Veelgestelde vragen over de EU-verordening cyberweerbaarheid
Sytance · Bijgewerkt
Deze antwoorden gaan in op terugkerende CRA-vragen over software, ondersteuningsperioden en meldingen. Ze zijn gebaseerd op de verordening, de FAQ van de Commissie en de op 27 juli 2026 gepubliceerde richtsnoeren van de Commissie, en bevatten links naar de uitgebreide pagina’s over deze onderwerpen.
Bronstatus
De verordening bevat de wettelijke vereisten. De FAQ en richtsnoeren van de Commissie leggen de toepassing ervan uit; deze toelichtende documenten zijn niet juridisch bindend.
De antwoorden op de FAQ’s verruimen op geen enkele wijze de rechten en verplichtingen die uit de toepasselijke wetgeving voortvloeien en introduceren geen aanvullende vereisten.
FAQ van de Europese Commissie over de uitvoering van de CRA, inleidende opmerking
De Commissie heeft na de eerdere raadpleging op 27 juli 2026 richtsnoeren C(2026) 5252 gepubliceerd. Deze behandelen het toepassingsgebied, opensourcesoftware, ingrijpende wijzigingen en ondersteuningsperioden, evenals risicobeoordeling, gegevensverwerking op afstand en meldingen.
Werkingssfeer en op de markt aanbieden
Ja, als aan de voorwaarden voor de werkingssfeer van de CRA is voldaan. Een product met digitale elementen kan software, hardware, een oplossing voor gegevensverwerking op afstand die deel uitmaakt van het product, of een software- of hardwarecomponent zijn die afzonderlijk op de markt wordt gebracht.
Software die als product wordt geleverd, kan binnen de werkingssfeer vallen als deze aan de definitie van de CRA en aan de marktvoorwaarden voldoet. Hieronder vallen zelfstandige toepassingen en firmware. Pas dezelfde voorwaarden voor de werkingssfeer toe op ontwikkeltools en softwarecomponenten; beslis niet uitsluitend op basis van hun naam.
Lees meer bij Producten binnen de werkingssfeer.
Zelfstandige SaaS of een clouddienst die buiten de verantwoordelijkheid van de fabrikant is ontwikkeld, is niet automatisch een product met digitale elementen. Een cloudfunctie is relevant onder de CRA wanneer deze voldoet aan de definitie van gegevensverwerking op afstand.
Gegevensverwerking op afstand behoort tot het product wanneer deze op afstand plaatsvindt, het product deze nodig heeft om een van zijn functies uit te voeren en de verwerkingssoftware door of onder verantwoordelijkheid van de fabrikant is ontworpen of ontwikkeld.
Lees meer bij Producten binnen de werkingssfeer.
Nee. De CRA gaat uit van begrippen rond gegevensverbindingen, niet van een eenvoudige regel voor internettoegang. Een verbinding kan logisch, fysiek, direct of indirect zijn.
Relevante voorbeelden zijn:
- logische verbindingen via API’s, netwerksockets, pipes, bestanden, HTTPS-browsersessies of e-mailprotocollen;
- fysieke verbindingen via USB, Ethernet, glasvezel, veldbus, wifi, Bluetooth, NFC of andere radioverbindingen;
- indirecte verbindingen via een hostsysteem dat zelf met een apparaat of netwerk kan worden verbonden.
Lees meer bij Producten binnen de werkingssfeer.
Gewoonlijk niet. Volgens de Blue Guide is er geen sprake van het in de handel brengen wanneer een product voor eigen gebruik wordt vervaardigd. De FAQ van de Commissie past dat uitgangspunt toe op CRA-voorbeelden zoals ontwikkel- en configuratietools die een fabrikant voor eigen gebruik maakt.
Het antwoord verandert als de tool later als afzonderlijk product op de markt wordt gebracht. Dan moet deze worden beoordeeld zoals elk ander software- of hardwareproduct met digitale elementen.
Lees meer bij In de handel brengen.
Voor producten die vóór 11 december 2027 op de markt zijn gebracht, gelden niet automatisch de volledige CRA-vereisten zodra die datum aanbreekt. Die vereisten worden van toepassing als de producten vanaf die datum ingrijpend worden gewijzigd.
Artikel 14 over meldingen is anders. De meldingsverplichtingen gelden vanaf 11 september 2026 voor producten met digitale elementen die binnen de werkingssfeer van de CRA vallen, waaronder producten die vóór 11 december 2027 op de markt zijn gebracht.
Lees meer bij In de handel brengen en Melding van kwetsbaarheden.
De FAQ van de Commissie maakt onderscheid tussen eenheden die al op de markt zijn gebracht en eenheden die nieuw op de markt worden gebracht. Eenheden die al op de markt zijn gebracht, mogen ook na het verstrijken van de opgegeven ondersteuningsperiode beschikbaar blijven.
Voor nieuw op de markt gebrachte eenheden geldt iets anders. Als de fabrikant extra eenheden op de markt brengt, moet hij voor die eenheden overeenkomstig artikel 13, lid 8, een ondersteuningsperiode vaststellen.
Lees meer bij Ondersteuningsperiode.
Software en open source
Nee. Het feit dat software gratis wordt aangeboden, bepaalt op zichzelf niet het antwoord. De CRA maakt onderscheid tussen niet-commerciële ontwikkeling van gratis opensourcesoftware en software die in het kader van een commerciële activiteit op de markt wordt gebracht.
