Cyber Resilience Act: alle tools en artikelen
Er is iets gebeurd. Wanneer werd u zich ervan bewust?
- Voor wie het geldt
- Een fabrikant die kennis heeft gekregen van een actief misbruikte kwetsbaarheid of een ernstig incident in een product dat hij in de EU in de handel brengt.
- De data
- Een vroegtijdige waarschuwing binnen 24 uur, een melding binnen 72 uur, en een eindverslag binnen 14 dagen nadat een corrigerende of beperkende maatregel beschikbaar is.
- Het ene wat u moet doen
- Voer het moment van kennisname in: deze pagina rekent de drie termijnen uit in uw tijdzone en noemt het CSIRT waar de melding heen gaat.
24u
Vroege waarschuwing
de datum waarop u het ontdekte is niet vastgelegd.
72u
Melding van de kwetsbaarheid
de datum waarop u het ontdekte is niet vastgelegd.
14dagen
Eindverslag
geen termijn totdat een corrigerende maatregel beschikbaar is.
Uw CRA-meldtermijnen
Vanaf 11 september 2026 start het ontdekken van een actief uitgebuite kwetsbaarheid in een product dat u op de EU-markt brengt een klok van 24 uur. Deze pagina berekent alle drie de termijnen, ook die waar de meeste artikelen de mist in gaan.
De drie klokken hebben niet hetzelfde startpunt
De termijnen van 24 en 72 uur lopen beide vanaf het moment waarop u het ontdekte. Het eindverslag niet. Voor een kwetsbaarheid loopt het 14 dagen vanaf het beschikbaar komen van een corrigerende of beperkende maatregel, een datum die misschien nog niet bestaat: een gedocumenteerde workaround start het, niet alleen een fix. Voor een incident loopt het één maand vanaf de melding na 72 uur, dus het bestaat pas als die melding is ingediend. Waar er geen datum is, zegt deze pagina welk startpunt ontbreekt in plaats van een getal te tonen.
Start de klokken van 24 en 72 uur.
Vroege waarschuwing
Art. 14(2)(a)
de datum waarop u het ontdekte is niet vastgelegd.
24 uur vanaf ontdekking
Melding van de kwetsbaarheid
Art. 14(2)(b)
de datum waarop u het ontdekte is niet vastgelegd.
72 uur vanaf ontdekking
Eindverslag
Art. 14(2)(c)
geen termijn totdat een corrigerende maatregel beschikbaar is.
14 dagen nadat een corrigerende of beperkende maatregel beschikbaar is
Voer het moment van ontdekking in om de klokken te starten.
Voor wie dit geldt
Fabrikanten van producten met digitale elementen die op de EU-markt worden gebracht, en beheerders van opensourcesoftware. Er is geen omvangsdrempel en geen mkb-uitzondering, nergens in de CRA, en op grond van artikel 69, lid 3, geldt de meldplicht ook voor producten die al op de markt waren vóór de volledige toepassing van de verordening in december 2027.
Overweging 12 plaatst clouddienstmodellen, inclusief software as a service, buiten de CRA en binnen NIS2, zodat heel veel softwarebedrijven volledig buiten het toepassingsgebied vallen. Die vaststelling hangt af van wat u daadwerkelijk op de markt brengt, en het is aan u om haar te maken en vast te leggen. Wij maken haar niet voor u op een marketingpagina.
Valt uw product eronder? Zes vragen, een schriftelijke bepalingDe plicht geldt. Vijf dingen die vandaag klaar moeten staan
Geen ervan kost veel tijd. Alle zijn onmogelijk goed te doen in het eerste uur van een incident, en dat is precies wanneer een bedrijf zonder ze ontdekt dat het ze nodig had.
- 1Bepaal of u binnen het toepassingsgebied valt, en leg de beslissing vast. Software die u installeert of downloadt, mobiele en desktop-apps, bibliotheken en apparaten vallen erbinnen. Pure software as a service valt erbuiten. Verwerking op afstand zonder welke een product niet kan werken, valt er weer binnen. Een vastgelegde vaststelling is wat u laat zien als iemand vraagt waarom u wel of niet heeft gemeld.
- 2Vind uw CSIRT. Meldingen gaan naar het als coördinator aangewezen CSIRT in de lidstaat van uw hoofdvestiging. Ligt uw hoofdvestiging buiten de EU, dan kiest artikel 14 de lidstaat van uw gemachtigde, dan van uw grootste importeur, dan van uw grootste distributeur, dan die waar de meeste van uw gebruikers zijn. De coördinatoren staan hieronder.
