Cyber Resilience Act: alle tools en artikelen
Verordening (EU) 2024/2847, bijlage III, en verordening (EU) 2023/1230
U maakt industriële of verbonden apparatuur. Wat vraagt de CRA van u?
- Valt het eronder?
- Ja. Een besturing, aandrijving, sensor of machine met digitale elementen valt eronder.
- Welke klasse?
- Standaard voor de apparatuur zelf. De netwerk- en beveiligingslaag eromheen staat op de lijst.
- Vanaf wanneer?
- Melden sinds 11 september 2026. Machines vanaf 20 januari 2027. De CRA volledig vanaf 11 december 2027.
Wat levert u?
Wat er rond de machine op de lijst staat
| Punt | Klasse | In de woorden van de verordening |
|---|---|---|
| III.I.1 | Klasse I | Identity management systems and privileged access management software and hardware, including authentication and access control readers, including biometric readers |
| III.I.5 | Klasse I | Products with digital elements with the function of virtual private network (VPN) |
| III.I.6 | Klasse I | Network management systems |
| III.I.10 | Klasse I | Physical and virtual network interfaces |
| III.I.11 | Klasse I | Operating systems |
| III.I.12 | Klasse I | Routers, modems intended for the connection to the internet, and switches |
| III.I.13 | Klasse I | Microprocessors with security-related functionalities |
| III.I.14 | Klasse I | Microcontrollers with security-related functionalities |
| III.II.1 | Klasse II | Hypervisors and container runtime systems that support virtualised execution of operating systems and similar environments |
| III.II.2 | Klasse II | Firewalls, intrusion detection and prevention systems |
Verordening (EU) 2024/2847, bijlage III, gelezen uit het Publicatieblad met de rectificaties; de meldplichten gelden sinds 11 september 2026.
De machine is een tweede verordening verschuldigd
Een machine met digitale elementen is ook een machine in de zin van de machineverordening. Verordening (EU) 2023/1230 geldt vanaf 20 januari 2027 en eist in bijlage III dat het aansluiten van een apparaat geen gevaarlijke situatie oplevert, dat software en gegevens die kritiek zijn voor de veiligheid beschermd zijn tegen corruptie, en dat ingrijpen daarin sporen nalaat. Zij heeft een eigen technische documentatie, die de CRA niet vervangt.
Technische documentatie machinesTwee manieren om klaar te zijn
CRA-gereedheid, € 1.500, 10 werkdagen
Wij bakenen uw product af, zetten de afwijkingen tegenover bijlage I op een rij, richten de meldroute in en schrijven het technisch dossier met u.
Bekijk wat het omvatCRA-pakket technisch dossier, € 2.000
Hetzelfde dossier, door u geschreven vanuit ons sjabloon en uw productdossier, zonder opdracht.
Bekijk het pakketVeelgestelde vragen
- Onze besturing gaat naar machinebouwers, niet naar eindgebruikers. Geldt de CRA dan toch?
- Ja. De plichten volgen het in de handel brengen van een product met digitale elementen op de Uniemarkt, niet wie het koopt. Een component die naar een andere fabrikant gaat, wordt in de handel gebracht.
- De machine hangt niet aan het internet. Vallen we erbuiten?
- Nee. De verordening dekt producten met digitale elementen waarvan het beoogde gebruik een directe of indirecte dataverbinding met een apparaat of netwerk omvat; een fabrieksnetwerk of een servicelaptop is dat.
- Is er een aangemelde instantie nodig voor de hele machine, of alleen voor het deel op de lijst?
- Alleen voor het product dat op de lijst staat. Een firewall die als product in de handel wordt gebracht valt onder bijlage III klasse II en wordt als dat product beoordeeld; de machine die hij beschermt blijft standaardklasse en beoordeelt u zelf.
- Wat moet er nu al, vóór 11 december 2027?
- De meldplicht. Sinds 11 september 2026 moet een actief misbruikte kwetsbaarheid of een ernstig incident worden gemeld, eerst binnen 24 uur en daarna binnen 72.