[{"data":1,"prerenderedAt":10},["ShallowReactive",2],{"article:nl:boetes-cyber-resilience-act":3},{"locale":4,"slug":5,"title":6,"description":7,"published":8,"body":9},"nl","boetes-cyber-resilience-act","Boetes onder de Cyber Resilience Act: waaraan een kleine fabrikant werkelijk blootstaat","De CRA kent drie boeteniveaus, tot 15 miljoen EUR of 2,5% van de wereldwijde omzet. Hier staat welke verplichtingen in welk niveau zitten, wie handhaaft, en de twee plekken waar de verordening kleine fabrikanten noemt.","2026-09-08","\nDe Cyber Resilience Act, Verordening (EU) 2024\u002F2847, stelt administratieve geldboetes vast van maximaal 15 000 000 EUR of 2,5% van de wereldwijde jaaromzet. Dat cijfer wordt veel geciteerd en het is de top van drie niveaus, niet één enkel getal. In welk niveau een inbreuk valt, staat uitgeschreven in artikel 64, en voor een bedrijf dat één product op de EU-markt brengt, is het verschil tussen de niveaus het grootste deel van het antwoord.\n\nTwee data tellen vóór al het andere: **artikel 14 is van toepassing vanaf 11 september 2026**, en de rest van de verordening vanaf **11 december 2027**. Hoofdstuk IV, de regeling voor aangemelde instanties, is van toepassing sinds 11 juni 2026. Dat is vastgelegd in artikel 71(2).\n\n## De drie niveaus\n\n**Tot 15 000 000 EUR, of 2,5% van de totale wereldwijde jaaromzet, indien dat hoger is.** Artikel 64(2). Dit dekt het niet naleven van de essentiële cyberbeveiligingseisen in bijlage I en de verplichtingen in de artikelen 13 en 14. Bijlage I zijn de beveiligingseisen zelf en de eisen voor het omgaan met kwetsbaarheden; artikel 13 zijn de verplichtingen van de fabrikant; artikel 14 is de meldplicht die op 11 september 2026 begint.\n\n**Tot 10 000 000 EUR, of 2%.** Artikel 64(3). Een lijst van specifieke artikelen: 18 tot 23, 28, 30(1) tot (4), 31(1) tot (4), 32(1), (2) en (3), 33(5), en 39, 41, 47, 49 en 53. De artikelen 18 tot 23 zijn die welke iedereen in de keten dekken die niet de fabrikant is: gemachtigden (18), importeurs (19), distributeurs (20), de gevallen waarin de verplichtingen van een fabrikant overgaan op een importeur of distributeur (21 en 22), en de identificatie van marktdeelnemers (23). Dit is het niveau waarin een bedrijf zit dat het product van iemand anders doorverkoopt.\n\n**Tot 5 000 000 EUR, of 1%.** Artikel 64(4). Onjuiste, onvolledige of misleidende informatie verstrekken aan een aangemelde instantie of een markttoezichtautoriteit in antwoord op een verzoek.\n\nHet \"indien dat hoger is\" bijt pas boven een bepaalde omvang. 2,5% van de omzet overstijgt 15 miljoen EUR bij ongeveer 600 miljoen EUR aan inkomsten, dus voor alles wat kleiner is, is het plafond in geld het bindende, en het is een plafond en geen tarief.\n\n## Wie u werkelijk beboet\n\nNiet de Commissie. Artikel 52(2) vereist dat elke lidstaat een of meer markttoezichtautoriteiten aanwijst, en laat de lidstaat kiezen tussen een bestaande autoriteit gebruiken of een nieuwe oprichten. De handhaving is nationaal, onder Verordening (EU) 2019\u002F1020, de algemene markttoezichtverordening.\n\nEén gevolg is de moeite van het weten waard. Artikel 64(6) vereist dat een autoriteit die een boete oplegt de markttoezichtautoriteiten van alle andere lidstaten daarover informeert, via het informatiesysteem van artikel 34 van Verordening (EU) 2019\u002F1020. Een sanctie in één land is zichtbaar voor de andere.\n\n## Waar de verordening kleine fabrikanten noemt\n\nDrie keer, en beide zijn de moeite waard omdat ze in tegengestelde richting werken.