Nu van kracht . Meldplichten gelden sinds 11 sep 2026.
Vertel ons wat u verkoopt. Wij vertellen u wat erop van toepassing is, en wanneer.
Voorbeeldgegevens
- Voor wie het geldt
- Elke fabrikant, importeur of distributeur van een product met digitale elementen dat in de EU in de handel wordt gebracht, software inbegrepen, zonder omvangsdrempel.
- De data
- De meldplicht van artikel 14 geldt sinds 11 september 2026, en de rest van de verordening vanaf 11 december 2027.
- Het ene wat u moet doen
- Bepaal voor elk product dat u in de handel brengt of het onder de verordening valt, schrijf die bepaling op, en zet de meldroute klaar voordat u hem nodig hebt.
Aangemelde instanties
Hoofdstuk IV: conformiteitsbeoordelingsinstanties kunnen vanaf deze datum worden aangemeld.
Meldplicht
Artikel 14: actief uitgebuite kwetsbaarheden en ernstige incidenten worden vanaf deze datum gemeld, 24 uur voor de vroegtijdige waarschuwing.
Al het overige
De essentiële eisen, het technische dossier en de CE-markering gelden vanaf deze datum voor elk in de handel gebracht product.
In één oogopslag
111eisen, elk met de bepaling waarop ze rust
67gekoppeld aan ISO-clausules of -beheersmaatregelen
8starten een termijn
De meldketen van artikel 14, lid 2
Stuur de vroegtijdige waarschuwing over de kwetsbaarheid binnen 24 uur
14(2)(a)
Stuur de kwetsbaarheidsmelding binnen 72 uur
14(2)(b)
Stuur het eindverslag 14 dagen na de oplossing
14(2)(c)
De Cyber Resilience Act, voor een softwarefabrikant
De Cyber Resilience Act reikt tot elk product met digitale elementen dat in de EU in de handel wordt gebracht: de meldplicht van artikel 14 sinds 11 september 2026, de rest vanaf 11 december 2027.
Beantwoord hierboven om de bepaling voor uw geval te lezen; het volledige instrument neemt uw antwoorden mee.
Doorgaan in de gratis bepalingDe volledige bepaling beantwoordt elke vraag en bewaart de lezing als gedateerd document voor €29.
CRA-technisch dossier, voor u opgesteld: € 2.900
De 11 documenten van het pakket, ingevuld voor uw product.
Zeven tools, gratis, zonder account
- Gratis controleValt uw product onder het toepassingsgebied, en in welk niveau?Zes vragen uit artikel 2, artikel 3, overweging 12 en de bijlagen III en IV, met de technische beschrijving van elke categorie en de coördinator voor uw lidstaat.
- Gratis controleElke verplichting, per rolDe 111 regels van de verordening die een fabrikant, een importeur, een distributeur of een beheerder van opensourcesoftware binden, in de woorden van het Publicatieblad, met een status per regel en de checklist als document geschreven.
- RekenhulpDe termijnrekentool van artikel 14De termijnen van 24 uur, 72 uur en het eindverslag voor beide triggers, met het eindverslag verankerd waar de verordening het verankert, de CSIRT-coördinatoren van alle 27 staten en het register van toezichthouders.
- GidsWaar te melden, per lidstaatKies de lidstaat van uw hoofdvestiging en lees het als coördinator aangewezen CSIRT, zijn contactpagina en de drie termijnen; één rij per lidstaat uit de lijst van ENISA, met de leesdatum.
- GidsHet technisch dossier, bijlage VII punt voor puntWat het dossier moet bevatten, hoeveel van de 22 essentiële eisen een product van klasse I moet documenteren tegen een geharmoniseerde norm die nog niet bestaat, en wat StandardOS samenstelt.
- KoppelingBijlage I gekoppeld aan ISO 27001Elk van de 22 essentiële eisen tegenover de beheersmaatregelen van bijlage A die het proces erachter draaien, en de eisen die niets in bijlage A oplevert: de SBOM, de openbare bekendmaking, het bekendmakingsbeleid, gratis updates.
