Checklist Verordening cyberweerbaarheid: uw CRA-gereedheidsscore

De Verordening cyberweerbaarheid geeft de fabrikant van een product met digitale elementen een lijst verplichtingen: melden, beveiligingseisen voor het product, behandeling van kwetsbaarheden en de documenten. Beantwoord elke verplichting voor uw product om te zien waar u staat en wat nog open is, met het artikel bij elk punt.

Gecontroleerd aan de hand van de bronnen op 17 oktober 2026

Verordening (EU) 2024/2847 (Verordening cyberweerbaarheid), artikelen 13, 14, 69 en 71, bijlagen I en II

Gecontroleerd aan de hand van de bronnen op 17 oktober 2026

Uw CRA-gereedheid

Beantwoord elke regel voor één product. De score telt alleen uw antwoorden; er wordt niets gecontroleerd, verstuurd of opgeslagen.

Melding (artikel 14): geldt vanaf 11 september 2026, ook voor producten die al op de markt zijn

Actief uitgebuite kwetsbaarheden: vroegtijdige waarschuwing binnen 24 uur, kennisgeving binnen 72 uur, eindverslag uiterlijk 14 dagen nadat een oplossing beschikbaar is, via het centrale meldingsplatform (Article 14(1), (2))
Ernstige incidenten die de beveiliging van het product aantasten: vroegtijdige waarschuwing binnen 24 uur, kennisgeving binnen 72 uur, eindverslag binnen een maand na de kennisgeving (Article 14(3) to (5))
U weet welk als coördinator aangewezen CSIRT uw kennisgevingen ontvangt: de lidstaat van uw hoofdvestiging in de EU, of de volgorde van artikel 14, lid 7, als u er geen hebt (Article 14(7))
Getroffen gebruikers, en waar passend alle gebruikers, worden geïnformeerd over de kwetsbaarheid of het incident en over de maatregelen die zij kunnen nemen (Article 14(8))

Producteisen (bijlage I, deel I): vanaf 11 december 2027

Alleen niet van toepassing waar uw cyberbeveiligingsrisicobeoordeling dat aantoont, met de motivering in de technische documentatie (artikel 13, lid 4).

Beveiliging passend bij de risico’s (Annex I, Part I(1))
Geen bekende uitbuitbare kwetsbaarheden (Annex I, Part I(2)(a))
Standaard veilig, met een reset (Annex I, Part I(2)(b))
Beveiligingsupdates, standaard automatisch (Annex I, Part I(2)(c))
Bescherming tegen onbevoegde toegang (Annex I, Part I(2)(d))
Vertrouwelijkheid van gegevens (Annex I, Part I(2)(e))
Integriteit van gegevens, commando’s en configuratie (Annex I, Part I(2)(f))
Minimale gegevensverwerking (Annex I, Part I(2)(g))
Beschikbaarheid van essentiële functies (Annex I, Part I(2)(h))
Beperkte gevolgen voor andere apparaten en netwerken (Annex I, Part I(2)(i))
Beperkte aanvalsoppervlakken (Annex I, Part I(2)(j))
Beperking van uitbuiting (Annex I, Part I(2)(k))
Registratie en monitoring van beveiliging, met opt-out (Annex I, Part I(2)(l))
Veilige verwijdering van alle gegevens en instellingen (Annex I, Part I(2)(m))

Behandeling van kwetsbaarheden (bijlage I, deel II): vanaf 11 december 2027

Kwetsbaarheden en componenten geïdentificeerd en gedocumenteerd, met een softwarestuklijst die ten minste de directe afhankelijkheden dekt (Annex I, Part II(1))
Kwetsbaarheden onverwijld aangepakt en verholpen, met beveiligingsupdates, waar technisch haalbaar gescheiden van functionaliteitsupdates (Annex I, Part II(2))
Doeltreffende en regelmatige tests en evaluaties van de beveiliging van het product (Annex I, Part II(3))
Verholpen kwetsbaarheden openbaar gemaakt zodra de beveiligingsupdate beschikbaar is (Annex I, Part II(4))
Een beleid voor gecoördineerde bekendmaking van kwetsbaarheden, ingevoerd en gehandhaafd (Annex I, Part II(5))
Een contactadres voor het melden van kwetsbaarheden, en maatregelen om informatie erover te delen, ook in componenten van derden (Annex I, Part II(6))
Updates veilig verspreid, en voor beveiligingsupdates waar van toepassing automatisch (Annex I, Part II(7))
Beveiligingsupdates onverwijld en kosteloos verspreid (tenzij met een zakelijke gebruiker anders is overeengekomen voor een product op maat), met adviesberichten (Annex I, Part II(8))

