Verordening cyberweerbaarheid (CRA): geldt ze voor uw product?
De Verordening cyberweerbaarheid (Cyber Resilience Act, CRA) stelt cyberbeveiligingseisen aan hardware- en softwareproducten die in de EU worden verkocht. De meldingsplichten gelden vanaf 11 september 2026; de rest vanaf 11 december 2027.
Gecontroleerd aan de hand van de bronnen op 7 oktober 2026
Verordening (EU) 2024/2847 (Verordening cyberweerbaarheid)
Gecontroleerd aan de hand van de bronnen op 7 oktober 2026
In welke CRA-klasse valt uw product?
Kies de categorie die past bij wat het product zelf hoofdzakelijk doet, niet bij een van zijn onderdelen.
Kies een categorie om de klasse te zien en de conformiteitsbeoordelingsprocedures die ervoor openstaan.
Bijlagen III en IV en artikelen 7, 8 en 32 van Verordening (EU) 2024/2847; technische beschrijvingen in Uitvoeringsverordening (EU) 2025/2392. Gecontroleerd op 7 oktober 2026.
Technisch dossier en gereedheid voor de aangemelde instantie
Vink aan wat u al hebt om de hiaten te zien, met de verwijzing naar de bijlage bij elk punt. Het technisch dossier is bij elke procedure nodig; een aangemelde instantie vraagt ook de aanvraagstukken hieronder.
0 van 13 gereed
Ontbreekt nog:
- Algemene beschrijving: beoogd doel, softwareversies die de conformiteit beïnvloeden, foto’s of illustraties voor hardware, en de gebruikersinformatie van bijlage II (Annex VII(1))
- Informatie over ontwerp en ontwikkeling, met inbegrip van tekeningen en de systeemarchitectuur waar van toepassing (Annex VII(2)(a))
- Behandeling van kwetsbaarheden: softwarestuklijst, beleid voor gecoördineerde bekendmaking van kwetsbaarheden, contactadres voor het melden van kwetsbaarheden, en hoe updates veilig worden verspreid (Annex VII(2)(b))
- Productie- en monitoringprocessen en hoe die worden gevalideerd (Annex VII(2)(c))
- Cyberbeveiligingsrisicobeoordeling (artikel 13), die laat zien hoe elke essentiële eis van bijlage I, deel I, van toepassing is (Annex VII(3))
- De informatie waarmee de ondersteuningsperiode is bepaald (artikel 13, lid 8) (Annex VII(4))
- Toegepaste geharmoniseerde normen, gemeenschappelijke specificaties of certificeringsregelingen, volledig of gedeeltelijk, of de oplossingen die in plaats daarvan zijn gebruikt (Annex VII(5))
- Verslagen van de tests die de conformiteit van het product en van de processen voor de behandeling van kwetsbaarheden verifiëren (Annex VII(6))
- Een kopie van de EU-conformiteitsverklaring (Annex VII(7))
- Naam en adres van de fabrikant, en van de gemachtigde als die er is (Annex VIII, Part II, 3.1)
- Schriftelijke verklaring dat dezelfde aanvraag niet bij een andere aangemelde instantie is ingediend (Annex VIII, Part II, 3.2)
- Ondersteunend bewijs voor de oplossingen voor ontwerp en behandeling van kwetsbaarheden, met inbegrip van testresultaten waar nodig (Annex VIII, Part II, 3.4)
- Monsters van een of meer kritieke onderdelen van het product, voor onderzoek door de instantie (Annex VIII, Part II, 2)
Uit bijlage VII en bijlage VIII van Verordening (EU) 2024/2847. De verplichtingen gelden vanaf 11 december 2027; aangemelde instanties kunnen vanaf 11 juni 2026 worden aangewezen (artikel 71, lid 2). Een aangemelde instantie kan om meer vragen.
Welke producten
Producten met digitale elementen: hardware- en softwareproducten, met inbegrip van hun gegevensverwerking op afstand, waarvan het beoogde of redelijkerwijs te verwachten gebruik een gegevensverbinding met een apparaat of netwerk omvat. Slimme apparaten voor in huis, routers, apps, verbonden speelgoed en veel industriële componenten zijn typische voorbeelden.
Wat is uitgezonderd
Producten die al onder sectorale cyberbeveiligingsregels vallen: medische hulpmiddelen en medische hulpmiddelen voor in-vitrodiagnostiek, motorvoertuigen, burgerluchtvaart en uitrusting van zeeschepen. Producten die uitsluitend voor nationale veiligheid of defensie zijn ontwikkeld, vallen er ook buiten, net als vrije en opensourcesoftware die niet in het kader van een handelsactiviteit wordt geleverd.
Data
| Datum | Wat geldt |
|---|---|
| 11 juni 2026 | Regels voor conformiteitsbeoordelingsinstanties. |
| 11 september 2026 | Fabrikanten melden actief uitgebuite kwetsbaarheden en ernstige incidenten: vroegtijdige waarschuwing binnen 24 uur, kennisgeving binnen 72 uur, daarna een eindverslag. |
| 11 december 2027 | Alle andere eisen: veilig ontwerp, behandeling van kwetsbaarheden, conformiteitsbeoordeling, CE-markering, technische documentatie. |
De meldingsplicht in detail: termijnen, het centrale meldingsplatform en welk CSIRT u gebruikt. Zie CRA-meldingen.
Wat ze van fabrikanten vraagt
- voldoen aan essentiële cyberbeveiligingseisen in ontwerp en productie;
- kwetsbaarheden behandelen gedurende een ondersteuningsperiode van in het algemeen ten minste vijf jaar;
- een conformiteitsbeoordeling: interne controle voor de meeste producten; voor belangrijke en kritieke producten geharmoniseerde normen of een derde instantie;
- technische documentatie, een EU-conformiteitsverklaring en de CE-markering.
Het betaalde CRA-documentenpakket schrijft de technische documentatie, de cyberbeveiligingsrisicobeoordeling, de EU-conformiteitsverklaring in de talen van uw verkooplanden en de gebruikersinformatie als Word-bestanden.
Verbonden consumentenproducten vallen vaak ook onder de GPSR. Controleer dat met de GPSR-check.