- GidsImporteurs en distributeursDe plichten van de artikelen 19 tot 21 voor een bedrijf dat een product met digitale elementen doorverkoopt of importeert, en de controles die eraan voldoen.
- Gratis controleVerbonden consumentenapparatenEen apparaat dat een huishouden koopt: standaard eronder, en vijf categorieën apart in bijlage III klasse I.
- Gratis controleIndustriële en verbonden apparatuurEen machine, aandrijving, besturing of sensor is standaardklasse; bijlage III somt de netwerk- en beveiligingslaag eromheen op.
- Gratis controleEmbedded software en firmwareSoftware die meegaat in het product van een ander is zelf een product met digitale elementen, en er is geen opensource-uitzondering.
- Gratis controleSoftware die u installeertSoftware die in de handel wordt gebracht draagt een CE-markering, op de verklaring of op de website. Loggen klanten alleen in, dan wijst overweging 12 naar NIS2.
Elk gratis sjabloon op één pagina
Drie datums
- Van toepassing11 juni 2026
Hoofdstuk IV: de regels voor aangemelde instanties, zodat de conformiteitsbeoordelingsinstanties voor belangrijke en kritieke producten kunnen worden aangewezen. Op 13 oktober 2026 was er geen enkele.
- Van toepassing11 september 2026
Artikel 14: een actief uitgebuite kwetsbaarheid of een ernstig incident start een vroegtijdige waarschuwing binnen 24 uur, een melding binnen 72 uur en een eindverslag, ingediend op het centrale meldplatform van ENISA. Elk product binnen het toepassingsgebied, ook wat al op de markt is.
- Van toepassing vanaf11 december 2027
Volledige toepassing: de essentiële eisen van bijlage I, de conformiteitsbeoordeling, het technisch dossier, de CE-markering en de ondersteuningsperiode, voor elk product dat vanaf die dag in de handel wordt gebracht, en voor oudere producten zodra zij substantieel worden gewijzigd.
De CRA en de AI-verordening, sinds 27 juli 2026
Een product met digitale elementen kan ook een AI-systeem met een hoog risico onder artikel 6 van de AI-verordening zijn. Artikel 12, lid 1, van de CRA en sinds 27 juli 2026 artikel 42, lid 3, van de gewijzigde AI-verordening achten zo'n systeem in overeenstemming met de cyberbeveiligingseisen van artikel 15 van de AI-verordening wanneer het product aan de eisen van bijlage I, deel I, voldoet, de processen van de fabrikant aan deel II voldoen en het beschermingsniveau is aangetoond in de EU-conformiteitsverklaring onder de CRA. Eén conformiteitsbeoordeling, onder artikel 43 van de AI-verordening, dekt beide.
Is uw product ook een AI-systeem met een hoog risico? De bepaling, gratis
32 artikelen, uit de primaire bronnen
Geldt hij voor u, en in welke mate
- ArtikelValt uw product onder de Cyber Resilience Act? Waar SaaS staatDe meestgestelde CRA-vraag is niet hoe u meldt, maar of de verordening überhaupt op u van toepassing is.
- ArtikelWanneer is software onder de CRA 'in de handel gebracht', en welke van uw builds is een product? De regel van de richtsnoeren voor zelfstandige softwareAlles in de CRA hangt aan een datum en een zelfstandig naamwoord: de datum waarop een product in de handel wordt gebracht, en de vraag of wat u uitlevert überhaupt een product is.
- ArtikelWelke delen van uw backend vallen onder de CRA? Gegevensverwerking op afstand, uit de richtsnoeren van de CommissieEen product met digitale elementen omvat zijn oplossingen voor gegevensverwerking op afstand, en de verordening definieert die in één zin.