De richtsnoeren van juli 2026 maken onderscheid tussen betaalde toegang tot software of het onderhoud ervan en optionele diensten rond vrij beschikbare software. Betaalde edities kunnen commerciële levering vormen; optionele adviesdiensten alleen maken de gratis versie niet commercieel. Ook het te gelde maken van diensten via de software, of het als voorwaarde voor gebruik verplicht stellen van de verwerking van persoonsgegevens voor andere doeleinden dan het verbeteren van de beveiliging, compatibiliteit of interoperabiliteit van de software, kan de levering commercieel maken.
Lees meer bij Rollen en plichten en Producten binnen de werkingssfeer.
Ja, maar alleen volgens de testregel in artikel 4, lid 3. De software mag uitsluitend beschikbaar worden gesteld gedurende de beperkte periode die voor het testen nodig is en moet duidelijk vermelden dat deze niet aan de CRA voldoet en niet voor andere doeleinden dan testen beschikbaar zal zijn.
De FAQ van de Commissie verwijst ook naar overweging 37: de fabrikant mag dergelijke software pas na een risicobeoordeling vrijgeven en moet voor zover mogelijk voldoen aan de vereisten voor beveiliging en het afhandelen van kwetsbaarheden.
Ja. Artikel 13, lid 11, staat openbare softwarearchieven toe die gebruikers betere toegang tot historische versies bieden. Gebruikers moeten op een gemakkelijk toegankelijke manier duidelijk worden geïnformeerd over de risico’s van niet-ondersteunde software.
Een archief is niet hetzelfde als actieve ondersteuning. Het gaat erom of de gebruiker kan begrijpen dat de gearchiveerde versie niet langer wordt ondersteund en een beveiligingsrisico met zich meebrengt.
Beveiliging, ondersteuning en meldingen
Nee. Volgens de FAQ van de Commissie vereist de CRA niet dat fabrikanten garanderen dat een product vrij is van alle kwetsbaarheden.
Op het moment dat het product in de handel wordt gebracht, betreft de relevante eis in bijlage I bekende kwetsbaarheden die kunnen worden uitgebuit, op basis van de cyberbeveiligingsrisicobeoordeling van de fabrikant en de op dat moment beschikbare feiten.
Lees meer bij Essentiële cyberbeveiligingsvereisten en Beoordeling van cyberbeveiligingsrisico’s.
Nee. Een fabrikant moet beoordelen of de kwetsbaarheid relevant is voor het product en welk risico deze oplevert. De oplossing moet passen bij dat risico.
Een oplossing kan een patch zijn, maar ook een andere maatregel, zoals een waarschuwing, configuratie-instructies, een tijdelijke oplossing, bijgewerkte gebruikersinformatie of een latere software-update. De CRA vereist dat kwetsbaarheden zonder onnodige vertraging worden aangepakt en verholpen in verhouding tot de risico’s voor producten met digitale elementen.
Lees meer bij Registratie van de afhandeling van kwetsbaarheden.
Nee. Vijf jaar is een minimale waarborg, geen standaardduur voor elk product. Een langere ondersteuningsperiode kan nodig zijn als redelijkerwijs wordt verwacht dat het product langer wordt gebruikt.
Een kortere ondersteuningsperiode is alleen toegestaan als wordt verwacht dat het product minder dan vijf jaar wordt gebruikt. In dat geval komt de ondersteuningsperiode overeen met de verwachte gebruiksduur.
Lees meer bij Ondersteuningsperiode.
Een fabrikant meldt een actief uitgebuite kwetsbaarheid in zijn product. Als de kwetsbaarheid afkomstig is van een geïntegreerde component en in het product kan worden uitgebuit, meldt de fabrikant van het product dit. De fabrikant van de component meldt dit ook als de component als zelfstandig product op de markt is gebracht.
Als de kwetsbaarheid van de component niet kan worden uitgebuit in het product van de fabrikant, ontstaat op die grond geen verplichte meldingsplicht op grond van artikel 14. De fabrikant kan nog wel verplichtingen hebben voor coördinatie in de toeleveringsketen of de afhandeling van kwetsbaarheden.
Lees meer bij Melding van kwetsbaarheden.
Conformiteit en bewijs
Nee. Volgens de FAQ van de Commissie mag een fabrikant componenten zonder CE-markering integreren, waaronder componenten die niet op de markt zijn gebracht en componenten die vóór de toepasselijkheid van de CRA op de markt zijn gebracht.
De fabrikant moet wel de nodige zorgvuldigheid betrachten om te voorkomen dat de component de cyberbeveiliging van het eindproduct aantast.
Lees meer bij SBOM- en componentregistraties.
Over het algemeen niet. Volgens de FAQ van de Commissie bestaat er geen algemene verplichting om technische documentatie aan klanten of het publiek beschikbaar te stellen.
De belangrijke uitzondering betreft gratis opensourcesoftware van klasse I of II in bijlage III wanneer de fabrikant gebruik wil maken van zelfbeoordeling op grond van artikel 32, lid 5. In dat geval moet de technische documentatie openbaar beschikbaar worden gemaakt.
Lees meer bij Technische documentatie en Conformiteitsbeoordeling.
Nee. Ontwerpnormen kunnen nuttig voorbereidingsmateriaal zijn, maar leiden niet tot een vermoeden van overeenstemming op grond van artikel 27. Dat vermoeden hangt af van een geharmoniseerde norm waarvan de referentie in het Publicatieblad van de Europese Unie is bekendgemaakt.
Hetzelfde onderscheid geldt voor de prEN 40000-ontwerpen en productspecifieke ontwerpnormen. Fabrikanten kunnen deze gebruiken om bewijsmateriaal voor te bereiden en tegelijk afzonderlijk de publicatie- en verwijzingsstatus controleren.
Lees meer bij Geharmoniseerde normen en vermoeden van overeenstemming.