Voordat een van de termijnen van de Cyber Resilience Act ertoe doet, is er een vraag die eerst komt, en elke FAQ over het onderwerp laat zien dat het de vraag is die mensen werkelijk stellen: geldt dit voor mij? Een softwarebedrijf dat abonnementen op een webapplicatie verkoopt, een firma die een apparaat met firmware levert, een ontwikkelaar die een bibliotheek publiceert, een adviesbureau dat maatwerksoftware voor één klant bouwt: elk heeft een ander antwoord, en de verordening, Verordening (EU) 2024/2847, beslist het op ongeveer drie plaatsen.

Dit artikel loopt die plaatsen langs. Het vertelt u niet of uw product binnen de reikwijdte valt, omdat die bepaling afhangt van wat u werkelijk op de markt brengt, en omdat ze aan u is om te maken en, belangrijker nog, vast te leggen.

De definitie: artikel 3, lid 1

De verordening geldt voor een product met digitale elementen, in artikel 3, lid 1, gedefinieerd als "een software- of hardwareproduct en de bijbehorende oplossingen voor gegevensverwerking op afstand, met inbegrip van software- of hardwarecomponenten die afzonderlijk in de handel worden gebracht".

Drie dingen zitten in die zin.

Software telt op zichzelf. Een product met digitale elementen hoeft geen fysiek ding te zijn. Een applicatie die u installeert, een mobiele app, een desktopprogramma, een besturingssysteem, een bibliotheek, een firmware-image: elk is een softwareproduct, en elk kan op zichzelf in de handel worden gebracht.

Componenten tellen op zichzelf. Een bibliotheek of module die afzonderlijk wordt verkocht of geleverd, is een eigen product, met een eigen fabrikant.

Oplossingen voor gegevensverwerking op afstand horen bij het product. Dit is de bepaling die een deel van de cloud terug binnen de reikwijdte haalt, en ze is in het volgende lid gedefinieerd.

De verbindingsvoorwaarde: artikel 2, lid 1

Artikel 2, lid 1, beperkt de definitie tot producten "waarvan het beoogde doel of het redelijkerwijs te verwachten gebruik een directe of indirecte logische of fysieke gegevensverbinding met een apparaat of netwerk omvat".

Die voorwaarde is ruim. Ze zegt niet "verbonden met het internet". Een apparaat dat nooit online is maar wordt bijgewerkt door het via USB op een computer aan te sluiten, heeft een fysieke gegevensverbinding met een apparaat, en dat is genoeg. Een Duitse ontwikkelaar die firmware verkoopt voor een kant-en-klare handheld beschreef precies deze situatie in augustus 2026 op Hacker News: offline, geen draadloos, geen netwerkstack meegecompileerd, updates door herflashen via een kabel, en binnen de reikwijdte, wat hij ontdekte door de verordening en de richtsnoeren van de Commissie zelf te lezen. Niemand ziet zichzelf als "fabrikant van een product met digitale elementen" totdat hij ontdekt dat hij er een is.

Waar SaaS staat: overweging 12 en artikel 3, lid 2

Dit is de vraag die de meeste softwarebedrijven werkelijk stellen, en het antwoord heeft twee helften.

Pure software as a service valt buiten de CRA. Overweging 12 zegt dat clouddienstmodellen zoals software as a service geen producten met digitale elementen zijn, omdat het diensten zijn en geen in de handel gebrachte producten, en dat zij in plaats daarvan onder de NIS2-richtlijn vallen, Richtlijn (EU) 2022/2555. Als wat u verkoopt toegang is tot een applicatie die op uw infrastructuur draait, en er aan de kant van de klant niets wordt geïnstalleerd of gedownload, bereikt de CRA u niet. NIS2 misschien wel, afhankelijk van uw omvang en sector, maar dat is een andere regeling met een andere vorm.

Verwerking op afstand waarzonder een product niet kan werken, valt erbinnen. Artikel 3, lid 2, definieert gegevensverwerking op afstand als gegevensverwerking op afstand "waarvoor de software door of onder verantwoordelijkheid van de fabrikant is ontworpen en ontwikkeld en waarvan het ontbreken het product met digitale elementen zou beletten een van zijn functies uit te voeren". Overweging 12 maakt hetzelfde punt: cloudcomponenten vallen eronder wanneer zij in die zin deel uitmaken van het product.

Een slim slot met een mobiele app en een cloud-backend is dus één product met digitale elementen, backend inbegrepen, omdat het slot zonder de backend zijn functies niet kan uitvoeren. Een desktopapplicatie die een licentieserver raadpleegt, is een product waarvan de verwerking op afstand binnen de reikwijdte valt. Een webapplicatie zonder geïnstalleerde component is een dienst.

De grens is niet "heeft u een cloud". Het is "is er een in de handel gebracht product, en doet de cloud iets wat dat product zonder haar niet kan". Waar een product beide is, valt het geïnstalleerde deel binnen de reikwijdte en komt zijn essentiële verwerking op afstand mee. Welke delen van de cloud meekomen, module voor module, met de twee toetsen van de Commissie en haar voorbeeld van mobiel bankieren, is een apart artikel.