- ArtikelCRA of NIS2: welke geldt voor een softwarebedrijf, en kan het allebei zijn?De Cyber Resilience Act reguleert producten die in de handel worden gebracht; NIS2 reguleert entiteiten die diensten verlenen.
- ArtikelGeldt de CRA voor opensourcesoftware? Drie gevallen, en het lichte regime voor beheerdersDe Cyber Resilience Act reikt tot vrije en opensourcesoftware alleen wanneer die in het kader van een commerciële activiteit wordt geleverd.
- ArtikelIs uw opensourceproject 'commercieel' onder de CRA? De zeven toetsen van de Commissie, met haar voorbeeldenDe CRA raakt vrije en opensourcesoftware alleen waar zij in het kader van een commerciële activiteit wordt geleverd, en de verordening laat 'commercieel' over aan twee overwegingen.
- ArtikelIs uw product belangrijk of kritiek onder de CRA? Standaard, tenzij het een van de 19, 4 of 3 categorieën van bijlage III en IV isBinnen het toepassingsgebied van de CRA is een product standaard, belangrijk van klasse I (19 categorieën), belangrijk van klasse II (4) of kritiek (3), en de trap bepaalt of u zelf beoordeelt of een aangemelde instantie onder artikel 32 nodig heeft.
- ArtikelStandaard, belangrijk of kritiek: de 26 technische beschrijvingen van Uitvoeringsverordening 2025/2392, en de kernfunctionaliteitstoetsBijlage III en IV van de CRA noemen 26 productcategorieën in elk één regel.
- ArtikelWat de CRA van importeurs en distributeurs vraagt, en wanneer hij hen tot fabrikant maaktAls u software of apparaten de EU in doorverkoopt in plaats van ze te bouwen, geven de artikelen 19 en 20 van de Cyber Resilience Act u een checklist om te doorlopen voordat het product in de verkoop gaat, een plicht om kwetsbaarheden aan de fabrikant door te geven, een plicht om autoriteiten over significante risico's te informeren, en tien jaar administratie.
- ArtikelWelke update brengt uw bestaande software onder de CRA? Substantiële wijzigingen, uit de richtsnoeren van de CommissieSoftware die vóór 11 december 2027 in de handel is gebracht, blijft buiten de ontwerp- en conformiteitsplichten van de CRA totdat zij substantieel wordt gewijzigd.
Melden, sinds 11 september 2026
- ArtikelWat u onder de CRA moet melden: de twee triggers, zoals de verordening ze definieertArtikel 14 heeft twee triggers en beide zijn in de tekst gedefinieerd.
- ArtikelWanneer begint de 24-uursklok van de CRA? Bij een redelijke mate van zekerheid na een snelle eerste beoordeling, volgens de richtsnoeren van de CommissieArtikel 14 telt 24 en 72 uur vanaf 'kennisname' en definieert die nooit.
- ArtikelAan welk CSIRT meldt u onder de CRA? Aan de coördinator van uw hoofdvestiging, alle 27 met naamArtikel 14 stuurt de melding naar het CSIRT dat de lidstaat van uw hoofdvestiging als coördinator heeft aangewezen; ENISA publiceerde alle 27 op 10 september 2026.
- ArtikelEen CRA-melding indienen op het ENISA-platform: een persoonlijke EU Login, één coördinator, drie tabbladen, geen APIportal.cra-srp.enisa.europa.eu ging open op 11 september 2026.
- ArtikelDe klok voor het CRA-eindverslag begint niet wanneer u kennis krijgtDe meeste uitleg van artikel 14 van de Cyber Resilience Act geeft drie termijnen vanaf één startpunt: 24 uur, 72 uur, 14 dagen.
- ArtikelNIS2 of CRA: welke incidentklok loopt voor een softwarebedrijf, en wat maakt een incident 'significant'Beide wetten geven u 24 uur, 72 uur en een maand, en beide starten de klok wanneer u 'kennis krijgt'.