- 3Geef de persoon die gaat melden een EU Login met tweefactorauthenticatie. Het centrale meldplatform van ENISA vereist een persoonlijk EU Login-account met multifactorauthenticatie ingeschakeld. Op een rustige dag is dat tien minuten werk, en in uur drieëntwintig heel lang.
- 4Benoem die persoon, en een plaatsvervanger. De klok van 24 uur pauzeert niet voor vakantie.
- 5Spreek af wat "ontdekt" voor u betekent. Dat moment start de klok, en een team dat niet heeft besloten of een e-mail van een klant, een scannermelding of een bevestigde exploit de trigger is, zal daarover discussiëren terwijl de uren lopen.
Waar meldingen naartoe gaan
Naar het als coördinator aangewezen CSIRT voor uw hoofdvestiging, en naar ENISA, beide via het centrale meldplatform van ENISA, dat op 11 september 2026 openging, de dag waarop de plicht inging, en dat volgens de FAQ van ENISA op 21 september 2026 alleen in het Engels draait, geen API heeft en een persoonlijk EU Login met multifactorauthenticatie vereist. Niets op deze pagina dient iets in; zij vertelt u wanneer u dat zou moeten. Het platform staat op portal.cra-srp.enisa.europa.eu FAQ van ENISA
De tabel is de lijst van als coördinator aangewezen CSIRT's zoals ENISA die op 10 september 2026 publiceerde, de dag voor de opening van het platform, afgelezen op 12 september 2026; de link is de eerste contactpagina die ENISA voor elke staat geeft. In de meeste staten is het het nationale CSIRT dat de staat voor het EU-CSIRT-netwerk heeft aangewezen. Het is een andere instantie in Kroatië (NCSC-HR), Tsjechië (NÚKIB). ENISA zegt dat een melding die bij de verkeerde coördinator is ingediend ongeldig kan worden verklaard en opnieuw moet worden ingediend; de rij van uw hoofdvestiging hoort dus in uw incidentprocedure. Lijst van ENISA.
| Lidstaat | Als coördinator aangewezen CSIRT | Contactpagina |
|---|---|---|
| Oostenrijk | CERT.at · Computer Emergency Response Team Austria | www.cert.at |
| België | CCB · Centre for Cybersecurity Belgium | ccb.belgium.be |
| Bulgarije | CERT Bulgaria · CERT Bulgaria | www.govcert.bg |
| Kroatië | NCSC-HR · National Cyber Security Centre of Croatia | ncsc.hr |
| Cyprus | CSIRT-CY · National CSIRT-CY | www.csirt.cy |
| Tsjechië | NÚKIB · National Cyber and Information Security Agency | nukib.gov.cz |
| Denemarken | FE DDIS · Danish Defence Intelligence Service, formerly CFCS | www.fe-ddis.dk |
| Estland | CERT-EE · CERT Estonia | www.ria.ee |
| Finland | NCSC-FI · National Cyber Security Centre Finland | www.kyberturvallisuuskeskus.fi |
| Frankrijk | CERT-FR · CERT-FR | www.cert.ssi.gouv.fr |
| Duitsland | CERT-Bund · CERT-Bund at the BSI | www.bsi.bund.de |
| Griekenland | EL-CSIRT · National Cyber Security Authority CSIRT | cyber.gov.gr |
| Hongarije | NCSC Hungary · National Cyber Security Center of Hungary | ncsc.gov.hu |
| Ierland | CSIRT-IE · National Cyber Security Centre Ireland | www.ncsc.gov.ie |
| Italië | CSIRT Italia · Computer Security Incident Response Team Italia | www.acn.gov.it |
| Letland | CERT.LV · Information Technologies Security Incident Response Institution | cert.lv |
| Litouwen | CERT-LT · National CERT of Lithuania | www.nksc.lt |
| Luxemburg | CIRCL · Computer Incident Response Center Luxembourg | www.circl.lu |
| Malta | MT-CSIRT · MT-CSIRT | www.mita.gov.mt |
| Nederland | NCSC-NL · Nationaal Cyber Security Centrum | www.ncsc.nl |
| Polen | CERT Polska · CERT Polska | cert.pl |
| Portugal | CERT.PT · CERT.PT at the CNCS | www.cncs.gov.pt |
| Roemenië | DNSC · Romanian National Cyber Security Directorate | www.dnsc.ro |
| Slowakije | SK-CERT · SK-CERT | www.sk-cert.sk |
| Slovenië | SI-CERT · Slovenian Computer Emergency Response Team | www.cert.si |
| Spanje | INCIBE-CERT · INCIBE-CERT | www.incibe.es |
| Zweden | CERT-SE · CERT-SE | cert.se |
Wie handhaaft, lidstaat voor lidstaat
Boetes worden nationaal opgelegd door de markttoezichtautoriteit die elke lidstaat op grond van artikel 52 aanwijst en bij de Commissie registreert. Op 13 oktober 2026 hadden 7 van de 27 er een geregistreerd. De rest staat als niet geregistreerd: dat is wat het register van de Commissie die dag bevatte, geen uitspraak dat de lidstaat geen plan heeft. Namen staan letterlijk zoals geregistreerd.
