber Resilience Act), artikelen 2, 3, 13, 14, 69 en 71, Publicatieblad van de Europese Unie.
• Europese Commissie (2026), “Cyber Resilience Act: reporting obligations”, pagina laatst bijgewerkt op 31 juli 2026.