Overzicht van de EU-verordening cyberweerbaarheid

Doel en structuur

De CRA geldt voor consumenten- en industriële producten die aan de scopecriteria voldoen. Bepaal eerst om welk product het gaat en of een uitzondering van toepassing is. De verplichtingen van de fabrikant en de beschikbare routes voor conformiteitsbeoordeling hangen daarna af van diens rol en de productclassificatie.

De onderstaande onderwerppagina’s behandelen elk van deze vragen met de juridische definities, voorbeelden en bronverwijzingen die nodig zijn voor een productspecifieke beoordeling.

Kernbegrippen

Kies een leesroute

Productleiders, beveiligingsengineers en teams voor conformiteitsbeoordeling hebben verschillende delen van de verordening nodig. De onderstaande leesroutes sluiten aan op die verantwoordelijkheden.

• Product- en complianceleiders: stel vast welke producten en versies worden aangeboden, of de CRA geldt, welke juridische rol van toepassing is, in welke productcategorie het product valt en welke toepassingsdatums relevant zijn.
• Beveiligings- en engineeringteams: verbind de architectuur, assets, vertrouwensgrenzen, componenten en het updateontwerp met de risicobeoordeling van cyberbeveiliging.
• Teams voor afhandeling van kwetsbaarheden: houd component- en kwetsbaarheidsregistraties bij, beoordeel de productimpact, bereid herstelmaatregelen voor en beoordeel meldcriteria van artikel 14 zodra relevante feiten bekend worden.
• Teams voor technische documentatie en beoordeling: verzamel productspecifiek bewijs, controleer de normen en beoordelingsroute en houd het dossier consistent met de uitgebrachte versie.

Een verbonden apparaat kan bijvoorbeeld afhankelijk zijn van ingebedde firmware, een toepassing en verwerking op afstand onder controle van de fabrikant. Bepaal eerst wat het product is; risicobeoordeling, componentregistraties en documentatie gebruiken daarna dezelfde afgebakende scope.

Leesvolgorde voor fabrikanten

Bepaal eerst of het product binnen de scope valt. De onderstaande pagina’s behandelen vervolgens de verantwoordelijke partijen, productcategorieën en toepasselijke eisen. Controleer de meldregels afzonderlijk: artikel 14 geldt vanaf 11 september 2026, vóór de belangrijkste producteisen.

1. Begin met Producten binnen de scope en Op de markt aanbieden .
2. Bepaal de rol van de marktdeelnemer in Rollen en verplichtingen .
3. Classificeer het product met Productclassificatie en Technische beschrijvingen van Verordening 2025/2392 .
4. Lees de verplichtingen voor producten en processen in Essentiële cyberbeveiligingseisen .
5. Lees over de relevante normen in Normen en geharmoniseerde normen en Productnormen per categorie .
6. Ga verder met Risicobeoordeling van cyberbeveiliging, Technische documentatie en Gebruikersinformatie en instructies.
7. Bereid de meldingen volgens artikel 14 voor met Melden van kwetsbaarheden en Voorbereid zijn op meldingen volgens artikel 14 .
8. Gebruik de belangrijke datums om de termijnen voor meldingen, aangemelde instanties, overgangsregels en volledige toepassing van elkaar te onderscheiden.

Producten binnen de scope

Deze verordening is van toepassing op producten met digitale elementen die op de markt worden aangeboden en waarvan het beoogde doel of redelijkerwijs voorzienbare gebruik een directe of indirecte logische of fysieke gegevensverbinding met een apparaat of netwerk omvat.

Verordening (EU) 2024/2847, artikel 2, lid 1

Een product met digitale elementen kan software, hardware, een afzonderlijk op de markt gebracht software- of hardwarecomponent en de oplossing voor verwerking op afstand van het product omvatten. Verwerking op afstand maakt alleen deel uit van het product wanneer deze door of onder verantwoordelijkheid van de fabrikant is ontworpen en ontwikkeld en het product zonder deze verwerking een van zijn functies niet kan uitvoeren.

De CRA maakt niet van elke digitale dienst een product met digitale elementen. Een website of clouddienst buiten de productverantwoordelijkheid van de fabrikant verschilt van verwerking op afstand die het product nodig heeft om te werken. De pagina over scope behandelt uitdrukkelijke uitzonderingen; de pagina met basisinformatie behandelt de bredere achtergrond van productwetgeving.

Rollen en productcategorieën

Een fabrikant, importeur en distributeur kunnen elk verplichtingen hebben voor hetzelfde product. Productclassificatie beantwoordt een andere vraag: welke routes voor conformiteitsbeoordeling beschikbaar of vereist zijn. Belangrijke en kritieke productcategorieën hangen af van de kernfunctionaliteit van het product.

• Standaardproducten vallen nog steeds onder de CRA, maar volgen doorgaans de route voor conformiteitsbeoordeling via interne controle.
• Belangrijke producten staan in bijlage III en zijn verdeeld in klasse I en klasse II.
• Kritieke producten staan in bijlage IV en kunnen onder certificering of strengere beoordelingsroutes door derden vallen.
• Uitvoeringsverordening (EU) 2025/2392 van de Commissie bevat technische beschrijvingen voor belangrijke en kritieke productcategorieën.

Een product is niet belangrijk of kritiek alleen omdat het een component bevat die voorkomt in een vermelde categorie. De relevante vraag is of het gehele product de kernfunctionaliteit van die categorie heeft.

Essentiële eisen en normen

Artikel 6 vereist dat zowel het product als de processen van de fabrikant voor afhandeling van kwetsbaarheden aan bijlage I voldoen. De twee delen daarvan stellen deze eisen afzonderlijk vast. Een geharmoniseerde norm waarvan de referentie in het Publicatieblad is bekendgemaakt, kan een vermoeden van overeenstemming opleveren voor de eisen die de norm behandelt.

De detailpagina’s leggen de structuur van bijlage I uit en laten zien hoe normen kunnen helpen om conformiteit aan te tonen. Essentiële cyberbeveiligingseisen en Normen en geharmoniseerde normen.

Melden en afhandelen van kwetsbaarheden

Afhandeling van kwetsbaarheden is een verplichting gedurende de levenscyclus. Meldingen vormen een beperktere verplichting die door een gebeurtenis wordt geactiveerd. Vanaf 11 september 2026 geldt artikel 14 wanneer een fabrikant kennis krijgt van een actief uitgebuite kwetsbaarheid in het product of van een ernstig incident dat de productbeveiliging raakt.

• Vroege waarschuwing: binnen 24 uur nadat de fabrikant kennis krijgt van de gebeurtenis.
• Melding: binnen 72 uur nadat de fabrikant kennis krijgt van de gebeurtenis, tenzij de relevante informatie al is verstrekt.
• Eindrapport over een actief uitgebuite kwetsbaarheid: uiterlijk 14 dagen nadat een corrigerende of beperkende maatregel beschikbaar is.
• Eindrapport over een ernstig incident: binnen één maand na de incidentmelding van 72 uur.

Belangrijke datums

De CRA is op 20 november 2024 in het Publicatieblad gepubliceerd en op 10 december 2024 in werking getreden. De toepassing verloopt gefaseerd, zodat de meldplichten en de regels voor conformiteitsbeoordelingsinstanties vóór de volledige toepassing ingaan.