| Lidstaat | Markttoezichtautoriteit (art. 52) | Aanmeldende autoriteit (art. 36) |
|---|---|---|
| Oostenrijk | niet geregistreerd | niet geregistreerd |
| België | Belgian Institute for Postal services and Telecommunications | CCB – Centre for Cybersecurity Belgium |
| Bulgarije | niet geregistreerd | niet geregistreerd |
| Kroatië | niet geregistreerd | Information Systems Security Bureau |
| Cyprus | Office of the Commissioner of Communications - Digital Security Authority (DSA) | Digital Security Authority - National Cybersecurity Certification Authority |
| Tsjechië | niet geregistreerd | niet geregistreerd |
| Denemarken | niet geregistreerd | niet geregistreerd |
| Estland | niet geregistreerd | Consumer Protection and Technical Regulatory Authority |
| Finland | Finnish Transport and Communications Agency (Traficom) | National Cyber Security Centre, Finnish Transport and Communications Agency Traficom |
| Frankrijk | Agence Nationale des Fréquences | Agence nationale de la sécurité des systèmes d’information |
| Duitsland | Bundesamt für Sicherheit in der Informationstechnik (BSI) | Bundesamt für Sicherheit in der Informationstechnik - Referat S 14 – Befugniserteilung und Aufsicht über Konformitätsbewertungsstellen |
| Griekenland | niet geregistreerd | niet geregistreerd |
| Hongarije | niet geregistreerd | Supervisory Authority for Regulatory Affairs |
| Ierland | niet geregistreerd | National Cyber Security Centre |
| Italië | niet geregistreerd | niet geregistreerd |
| Letland | Consumer Rights Protection Centre (Patērētāju tiesību aizsardzības centrs) | niet geregistreerd |
| Litouwen | niet geregistreerd | Ministry of National Defence of the Republic of Lithuania |
| Luxemburg | niet geregistreerd | niet geregistreerd |
| Malta | niet geregistreerd | Malta Digital Innovation Authority |
| Nederland | niet geregistreerd | Ministry of Economic Affairs – Dutch Authority for Digital Infrastructure |
| Polen | niet geregistreerd | Ministry of Digital Affairs - Cybersecurity Department |
| Portugal | niet geregistreerd | niet geregistreerd |
| Roemenië | niet geregistreerd | niet geregistreerd |
| Slowakije | National Security Authority | Slovak Office of Standards, Metrology and Testing |
| Slovenië | niet geregistreerd | niet geregistreerd |
| Spanje | niet geregistreerd | niet geregistreerd |
| Zweden | niet geregistreerd | SWEDAC - Swedish Board for Accreditation and Conformity Assessment |
Hierna: de termijnen vanaf het moment van kennisname, en de melding als concept.
7 dagen gratis, geen kaart.
Of de CRA Readiness Toolkit, € 199, bestanden per e-mail
Of samen met u gedaan: CRA-gereedheid, € 1.500, 10 werkdagen
Vóór december 2027 heeft u ook de technische documentatie nodig
Artikel 13, lid 12, vereist technische documentatie voor elk product met digitale elementen voordat het op de markt wordt gebracht, bewaard gedurende minstens tien jaar of de ondersteuningsperiode als die langer is, met de inhoud die bijlage VII opsomt. Koop haar voor één product en zij wordt bij het afrekenen in uw organisatie opgesteld.
De technische documentatie, € 2.000 eenmaligVerkoopt u door in plaats van te bouwen, dan raken de artikelen 19 tot en met 21 u alsnog
Een importeur controleert dat de fabrikant zijn deel heeft gedaan voordat het product op de markt wordt gebracht. Een distributeur controleert de CE-markering en de naleving door fabrikant en importeur. Zet uw eigen merk op een product en artikel 21 maakt u de fabrikant ervan.
