In een wereld die technologisch zo ver gevorderd is als de onze, zijn cyberaanvallen de moderne versie geworden van gewapende overvallen. In plaats van banken, buurtwinkels of nietsvermoedende voorbijgangers ’s nachts in een steeg te overvallen, richten veel moderne criminelen hun inspanningen op cyberaanvallen om bedrijven, overheden en gewone mensen te bestelen. Hoewel deze aanvallen verschillen in omvang, reikwijdte en brutaliteit, vormen zij samen een enorm crimineel netwerk.
Volgens de brancheorganisatie Cybersecurity Ventures bedragen de totale jaarlijkse kosten van wereldwijde cybercriminaliteit nu meer dan $10 biljoen. Deze kosten komen voort uit een combinatie van negatieve gevolgen, waaronder:
- Stilstand van de bedrijfsvoering en het verlies aan productiviteit dat hiermee gepaard gaat
- Diefstal via fraude, afpersing en verduistering
- Verloren data
- Gestolen intellectueel eigendom
De vele verschillende manieren waarop cybercriminelen personen en organisaties kunnen treffen—en de grote hoeveelheid waardevolle informatie die zij via deze aanvallen kunnen bemachtigen—leiden samen tot een enorme criminele sector, die jaarlijks blijft groeien. Gegevens van Cybersecurity Ventures geven aan dat de totale kosten van cybercriminaliteit het afgelopen decennium fors zijn gestegen:
- 2015: $3 biljoen
- 2021: $6 biljoen
- 2025: $10,5 biljoen
Hoewel sommige organisaties schatten dat de totale bedragen aanzienlijk lager zijn, zouden zelfs jaarlijkse kosten van cybercriminaliteit tussen $1 en $2 biljoen de omvang van deze criminele sector gelijkstellen aan het volledige bbp van Indonesië of Nederland. Wat doen de wereld en haar machtigste overheden tegen deze oprukkende wereld van kwaadwillende actoren?
Wat is de Cyber Resilience Act?
De Cyber Resilience Act (CRA) is een verordening van de Europese Unie om de omvangrijke wereld van cybercriminaliteit aan te pakken. De wetgeving verplicht technologiebedrijven en andere fabrikanten om hardware en software te produceren die beschermd zijn tegen cyberaanvallen en die minder snel worden misbruikt voor criminaliteit waarbij de gegevens en/of financiële middelen van gewone EU-burgers het doelwit vormen. Zoals de Europese Commissie toelicht op haar website, stelt de Cyber Resilience Act “duidelijke en verplichte cybersecurity-eisen voor de volledige levenscyclus van digitale producten.”
De CRA werd aanvankelijk voorgesteld door de Europese Commissie in 2022. Twee jaar later, in 2024, nam het Europees Parlement de tekst formeel aan en keurde de Europese Raad deze goed. Na publicatie in het Publicatieblad van de EU in november, is de CRA officieel van kracht geworden in december 2024.
Gezien de reikwijdte van de verplichtingen die de CRA oplegt aan ondernemingen binnen het toepassingsgebied, biedt de EU bedrijven ruim de tijd om zich voor te bereiden op hun compliance-verantwoordelijkheden. De wet wordt ingevoerd over een periode van ongeveer 15 maanden, startend in september 2026 en volledig van kracht in december 2027.
Wat zijn de vereisten van de Cyber Resilience Act?
De EU CRA legt een reeks verplichtingen op aan organisaties binnen het toepassingsgebied. Het doel van de verordening is deze bedrijven wettelijk te verplichten veiliger en robuustere digitale producten te creëren, sterkere protocollen voor het omgaan met cybersecurity-incidenten te ontwikkelen, en transparanter naar consumenten en andere stakeholders te zijn over hun mitigatiemaatregelen en algemene beveiligingspositie.
De belangrijkste vereisten van de Cyber Resilience Act zijn te vinden in bijlage I van de wet, getiteld Essentiële Cybersecurityvereisten. Deze zijn onderverdeeld in twee delen: de eigenschappen waaraan digitale producten van bedrijven binnen het toepassingsgebied moeten voldoen, en de processen die fabrikanten van deze producten moeten uitvoeren om aan de wet te voldoen.