- ArtikelWie handhaaft de Cyber Resilience Act in uw lidstaat? 7 van de 27 hebben het gezegdDe CRA wordt nationaal gehandhaafd, door een markttoezichtautoriteit die elke lidstaat aanwijst en bij de Commissie registreert.
- ArtikelDe eigen CRA-machinerie van de EU, op de dag dat de plicht inging: 0 aangemelde instanties, 0 geharmoniseerde normen, 7 van de 27 handhaversDe Cyber Resilience Act vraagt fabrikanten klaar te zijn.
- ArtikelBoetes onder de Cyber Resilience Act: waaraan een kleine fabrikant werkelijk blootstaatDe CRA kent drie boeteniveaus, tot 15 miljoen EUR of 2,5% van de wereldwijde omzet.
Het dossier opbouwen, vóór 11 december 2027
- ArtikelDe Cyber Resilience Act voor een kleine softwarefabrikant, in twaalf stappenAlles wat een bedrijf van tien mensen dat geïnstalleerde software of een apparaat levert onder de CRA moet doen, in de volgorde om het te doen: de scopebepaling, de trede, het CSIRT en de handhaver, de meldprocedure die sinds 11 september 2026 geldt, daarna het technische dossier, de 22 eisen, de SBOM, de ondersteuningsperiode, de CE-markering en de verklaring, verschuldigd op 11 december 2027.
- ArtikelCRA artikel 13 voor een softwarefabrikant: de vijfentwintig leden op volgorde, welke van u zijn, welke van de Commissie, en een checklist per rolArtikel 13 van de Cyber Resilience Act is het artikel van de fabrikant: vijfentwintig leden, van de essentiële eisen van lid 1 tot de bevoegdheden van de Commissie in lid 25.
- ArtikelZelfbeoordeling onder de CRA: wat module A werkelijk vereist, uit bijlage VIII en de FAQ van de CommissieDe meeste softwareproducten zullen nooit een aangemelde instantie zien.
- ArtikelGeharmoniseerde normen voor de CRA: nog geen enkele aangehaald, 41 gevraagd, de eerste twee waren verschuldigd op 30 augustus 2026Normalisatieverzoek M/606 van 3 februari 2025 vraagt CEN, CENELEC en ETSI om 41 normen: twee horizontale tegen 30 augustus 2026, de verticale voor producten van bijlage III en IV tegen 30 oktober 2026, de generieke eisen tegen 30 oktober 2027.
- ArtikelCRA bijlage 1: de 22 essentiële eisen als checklist, 14 producteisen en 8 voor de afhandeling van kwetsbaarhedenWat uw product vanaf 11 december 2027 moet naleven en het technisch dossier moet aantonen: deel I, 14 producteisen, waarvan 13 'waar van toepassing' op basis van uw risicobeoordeling; deel II, 8 eisen voor de afhandeling van kwetsbaarheden die altijd gelden.
- ArtikelDe CRA-cyberbeveiligingsrisicobeoordeling: wat artikel 13 werkelijk vereist, en het ene resultaat dat zij moet opleverenArtikel 13, leden 2 tot en met 4, van de Cyber Resilience Act maken de risicobeoordeling tot het document waaraan elke andere CRA-verplichting hangt.
- ArtikelWat in het technische dossier van de CRA hoort: bijlage VII, punt voor puntVanaf 11 december 2027 heeft elk product met digitale elementen dat op de EU-markt wordt gebracht vóór het in de handel brengen technische documentatie nodig, te bewaren gedurende tien jaar of de ondersteuningsperiode, wat langer is.
- ArtikelVereist de CRA een SBOM? Ja, en dit is precies wat hij zegtBijlage I, deel II, punt 1 van de Cyber Resilience Act vereist een softwarestuklijst in een gangbaar, machineleesbaar formaat die ten minste de afhankelijkheden op het hoogste niveau dekt.