Plichten van importeurs en distributeurs, € 1.200Wat een gemiste melding werkelijk kost
Artikel 14 zit in de hoogste boetecategorie van de CRA, naast de beveiligingseisen van bijlage I: tot 15 000 000 EUR of 2,5 % van de wereldwijde jaaromzet. Er zijn drie categorieën, nationale autoriteiten handhaven, en de verordening noemt kleine fabrikanten tweemaal.
De drie boetecategorieën, en wie ze toepastDe vragen die deze pagina oproept, uitgebreid beantwoord
De Cyber Resilience Act voor een kleine softwarefabrikant, in twaalf stappen
Alles wat een bedrijf van tien mensen dat geïnstalleerde software of een apparaat levert onder de CRA moet doen, in de volgorde om het te doen: de scopebepaling, de trede, het CSIRT en de handhaver, de meldprocedure die sinds 11 september 2026 geldt, daarna het technische dossier, de 22 eisen, de SBOM, de ondersteuningsperiode, de CE-markering en de verklaring, verschuldigd op 11 december 2027.
Aan welk CSIRT meldt u onder de CRA? Aan de coördinator van uw hoofdvestiging, alle 27 met naam
Artikel 14 stuurt de melding naar het CSIRT dat de lidstaat van uw hoofdvestiging als coördinator heeft aangewezen; ENISA publiceerde alle 27 op 10 september 2026.
Een CRA-melding indienen op het ENISA-platform: een persoonlijke EU Login, één coördinator, drie tabbladen, geen API
portal.cra-srp.enisa.europa.eu ging open op 11 september 2026.
Wanneer begint de 24-uursklok van de CRA? Bij een redelijke mate van zekerheid na een snelle eerste beoordeling, volgens de richtsnoeren van de Commissie
Artikel 14 telt 24 en 72 uur vanaf 'kennisname' en definieert die nooit.
De klok voor het CRA-eindverslag begint niet wanneer u kennis krijgt
De meeste uitleg van artikel 14 van de Cyber Resilience Act geeft drie termijnen vanaf één startpunt: 24 uur, 72 uur, 14 dagen.
Valt uw product onder de Cyber Resilience Act? Waar SaaS staat
De meestgestelde CRA-vraag is niet hoe u meldt, maar of de verordening überhaupt op u van toepassing is.
Wanneer is software onder de CRA 'in de handel gebracht', en welke van uw builds is een product? De regel van de richtsnoeren voor zelfstandige software
Alles in de CRA hangt aan een datum en een zelfstandig naamwoord: de datum waarop een product in de handel wordt gebracht, en de vraag of wat u uitlevert überhaupt een product is.
Welke delen van uw backend vallen onder de CRA? Gegevensverwerking op afstand, uit de richtsnoeren van de Commissie
Een product met digitale elementen omvat zijn oplossingen voor gegevensverwerking op afstand, en de verordening definieert die in één zin.
Wie handhaaft de Cyber Resilience Act in uw lidstaat? 7 van de 27 hebben het gezegd
De CRA wordt nationaal gehandhaafd, door een markttoezichtautoriteit die elke lidstaat aanwijst en bij de Commissie registreert.
Is uw product belangrijk of kritiek onder de CRA? Standaard, tenzij het een van de 19, 4 of 3 categorieën van bijlage III en IV is
Binnen het toepassingsgebied van de CRA is een product standaard, belangrijk van klasse I (19 categorieën), belangrijk van klasse II (4) of kritiek (3), en de trap bepaalt of u zelf beoordeelt of een aangemelde instantie onder artikel 32 nodig heeft.
Standaard, belangrijk of kritiek: de 26 technische beschrijvingen van Uitvoeringsverordening 2025/2392, en de kernfunctionaliteitstoets
Bijlage III en IV van de CRA noemen 26 productcategorieën in elk één regel.
CRA bijlage 1: de 22 essentiële eisen als checklist, 14 producteisen en 8 voor de afhandeling van kwetsbaarheden
Wat uw product vanaf 11 december 2027 moet naleven en het technisch dossier moet aantonen: deel I, 14 producteisen, waarvan 13 'waar van toepassing' op basis van uw risicobeoordeling; deel II, 8 eisen voor de afhandeling van kwetsbaarheden die altijd gelden.