Wat er bij naam buiten valt: de rest van artikel 2

De verordening sluit producten uit die al onder sectorspecifieke regels met eigen cyberbeveiligingseisen vallen: medische hulpmiddelen onder de Verordeningen (EU) 2017/745 en 2017/746, burgerluchtvaart onder Verordening (EU) 2018/1139, typegoedkeuring van motorvoertuigen onder Verordening (EU) 2019/2144 en uitrusting van zeeschepen onder Richtlijn 2014/90/EU. Ze sluit ook producten uit die uitsluitend voor nationale veiligheid of defensie zijn ontwikkeld of aangepast, en producten die specifiek zijn ontworpen om gerubriceerde informatie te verwerken.

Reserveonderdelen die beschikbaar worden gesteld om identieke componenten te vervangen, gemaakt volgens dezelfde specificaties, zijn eveneens uitgesloten.

Open source: gedekt, maar anders

Vrije en opensourcesoftware die niet te gelde wordt gemaakt, valt grotendeels buiten de fabrikantverplichtingen, en artikel 24 schept een apart, lichter regime voor beheerders van opensourcesoftware: stichtingen en organisaties die de ontwikkeling ondersteunen van opensourceproducten die bestemd zijn voor commerciële activiteiten. De meldplicht van artikel 14 reikt tot beheerders voor de producten die zij beheren, en daarom gelden de termijnen ook voor hen en niet alleen voor fabrikanten. Als u van opensourcecomponenten een commercieel product maakt, bent u de fabrikant van dat product, en de licentie van de componenten verandert daar niets aan.

In de handel gebracht, en de datumvraag

Elke verplichting hangt eraan dat het product in de handel wordt gebracht, het voor het eerst beschikbaar stellen van een product op de markt van de Unie. Interne tools die u voor uzelf bouwt en gebruikt, worden niet in de handel gebracht. Software die u aan één klant levert wel.

De datums doen ertoe voor producten die al op de markt zijn. De verordening geldt volledig vanaf 11 december 2027, en op grond van artikel 69 vallen producten die vóór die datum in de handel zijn gebracht alleen onder de eisen als zij daarna substantieel worden gewijzigd. De meldplicht van artikel 14 is de uitzondering: die geldt sinds 11 september 2026, en reikt tot producten die al op de markt waren. Er is nergens in de tekst een omvangsdrempel of een uitzondering voor kleine bedrijven; wat de verordening voor kleine fabrikanten doet, is de omvang een factor in de boete maken en hen vereenvoudigde documentatie toestaan.

Standaard, belangrijk, kritiek

Zodra een product binnen de reikwijdte valt, hoort het in een van drie treden, en de trede bepaalt hoe de conformiteit wordt beoordeeld, niet of de verplichtingen gelden. De standaardtrede is zelfbeoordeling. Belangrijke producten staan in bijlage III in twee klassen: klasse I omvat wachtwoordmanagers, VPN-producten, besturingssystemen, routers en browsers; klasse II omvat hypervisors, firewalls en manipulatiebestendige microprocessors, en bij de conformiteitsbeoordeling daarvan is een derde partij betrokken. Kritieke producten in bijlage IV, zoals hardwareapparaten met beveiligingsboxen, slimme-metergateways en smartcards, kunnen worden verplicht een Europees cyberbeveiligingscertificaat te behalen. Staat uw product op geen van beide lijsten, dan is het standaard, en geldt de meldplicht er precies zo voor als voor de andere.

Wat u werkelijk moet doen

Schrijf de bepaling op. Eén pagina: wat u in de handel brengt, of het software, hardware of beide is, of het verwerking op afstand heeft in de zin van artikel 3, lid 2, op welke uitsluiting in artikel 2 u zich beroept als u zich op een beroept, en in welke trede het valt. Dateer en onderteken het.

Als u liever van vragen dan van een lege pagina vertrekt, maakt de bepaling in zes vragen op deze site precies die ene pagina als tekst, met het artikel bij elke stap, en slaat niets op.

Dat document is wat u toont als een markttoezichtautoriteit vraagt waarom u wel of niet heeft gemeld, en het is waarmee uw incidentprocedure op uur nul begint, wanneer de klok van 24 uur al loopt en niemand tijd heeft om overweging 12 te herlezen. Als het antwoord "binnen de reikwijdte" is, is de volgende vraag welk CSIRT het uwe is, en die heeft een tabel.

Twee vragen die dit artikel aan de richtsnoeren van de Commissie overlaat, welke van uw builds überhaupt een product is (een browserextensie of geïnstalleerde client wel, een webapp in een browser niet) en wanneer een softwareversie voor de peildatum van december 2027 als in de handel gebracht geldt, worden beantwoord in het artikel over het in de handel brengen.

Bronnen

  • Verordening (EU) 2024/2847, artikel 2, leden 1 tot en met 5, artikel 3, leden 1 en 2, artikel 14, artikel 24, artikel 69, artikel 71, lid 2, bijlagen III en IV, en overweging 12.
  • Europese Commissie, technische FAQ over de CRA, versie 1.3 van 1 juli 2026, hoofdstuk over de reikwijdte.
  • "Ask HN: Is anyone else preparing for the EU Cyber Resilience Act?", augustus 2026, voor het voorbeeld van de offline handheld.
  • De community-FAQ op cra.orcwg.org en de FAQ op cyberresilienceact.eu, gelezen op 8 september 2026, voor welke vragen als eerste worden gesteld.

Dit is geen juridisch advies, en de scopebepaling is het ene op deze pagina dat wij niet voor u doen. De artikelverwijzingen staan er zodat u de tekst kunt lezen en haar zelf kunt maken.