Bijlage I, Deel I: Eigenschappen waaraan digitale producten moeten voldoen
Dit deel van de wet vormt in veel opzichten het hart van de regelgeving. De EU wil dat digitale producten die op de Europese markt worden gebracht veiliger zijn en beter beschermd tegen cybercriminelen, en ziet in onderstaande maatregelen de manier om dit beveiligingsniveau te bereiken. Om te voldoen aan de CRA dienen digitale producten bij ontwerp en uitrol op de EU-markt over de volgende kenmerken te beschikken:
- 1 Geen bekende uit te buiten kwetsbaarheden
- 2 Een standaardconfiguratie die veilig is. Dit betekent dat beveiligingsinstellingen standaard als uitgangspunt gelden op het apparaat of product.
- 3 Kwetsbaarheden kunnen effectief worden verholpen via beveiligingsupdates, inclusief automatische beveiligingsupdates met een duidelijk opt-outmechanisme.
- 4 Bescherming tegen ongeautoriseerde toegang, onder meer door functies zoals authenticatie, identiteit of toegangsbeheermechanismen.
- 5 Zorg voor vertrouwelijkheid van alle gegevens die op het product zijn opgeslagen, via encryptie of andere middelen.
- 6 Bescherming van de integriteit van data, programma’s en configuraties tegen externe manipulatie of wijziging.
- 7 Enkel gegevens verzamelen die noodzakelijk zijn voor de blijvende werking van het product.
- 8 Behoud van basisfuncties van een product na een cyberaanval.
- 9 Minimalisering van negatieve impact van cyberaanvallen op andere apparaten of netwerken.
- 10 Beperkte “aanvalsoppervlakken”, dus punten waar dreigingen of kwetsbaarheden door kwaadwillenden kunnen worden benut.
- 11 Mechanismen om de impact en effectiviteit van succesvolle cyberaanvallen te beperken.
- 12 Mogelijkheid tot het registreren van beveiligingsevenementen, inclusief wijzigingen aan data of apparaatfuncties. Deze functie moet een opt-out mogelijkheid bieden aan gebruikers.
- 13 Mogelijkheid voor de gebruiker om alle gegevens en gepersonaliseerde instellingen van het product te wissen.
Bijlage I, Deel II: Processen die fabrikanten moeten uitvoeren
Naast het ontwerpen en produceren van digitale producten met de juiste beveiligingsmaatregelen, moeten fabrikanten ook voorbereid zijn om een actieve rol te spelen bij het beperken van cyberaanvallen gedurende de volledige levenscyclus van een product.
Productfabrikanten moeten de volgende maatregelen treffen:
- 1 Kwetsbaarheden van het product identificeren en documenteren, onder meer door het opstellen van een stuklijst (BOM) waarin alle belangrijke afhankelijkheden zijn opgenomen.
- 2 Kwetsbaarheden in de beveiliging zo snel mogelijk verhelpen en remediëren, onder andere via beveiligingsupdates.
- 3 Voortdurende beveiligingstests uitvoeren voor digitale producten.
- 4 Informatie delen over kwetsbaarheden en beveiligingsevenementen, inclusief de impact, ernst en duidelijke instructies voor gebruikers om de bestaande kwetsbaarheden te verhelpen.
- 5 Een officieel beleid voor gecoördineerde kwetsbaarheidsmelding (CVD) vaststellen.
- 6 Een raamwerk creëren voor het delen en rapporteren van kwetsbaarheden in de beveiliging, onder meer via een contactadres dat actief wordt verspreid, zodat personen beveiligingsproblemen kunnen melden.
- 7 Mechanismen creëren waarmee beveiligingsupdates tijdig en indien van toepassing automatisch aan alle digitale producten kunnen worden verzonden.
Deze mechanismen dienen zonder vertraging, kosteloos en met relevante informatie en instructies voor eventuele noodzakelijke acties aan gebruikers en producten ter beschikking te worden gesteld.
Welke bedrijven vallen onder de CRA?
De Cyber Resilience Act is zeer breed van opzet en veel bedrijven die in de EU actief zijn zullen wettelijk verplicht zijn de richtlijn na te leven. In hoofdlijnen geldt de CRA voor alle ondernemingen die “producten met digitale elementen” produceren die beschikbaar zijn op de EU-markt. Simpel gezegd: alle hardwareproducten die kunnen verbinden met internet of een ander apparaat, en alle software—including programma’s, applicaties en firmware—vallen binnen het toepassingsgebied van de CRA.
Hoewel dit geen volledige lijst is, zijn dit enkele van de producten die onder de Cyber Resilience Act vallen:
- Consumentenelektronica: Laptops, smartphones, tablets, routers, switches.
