De EU-verordening cyberweerbaarheid als productwetgeving

Sytance · Bijgewerkt 6 oktober 2026

De verordening cyberweerbaarheid is EU-productwetgeving voor cyberbeveiliging. Het conformiteitsmodel voor producten met CE-markering wordt hiermee toegepast op software, hardware, verbonden producten, afzonderlijke componenten en bepaalde vormen van verwerking op afstand.

Horizontale productwetgeving

De CRA is geen algemene cyberbeveiligingswet voor bedrijven, maar productwetgeving. De verordening bepaalt of een product met digitale elementen op de EU-markt mag worden aangeboden, welke actor welke verplichting draagt en of het product en de processen van de fabrikant aan de cyberbeveiligingseisen voldoen.

regels voor het op de markt aanbieden van producten met digitale elementen om de cyberbeveiliging van die producten te waarborgen;
Verordening (EU) 2024/2847, artikel 1, onder a)

De juridische titel noemt deze regels horizontale cyberbeveiligingseisen. Horizontaal betekent dat de CRA niet voor één sector is opgesteld. De regels kunnen voor veel soorten producten gelden als het product binnen de scope valt en er geen uitzondering of bijzondere overlapregel van toepassing is.

Waarom de wet bestaat

De overwegingen beschrijven twee hoofdproblemen. Ten eerste bereikten veel producten met digitale elementen gebruikers met zwakke beveiliging, bekende kwetsbaarheden of onduidelijke beveiligingsupdates. Ten tweede hadden gebruikers vaak onvoldoende informatie om producten veilig te kiezen en te gebruiken.

De EU streefde naar een uniform kader voor cyberbeveiligingseisen aan producten om versnippering van regelgeving op de interne markt te verminderen. De CRA koppelt cyberbeveiliging daarom aan het op de markt aanbieden van producten, naast andere toepasselijke EU-wetgeving voor producten, netwerkactiviteiten en organisatorische beveiliging.

Model voor CE-markering

De CRA gebruikt het bestaande model voor CE-markering. Er wordt geen nieuw cyberbeveiligingslogo ingevoerd. Voor een product dat al CE-gemarkeerd is op grond van andere EU-productwetgeving voegt de CRA cyberbeveiliging toe aan dezelfde set productconformiteitsdocumenten.

Voor de CE-markering gelden de algemene beginselen van artikel 30 van Verordening (EG) nr. 765/2008.
Verordening (EU) 2024/2847, artikel 29

De Blauwe Gids legt uit wat CE-markering betekent: de fabrikant verklaart dat het product voldoet aan de toepasselijke Uniewetgeving die deze markering vereist. De markering is geen kwaliteitskeurmerk of aanduiding van het land van oorsprong, en betekent niet dat een overheidsinstantie elk product heeft getest.

Cyberbeveiliging in het productdossier

De CRA voegt cyberbeveiligingseisen toe aan het bestaande systeem voor productconformiteit. Fabrikanten kunnen vertrouwde juridische procedures gebruiken, maar moeten de relevante technische inhoud toevoegen.

Bijlage I, deel I, stelt cyberbeveiligingseisen vast voor het product zelf.
Bijlage I, deel II, stelt eisen vast voor het proces van de fabrikant voor afhandeling van kwetsbaarheden.
De technische documentatie moet laten zien hoe het product en de processen aan de toepasselijke eisen voldoen.
De conformiteitsbeoordeling toetst het product en de processen van de fabrikant aan deze eisen.
De EU-conformiteitsverklaring en de CE-markering verbinden de uitkomst van de CRA met het gebruikelijke EU-systeem voor productconformiteit.

Relatie met andere productwetgeving

De CRA vervangt bestaande productwetgeving niet. Een verbonden machine, radioapparaat, speelgoed, industriële besturing of accessoire voor een medisch hulpmiddel kan al onder een ander EU-regime vallen. Als de CRA ook geldt, moet de fabrikant deze samen met de andere toepasselijke rechtshandeling toepassen.

Sommige overlappingen zijn rechtstreeks in de CRA geregeld. Voor de volgende productgroepen gelden eigen uitzonderingen of beperkingen:

medische hulpmiddelen en medische hulpmiddelen voor in-vitrodiagnostiek;
producten die onder de typegoedkeuringsregels voor motorvoertuigen vallen;
producten die zijn gecertificeerd onder het kader voor de burgerluchtvaart;
uitrusting voor zeeschepen;
identieke reserveonderdelen;
producten die uitsluitend voor nationale veiligheid of defensiedoeleinden zijn ontwikkeld of gewijzigd;
producten die specifiek zijn ontworpen om gerubriceerde informatie te verwerken.

Andere overlappingen werken anders. Afhankelijk van het product en het gereguleerde risico kan de CRA wetgeving aanvullen, zoals:

de Machineverordening;
de verordening inzake algemene productveiligheid;
de Radioapparatuurrichtlijn;
de AVG;
de Dataverordening;
de AI-verordening;
NIS2.