Wat betekent de Cyber Resilience Act (CRA) voor jouw organisatie?

De CRA kent productcategorieën met eisen aan beveiliging en aan de manier waarop conformiteit moet worden aangetoond, passend bij de risico's: standaard, belangrijk klasse I of II, en kritiek. De categorie bepaalt de conformiteitsroute (interne controle, externe partij of aangemelde instantie, of certificaat met ten minste zekerheidsniveau "substantieel"). Voor kritieke producten kan een verplichte Europese cyberbeveiligingscertificering worden voorgeschreven via een gedelegeerde handeling.

De CRA onderscheidt in de supply chain van digitale producten doorgaans vijf hoofdrolspelers (economische operatoren) die elk hun eigen wettelijke verplichtingen hebben: 

• Fabrikant: ontwikkelt (of laat ontwikkelen) producten die onder eigen naam of merk in de handel worden gebracht, of wijzigt producten ingrijpend.
• Gemachtigde vertegenwoordiger: partij die fabrikant die buiten de EU is gevestigd vertegewoordigd.
• Importeur: brengt producten van buiten de EU in de handel.
• Distributeur: biedt producten aan zonder eigenschappen te beïnvloeden.
• Open-source software steward: beheert opensourcesoftware zonder zelf fabrikant te zijn.

Fabrikanten moeten actief uitgebuite kwetsbaarheden en ernstige incidenten melden aan het bevoegde CSIRT en aan ENISA, via het Single Reporting Platform (SRP) dat ENISA opzet (art. 16).

Gebruikers informeren: naast de melding aan CSIRT/ENISA moet de fabrikant getroffen gebruikers (en indien passend alle gebruikers) op de hoogte stellen van de kwetsbaarheid of het incident en van risicobeperkende maatregelen, bij voorkeur in een gestructureerd, machineleesbaar formaat zoals een direct uit te voeren security-update. Daarbij moet worden vermeden dat de informatie door (andere) kwaadwillenden misbruikt kan worden.

Vrijwillige melding: fabrikanten en andere natuurlijke of rechtspersonen kunnen ook vrijwillig kwetsbaarheden, cyberdreigingen en incidenten melden aan CSIRTs. Meldt iemand anders dan de fabrikant, dan informeert het CSIRT de fabrikant.

Op grond van art. 71 lid 2 zijn de bepalingen over aanmelding van conformiteitsbeoordelingsinstanties (in het Engels "notified bodies") van toepassing vanaf 11 juni 2026. Dit is met name relevant voor belangrijke en kritieke producten: fabrikanten moeten tijdig een aangemelde instantie benaderen voor de conformiteitsbeoordeling en CE-markering.