- ArtikelWat de CRA van u vraagt voor uw afhankelijkheden: zorgvuldigheid, stroomopwaarts melden en bekende uitbuitbare kwetsbaarheden, uit de richtsnoeren van de CommissieEen softwareproduct bestaat vooral uit andermans code.
- ArtikelHet beleid voor gecoördineerde openbaarmaking van kwetsbaarheden dat de CRA vereist: drie bepalingen, en een beleid van één pagina dat eraan voldoetBijlage I, deel II, punt 5, van de Cyber Resilience Act vereist van elke fabrikant binnen de reikwijdte dat hij een beleid voor gecoördineerde openbaarmaking van kwetsbaarheden invoert en handhaaft.
- ArtikelHoe lang is de ondersteuningsperiode van de CRA? Minstens vijf jaar, de einddatum vermeld bij aankoop, elke update tien jaar beschikbaarArtikel 13, lid 8, van de Cyber Resilience Act: een ondersteuningsperiode van minstens vijf jaar, of de verwachte gebruiksduur als die korter is; de einddatum, minstens maand en jaar, vermeld op het moment van aankoop; elke beveiligingsupdate tien jaar of de rest van de periode beschikbaar gehouden; het technisch dossier, de verklaring en de gebruikersinformatie tien jaar na het in de handel brengen of gedurende de ondersteuningsperiode bewaard.
- ArtikelHeeft software een CE-markering nodig onder de CRA? Ja, en artikel 30 zegt waar die komtVanaf 11 december 2027 is een CE-markering vereist op elk product met digitale elementen dat op de EU-markt wordt gebracht, software inbegrepen.
- ArtikelDe EU-conformiteitsverklaring onder de CRA: bijlage V punt voor punt, de vereenvoudigde vorm en een uitgewerkt voorbeeldArtikel 28 verplicht de fabrikant vóór het in de handel brengen een EU-conformiteitsverklaring op te stellen volgens het model van bijlage V, en artikel 28(4) maakt het ondertekenen tot de handeling waarmee de fabrikant de verantwoordelijkheid voor het product op zich neemt.
Wat het van u vraagt
111 eisen in 5 groepen
Verplichtingen
18- 13(1) Ontwerp, ontwikkel en produceer het product volgens bijlage I
- 13(2) Beoordeel de cyberrisico's van het product en handel ernaar
- 13(5) Controleer componenten van derden vóór integratie
en nog 15
Plichten
53- 13(3) Documenteer de risicobeoordeling en houd haar actueel
- 13(4) Neem de risicobeoordeling op in de technische documentatie
- 13(6) Meld een kwetsbaarheid in een component aan de beheerder
en nog 50
Beheersmaatregelen
22- I.1 Beveilig het product in verhouding tot zijn risico's
- I.2.a Lever zonder bekende uitbuitbare kwetsbaarheden
- I.2.b Lever standaard veilig, terug te zetten naar die staat
en nog 19
Clausules
10- 13(8)-4 Let op minimumtermijnen bij gedelegeerde handeling
- 14(5) Beoordeel de ernst naar het effect op de beveiliging
- 18(1) U mag schriftelijk een gemachtigde aanwijzen
en nog 7
Termijnen
8- 14(2)(a) Stuur de vroegtijdige waarschuwing over de kwetsbaarheid binnen 24 uur
- 14(2)(b) Stuur de kwetsbaarheidsmelding binnen 72 uur
- 14(2)(c) Stuur het eindverslag 14 dagen na de oplossing
en nog 5
Het CRA-dossier en de meldklok, op één plek
De CRA-eisen als catalogus, het technisch dossier dat erop gebouwd is en de meldklok, in één werkruimte.
Datums worden gelezen uit artikel 71 van de verordening en nooit op deze pagina getypt. Dit is geen juridisch advies, en de verordening is de tekst om te lezen: Verordening (EU) 2024/2847.
Zie ook:De CRA voor adviseurs en hun klantenEuropese ToegankelijkheidsakteRichtlijn productaansprakelijkheidArtikelenGratis tools