Verplichtingen van de fabrikant (artikel 13): vanaf 11 december 2027

Cyberbeveiligingsrisicobeoordeling uitgevoerd, gedocumenteerd, bijgewerkt tijdens de ondersteuningsperiode en opgenomen in de technische documentatie (Article 13(2) to (4))
Zorgvuldigheid bij componenten van derden en opensourcecomponenten; daarin gevonden kwetsbaarheden gemeld aan wie ze onderhoudt (Article 13(5), (6))
Ondersteuningsperiode vastgesteld op basis van de verwachte gebruiksduur van het product: ten minste vijf jaar, tenzij het naar verwachting korter wordt gebruikt (Article 13(8))
Elke beveiligingsupdate blijft ten minste 10 jaar na de uitgifte beschikbaar, of voor de rest van de ondersteuningsperiode als die langer is (Article 13(9))
Einde van de ondersteuningsperiode, ten minste maand en jaar, duidelijk vermeld op het moment van aankoop (Article 13(19))
Type-, partij- of serienummer op het product, of op de verpakking of een begeleidend document waar dat niet mogelijk is (Article 13(15))
Naam, postadres en e-mailadres of ander digitaal contact op het product, de verpakking of een begeleidend document, en een centraal contactpunt voor gebruikers (Article 13(16), (17))
Informatie en instructies voor de gebruiker (bijlage II) bij het product, ten minste 10 jaar beschikbaar gehouden of gedurende de ondersteuningsperiode als die langer is (Article 13(18), Annex II)
Technische documentatie (bijlage VII) opgesteld voordat het product in de handel wordt gebracht (Article 13(12), Article 31, Annex VII)
Conformiteitsbeoordelingsprocedure gekozen en uitgevoerd (artikel 32); belangrijke en kritieke producten hebben minder procedures (Article 13(12), Article 32)
EU-conformiteitsverklaring opgesteld en CE-markering aangebracht; een kopie of de vereenvoudigde verklaring bij het product geleverd (Article 13(12), (20), Articles 28 and 30)
Technische documentatie en verklaring ten minste 10 jaar bewaard nadat het product in de handel is gebracht, of gedurende de ondersteuningsperiode als die langer is (Article 13(13))

Gereedheid: 0%

Gedaan: 0 van 38 toepasselijke regels

Niet beantwoord: 38 (geteld als niet gedaan)

Per gebied

Melding0%
Producteisen0%
Behandeling van kwetsbaarheden0%
Verplichtingen van de fabrikant0%