\n\n**Artikel 64(5)(c) maakt omvang een factor in de boete.** Bij het bepalen van het bedrag moet naar behoren rekening worden gehouden met de omvang van de marktdeelnemer, met name wat micro-ondernemingen en kleine en middelgrote ondernemingen inclusief start-ups betreft, en met zijn marktaandeel. Dat staat in de bepalingen, niet in een overweging. Het stelt niemand vrij, en de niveaus hierboven blijven gelden, maar de autoriteit die het bedrag vaststelt, moet rekening houden met wat u bent.\n\n**Artikel 33(5) laat u minder papierwerk indienen.** Micro-ondernemingen en kleine ondernemingen mogen alle elementen van de technische documentatie in bijlage VII in een vereenvoudigd formaat aanleveren. De Commissie stelt dat formaat vast bij uitvoeringshandeling, en aangemelde instanties zijn verplicht het te accepteren. De verplichting ligt daar bij de aangemelde instantie, niet bij u.\n\n**Artikel 64, lid 10, onder a), haalt de termijn van 24 uur voor de kleinsten uit de boetetabel.** In afwijking van de boetetreden gelden de administratieve boetes niet voor fabrikanten die micro-ondernemingen of kleine ondernemingen zijn bij het missen van de termijn voor de vroegtijdige waarschuwing van artikel 14, lid 2, onder a), of lid 4, onder a). De plicht blijft bestaan en de andere corrigerende maatregelen blijven; waarvoor een kleine fabrikant niet kan worden beboet, is te laat zijn met het eerste bericht van 24 uur. De melding van 72 uur en het eindverslag vallen niet onder de afwijking. (Hetzelfde lid, onder b), stelt beheerders van opensourcesoftware geheel vrij van de boetes.)\n\nArtikel 33 vereist ook dat lidstaten bewustmakings- en opleidingsactiviteiten voor kleine fabrikanten uitvoeren, een speciaal kanaal voor hun vragen openen, en tests en conformiteitsbeoordeling ondersteunen. Of uw lidstaat daar al iets van heeft gedaan, is een terechte vraag om te stellen.\n\n## Wat dit allemaal niet verandert\n\nDe meldklok. Artikel 14 vereist een vroegtijdige waarschuwing binnen 24 uur nadat u kennis hebt gekregen van een actief uitgebuite kwetsbaarheid, en het zit in het hoogste boeteniveau. De klok loopt vanaf kennisname, en dat is iets over uw organisatie en niet over de kwetsbaarheid, dus de registratie van wanneer u kennis kreeg, is de registratie die ertoe doet. [We hebben de termijnen uitgeschreven, met de twee bestemmingen en de drie deadlines](\u002Fcyber-resilience-act\u002Freporting-deadlines).\n\nDe melding gaat naar een CSIRT dat als coördinator is aangewezen voor de lidstaat van uw hoofdvestiging, en naar ENISA. Wij publiceren [het nationale CSIRT van elk van de 27 lidstaten](\u002Fcyber-resilience-act\u002Freporting-deadlines), gelezen uit de eigen leden-API van het CSIRT-netwerk, met het voorbehoud dat de aanwijzingen van coördinatoren onder artikel 12 van NIS2 nog niet zijn gepubliceerd: in de meeste staten zal de coördinator het nationale team zijn, maar de tabel zegt wie het nationale CSIRT is, niet wie de coördinator is.\n\n## De praktische lezing\n\nVoor een kleine fabrikant is de blootstelling die het gedrag zou moeten bepalen niet de kop van 15 miljoen EUR. Het is dat het hoogste niveau bijlage I en artikel 14 samen dekt, dus hetzelfde niveau dat een ontbrekende beveiligingseis bestraft, bestraft een gemiste melding, en slechts één van die twee is in een middag te herstellen. Registreren voor het meldplatform kost tien minuten en hangt van niemand anders af. Het technische dossier niet, en daarom is de datum van december 2027 die om op te plannen en die van september 2026 die om klaar voor te zijn.\n",1789383978761]