- Slimme apparaten: Slimme huishoudelijke apparaten, slimme speakers, virtuele assistenten, alarmsystemen.
- Wearable technologie: Smartwatches, fitnesstrackers, slimme brillen, slimme ringen.
- Software en firmware: Mobiele en desktopapplicaties, besturingssystemen, apparaatfirmware.
- Elektronische componenten: Grafische processoren, computerverwerkingseenheden (CPU's), microprocessoren (MPU's).
Digitale en technologische producten hebben complexe toeleveringsketens met veel verschillende fabrikanten, leveranciers en sub-tier-leveranciers. De EU benoemt drie specifieke groepen, ofwel "economische operatoren", die aan de wet moeten voldoen:
Fabrikanten
Dit zijn de bedrijven die het product vervaardigen en onder hun eigen merknaam op de markt brengen. Zij worden vaak aangeduid als original equipment manufacturers (OEM's), en zij sourcen doorgaans via grote toeleveringsketens met tientallen, honderden of zelfs duizenden directe en indirecte leveranciers. Deze specifieke fabrikanten dragen de verantwoordelijkheid voor het voldoen aan de CRA.
Importeurs
Zoals de naam al aangeeft, zijn dit bedrijven die digitale producten importeren uit landen buiten de EU — vaak van een OEM of andere fabrikant — en deze op de EU-markt verkopen.
Distributeurs
Distributeur is een verzamelterm voor alle actoren die geen fabrikant of importeur zijn, maar die wel verantwoordelijk zijn voor het op de markt brengen van digitale producten in de EU. Distributeurs omvatten detailhandelaren en andere gerelateerde bedrijven en verkopen vaak direct aan eindgebruikers.
Hoe handhaaft de EU de CRA?
De CRA vereist dat alle EU-landen hun eigen markttoezichthouder aanwijzen voor de handhaving van de wet en het toezicht op bedrijven die binnen de reikwijdte ervan vallen. Dit kunnen overheidsinstanties, agentschappen of andere entiteiten zijn met monitoring- en handhavingsmogelijkheden. De aangewezen markttoezichthouder heeft de bevoegdheid om technische documentatie op te vragen bij operatoren binnen de reikwijdte, productterugroepingen uit te voeren, of anderszins te voorkomen dat een specifiek product de markt bereikt als deze niet aan de CRA voldoet.
Daarnaast kunnen autoriteiten sancties en boetes opleggen aan overtreders.
Gevolgen van het niet naleven van de CRA
Bedrijven die niet voldoen aan de Cyber Resilience Act kunnen geconfronteerd worden met aanzienlijke boetes.
- Overtreding van de essentiële eisen van de CRA: Boetes tot 15 miljoen euro of 2,5% van de wereldwijde omzet van het bedrijf, waarbij het hoogste bedrag geldt.
- Overtreding van andere CRA-verplichtingen (waaronder documentatie-eisen en CE-markeringsprocedures): Boetes tot 10 miljoen euro of 2% van de wereldwijde omzet van het bedrijf, waarbij het hoogste bedrag geldt.
- Onjuiste of onvolledige informatie verstrekken aan markttoezichthouders of aangemelde instanties: Boetes tot 5 miljoen euro of 1% van de wereldwijde omzet van het bedrijf, waarbij het hoogste bedrag geldt.
De rol van certificerende instanties in de Cyber Resilience Act
Of een bedrijf moet samenwerken met een certificerende of aangemelde instantie om te voldoen aan de Cyber Resilience Act hangt af van de risicoclassificatie van de producten die het vervaardigt, importeert of distribueert. De CRA deelt alle digitale producten in vier productcategorieën in:
- Standaardproducten: Deze categorie omvat het merendeel van digitale producten op de EU-markt, waaronder consumentenelektronica, speelgoed en de meeste slimme apparaten. Bedrijven die producten in deze standaardcategorie vervaardigen, importeren of distribueren, hoeven geen beoordeling door een derde partij aan te vragen.
- Belangrijke producten (klasse I): Deze classificatie betreft producten met bijzondere beveiligingsverantwoordelijkheden, zoals routers, modems, browsers en virtual private networks (VPN's). Voor deze productgroep is doorgaans een derdepartijbeoordeling door een aangemelde instantie vereist om aan te tonen dat aan de CRA is voldaan, tenzij de economische operator naleving van een relevante geharmoniseerde cybersecuritynorm aantoont of een door de CRA goedgekeurde EU-cybersecuritycertificering heeft verkregen.