Nog open

Actief uitgebuite kwetsbaarheden: vroegtijdige waarschuwing binnen 24 uur, kennisgeving binnen 72 uur, eindverslag uiterlijk 14 dagen nadat een oplossing beschikbaar is, via het centrale meldingsplatform (Article 14(1), (2); Niet beantwoord) CRA-meldingsregister
Ernstige incidenten die de beveiliging van het product aantasten: vroegtijdige waarschuwing binnen 24 uur, kennisgeving binnen 72 uur, eindverslag binnen een maand na de kennisgeving (Article 14(3) to (5); Niet beantwoord) CRA-meldingsregister
U weet welk als coördinator aangewezen CSIRT uw kennisgevingen ontvangt: de lidstaat van uw hoofdvestiging in de EU, of de volgorde van artikel 14, lid 7, als u er geen hebt (Article 14(7); Niet beantwoord) CRA-meldingsregister
Getroffen gebruikers, en waar passend alle gebruikers, worden geïnformeerd over de kwetsbaarheid of het incident en over de maatregelen die zij kunnen nemen (Article 14(8); Niet beantwoord) CRA-meldingsregister
Beveiliging passend bij de risico’s (Annex I, Part I(1); Niet beantwoord)
Geen bekende uitbuitbare kwetsbaarheden (Annex I, Part I(2)(a); Niet beantwoord)
Standaard veilig, met een reset (Annex I, Part I(2)(b); Niet beantwoord)
Beveiligingsupdates, standaard automatisch (Annex I, Part I(2)(c); Niet beantwoord)
Bescherming tegen onbevoegde toegang (Annex I, Part I(2)(d); Niet beantwoord)
Vertrouwelijkheid van gegevens (Annex I, Part I(2)(e); Niet beantwoord)
Integriteit van gegevens, commando’s en configuratie (Annex I, Part I(2)(f); Niet beantwoord)
Minimale gegevensverwerking (Annex I, Part I(2)(g); Niet beantwoord)
Beschikbaarheid van essentiële functies (Annex I, Part I(2)(h); Niet beantwoord)
Beperkte gevolgen voor andere apparaten en netwerken (Annex I, Part I(2)(i); Niet beantwoord)
Beperkte aanvalsoppervlakken (Annex I, Part I(2)(j); Niet beantwoord)
Beperking van uitbuiting (Annex I, Part I(2)(k); Niet beantwoord)
Registratie en monitoring van beveiliging, met opt-out (Annex I, Part I(2)(l); Niet beantwoord)
Veilige verwijdering van alle gegevens en instellingen (Annex I, Part I(2)(m); Niet beantwoord)
Kwetsbaarheden en componenten geïdentificeerd en gedocumenteerd, met een softwarestuklijst die ten minste de directe afhankelijkheden dekt (Annex I, Part II(1); Niet beantwoord) SBOM-generator
Kwetsbaarheden onverwijld aangepakt en verholpen, met beveiligingsupdates, waar technisch haalbaar gescheiden van functionaliteitsupdates (Annex I, Part II(2); Niet beantwoord)
Doeltreffende en regelmatige tests en evaluaties van de beveiliging van het product (Annex I, Part II(3); Niet beantwoord)
Verholpen kwetsbaarheden openbaar gemaakt zodra de beveiligingsupdate beschikbaar is (Annex I, Part II(4); Niet beantwoord)
Een beleid voor gecoördineerde bekendmaking van kwetsbaarheden, ingevoerd en gehandhaafd (Annex I, Part II(5); Niet beantwoord)
Een contactadres voor het melden van kwetsbaarheden, en maatregelen om informatie erover te delen, ook in componenten van derden (Annex I, Part II(6); Niet beantwoord)
Updates veilig verspreid, en voor beveiligingsupdates waar van toepassing automatisch (Annex I, Part II(7); Niet beantwoord)
Beveiligingsupdates onverwijld en kosteloos verspreid (tenzij met een zakelijke gebruiker anders is overeengekomen voor een product op maat), met adviesberichten (Annex I, Part II(8); Niet beantwoord)
Cyberbeveiligingsrisicobeoordeling uitgevoerd, gedocumenteerd, bijgewerkt tijdens de ondersteuningsperiode en opgenomen in de technische documentatie (Article 13(2) to (4); Niet beantwoord) CRA-documentenpakket (betaald)
Zorgvuldigheid bij componenten van derden en opensourcecomponenten; daarin gevonden kwetsbaarheden gemeld aan wie ze onderhoudt (Article 13(5), (6); Niet beantwoord)
Ondersteuningsperiode vastgesteld op basis van de verwachte gebruiksduur van het product: ten minste vijf jaar, tenzij het naar verwachting korter wordt gebruikt (Article 13(8); Niet beantwoord)
Elke beveiligingsupdate blijft ten minste 10 jaar na de uitgifte beschikbaar, of voor de rest van de ondersteuningsperiode als die langer is (Article 13(9); Niet beantwoord)
Einde van de ondersteuningsperiode, ten minste maand en jaar, duidelijk vermeld op het moment van aankoop (Article 13(19); Niet beantwoord)
Type-, partij- of serienummer op het product, of op de verpakking of een begeleidend document waar dat niet mogelijk is (Article 13(15); Niet beantwoord)
Naam, postadres en e-mailadres of ander digitaal contact op het product, de verpakking of een begeleidend document, en een centraal contactpunt voor gebruikers (Article 13(16), (17); Niet beantwoord)
Informatie en instructies voor de gebruiker (bijlage II) bij het product, ten minste 10 jaar beschikbaar gehouden of gedurende de ondersteuningsperiode als die langer is (Article 13(18), Annex II; Niet beantwoord) CRA-documentenpakket (betaald)
Technische documentatie (bijlage VII) opgesteld voordat het product in de handel wordt gebracht (Article 13(12), Article 31, Annex VII; Niet beantwoord) CRA-documentenpakket (betaald)
Conformiteitsbeoordelingsprocedure gekozen en uitgevoerd (artikel 32); belangrijke en kritieke producten hebben minder procedures (Article 13(12), Article 32; Niet beantwoord) CRA-klassencheck
EU-conformiteitsverklaring opgesteld en CE-markering aangebracht; een kopie of de vereenvoudigde verklaring bij het product geleverd (Article 13(12), (20), Articles 28 and 30; Niet beantwoord) CRA-documentenpakket (betaald)
Technische documentatie en verklaring ten minste 10 jaar bewaard nadat het product in de handel is gebracht, of gedurende de ondersteuningsperiode als die langer is (Article 13(13); Niet beantwoord)

Uw eigen antwoorden, geen beoordeling: de score toont niet aan dat het product aan de verordening voldoet.

Wat de check dekt

Melden (artikel 14): actief uitgebuite kwetsbaarheden en ernstige incidenten, aan het als coördinator aangewezen CSIRT en ENISA via het centrale meldingsplatform, en het informeren van gebruikers.
De essentiële cyberbeveiligingseisen voor het product (bijlage I, deel I): één algemene eis en dertien specifieke.
De eisen voor de behandeling van kwetsbaarheden (bijlage I, deel II): acht punten, waaronder de softwarestuklijst.
De andere verplichtingen van fabrikanten (artikel 13): risicobeoordeling, componenten, ondersteuningsperiode, updates, markeringen, gebruikersinformatie, technische documentatie, conformiteitsbeoordeling, verklaring en CE-markering, en het bewaren van de documenten.

Data

Artikel 14 (melden) geldt vanaf 11 september 2026, ook voor producten die vóór 11 december 2027 in de handel zijn gebracht (artikel 69, lid 3, en artikel 71, lid 2).
De rest van de verordening geldt vanaf 11 december 2027. Een product dat vóór die datum in de handel is gebracht, valt er alleen onder als het vanaf die datum ingrijpend wordt gewijzigd (artikel 69, lid 2).

Hoe de score werkt

Alleen rijen met het antwoord “Gedaan” tellen. “Gedeeltelijk gedaan”, “Niet begonnen” en onbeantwoorde rijen tellen als open, dus de score toont nooit meer dan u hebt geantwoord. “Niet van toepassing” haalt een rij uit het totaal; het wordt alleen aangeboden voor de specifieke eisen van bijlage I, deel I, punt 2, die gelden op basis van de cyberbeveiligingsrisicobeoordeling en waar van toepassing, en de technische documentatie moet zeggen waarom (artikel 13, lid 4). Het percentage wordt naar beneden afgerond.

Wat de check niet doet

Ze test of beoordeelt uw product niet: de score is een telling van uw eigen antwoorden, en een hoge score toont niet aan dat het product aan de verordening voldoet. Ze dekt alleen fabrikanten, geen importeurs (artikel 19), distributeurs (artikel 20) of opensourcesoftwarestewards (artikel 24). Voor de klasse van uw product en de route van de conformiteitsbeoordeling gebruikt u de CRA-check; voor de meldingstermijnen het CRA-meldingsregister; voor de SBOM de SBOM-generator.

Niets wat u antwoordt verlaat uw browser of wordt bewaard: de pagina opnieuw laden wist het. Kopieer of druk het resultaat af om het te bewaren.

Bronnen

Verordening (EU) 2024/2847 (Verordening cyberweerbaarheid), artikelen 13, 14, 69 en 71, bijlagen I en II