- Belangrijke producten (klasse II): Deze groep betreft nog kritischer beveiligingsinfrastructuren, zoals firewalls, hypervisors en intrusion detection systems. Bedrijven die deze producten vervaardigen, importeren of distribueren, moeten altijd een derdepartijbeoordeling door een aangemelde instantie verkrijgen om aan te tonen dat zij aan de CRA voldoen.
- Kritische producten: Dit is de hoogste risicocategorie en omvat producten als hardware security modules, smartcards en gateways voor slimme meters. Net als bij de derde categorie moeten bedrijven die deze producten op de EU-markt brengen, altijd een derdepartijbeoordeling door een aangemelde instantie laten uitvoeren.
Belangrijke implementatiedata voor de Cyber Resilience Act
De EU voert de CRA gefaseerd in. De wet treedt in werking in een periode van circa 15 maanden tussen september 2026 en december 2027.
Op 11 september moeten bedrijven die onder de wet vallen, starten met het rapporteren van actief misbruikte cybersecuritykwetsbaarheden en ernstige cybersecurity-incidenten. Omdat de rapportage zelf op deze datum moet beginnen, zullen bedrijven ruim voor deze deadline interne meldingsprocessen moeten hebben opgezet en geïmplementeerd.
Vijftien maanden nadat de rapportageverplichtingen ingaan, zijn bedrijven verantwoordelijk voor naleving van alle overige compliance-eisen. Dit omvat alle 13 vereisten voor digitale producten en alle acht verplichtingen voor productfabrikanten.
Hoe kunnen bedrijven aan de CRA voldoen?
Een van de belangrijkste lopende vraagstukken bij de CRA is dat de geharmoniseerde normen voor deze regelgeving nog niet zijn afgerond en gepubliceerd (stand van zaken najaar 2026). Toch lijkt de EU vast te houden aan de twee belangrijkste deadlines: kwetsbaarheden melden in september 2026 en volledige nalevingsverplichtingen per december 2027.
Houd u aan bestaande cybersecuritynormen
Bedrijven die onder de reikwijdte vallen zullen zich afvragen: als er geen officiële geharmoniseerde normen beschikbaar zijn, hoe kan ik mij dan nu voorbereiden? Deze vraag is begrijpelijk, maar organisaties staan niet met lege handen. Het is algemeen bekend dat het EU-comité dat de CRA-normen uitwerkt, zich baseert op diverse bestaande raamwerken en normen die bedrijven nu al kunnen benutten om te voldoen aan de regelgeving, ook al zijn de concrete eisen van de CRA nog niet volledig duidelijk. De normen waarop de CRA zich baseert, zijn onder andere:
- IEC 62443
- ISO 30111
- ISO/IEC 27001
- IEC 62443-4-1
Stel een incidentresponsprotocol op
Wat bedrijven die onder de reikwijdte vallen zeker weten, is dat zij vanaf 11 september 2026 moeten beginnen met het rapporteren van actief misbruikte kwetsbaarheden of andere ernstige cybersecurity-incidenten.
Bedrijven dienen dus vóór deze datum een incidentmeldingsproces te implementeren om daadwerkelijk aan de Cyber Resilience Act te voldoen. Een onderdeel van deze verplichting is de oprichting van een product security incident response team (PSIRT) dat cyberincidenten afhandelt, kwetsbaarheden snel identificeert, de dreigingsgraad beoordeelt en beveiligingspatches ontwikkelt en uitrolt naar alle gebruikers.
Bedrijven die onder de wet vallen, doen er goed aan nu al te starten met het samenstellen van gekwalificeerde teams, digitale tools, processen en documentatie-eisen voor deze verplichting.
Documenteer alles zorgvuldig
Zodra alle CRA-verplichtingen vanaf december 2027 in werking treden, zijn relevante organisaties verantwoordelijk voor een uitgebreide documentatiemap die nodig is voor de conformiteitsbeoordeling (ongeacht of deze intern of via een aangemelde derde wordt uitgevoerd). Deze map moet onder meer een stuklijst (BOM), een risicobeoordeling voor cybersecurity, ontwerpbeslissingen gebaseerd op beveiligingseisen en een toelichting op de gevolgde normen bevatten.
Bedrijven hoeven niet te wachten op de geharmoniseerde CRA-normen om al deze informatie te gaan verzamelen. Zij kunnen nu al beginnen met het samenstellen van alle documentatie die de richtlijn vereist.