Wat in het technische dossier van de CRA hoort: bijlage VII, punt voor punt
Vanaf 11 december 2027 heeft elk product met digitale elementen dat op de EU-markt wordt gebracht vóór het in de handel brengen technische documentatie nodig, te bewaren gedurende tien jaar of de ondersteuningsperiode, wat langer is.
Vereist de CRA een SBOM? Ja, en dit is precies wat hij zegt
Bijlage I, deel II, punt 1 van de Cyber Resilience Act vereist een softwarestuklijst in een gangbaar, machineleesbaar formaat die ten minste de afhankelijkheden op het hoogste niveau dekt.
Wat de CRA van u vraagt voor uw afhankelijkheden: zorgvuldigheid, stroomopwaarts melden en bekende uitbuitbare kwetsbaarheden, uit de richtsnoeren van de Commissie
Een softwareproduct bestaat vooral uit andermans code.
CRA of NIS2: welke geldt voor een softwarebedrijf, en kan het allebei zijn?
De Cyber Resilience Act reguleert producten die in de handel worden gebracht; NIS2 reguleert entiteiten die diensten verlenen.
NIS2 of CRA: welke incidentklok loopt voor een softwarebedrijf, en wat maakt een incident 'significant'
Beide wetten geven u 24 uur, 72 uur en een maand, en beide starten de klok wanneer u 'kennis krijgt'.
Heeft software een CE-markering nodig onder de CRA? Ja, en artikel 30 zegt waar die komt
Vanaf 11 december 2027 is een CE-markering vereist op elk product met digitale elementen dat op de EU-markt wordt gebracht, software inbegrepen.
De EU-conformiteitsverklaring onder de CRA: bijlage V punt voor punt, de vereenvoudigde vorm en een uitgewerkt voorbeeld
Artikel 28 verplicht de fabrikant vóór het in de handel brengen een EU-conformiteitsverklaring op te stellen volgens het model van bijlage V, en artikel 28(4) maakt het ondertekenen tot de handeling waarmee de fabrikant de verantwoordelijkheid voor het product op zich neemt.
Zelfbeoordeling onder de CRA: wat module A werkelijk vereist, uit bijlage VIII en de FAQ van de Commissie
De meeste softwareproducten zullen nooit een aangemelde instantie zien.
Geharmoniseerde normen voor de CRA: nog geen enkele aangehaald, 41 gevraagd, de eerste twee waren verschuldigd op 30 augustus 2026
Normalisatieverzoek M/606 van 3 februari 2025 vraagt CEN, CENELEC en ETSI om 41 normen: twee horizontale tegen 30 augustus 2026, de verticale voor producten van bijlage III en IV tegen 30 oktober 2026, de generieke eisen tegen 30 oktober 2027.
Hoe lang is de ondersteuningsperiode van de CRA? Minstens vijf jaar, de einddatum vermeld bij aankoop, elke update tien jaar beschikbaar
Artikel 13, lid 8, van de Cyber Resilience Act: een ondersteuningsperiode van minstens vijf jaar, of de verwachte gebruiksduur als die korter is; de einddatum, minstens maand en jaar, vermeld op het moment van aankoop; elke beveiligingsupdate tien jaar of de rest van de periode beschikbaar gehouden; het technisch dossier, de verklaring en de gebruikersinformatie tien jaar na het in de handel brengen of gedurende de ondersteuningsperiode bewaard.
Welke update brengt uw bestaande software onder de CRA? Substantiële wijzigingen, uit de richtsnoeren van de Commissie
Software die vóór 11 december 2027 in de handel is gebracht, blijft buiten de ontwerp- en conformiteitsplichten van de CRA totdat zij substantieel wordt gewijzigd.
Wat u onder de CRA moet melden: de twee triggers, zoals de verordening ze definieert
Artikel 14 heeft twee triggers en beide zijn in de tekst gedefinieerd.
Geldt de CRA voor opensourcesoftware? Drie gevallen, en het lichte regime voor beheerders
De Cyber Resilience Act reikt tot vrije en opensourcesoftware alleen wanneer die in het kader van een commerciële activiteit wordt geleverd.
Is uw opensourceproject 'commercieel' onder de CRA? De zeven toetsen van de Commissie, met haar voorbeelden
De CRA raakt vrije en opensourcesoftware alleen waar zij in het kader van een commerciële activiteit wordt geleverd, en de verordening laat 'commercieel' over aan twee overwegingen.
Wat de CRA van importeurs en distributeurs vraagt, en wanneer hij hen tot fabrikant maakt
Als u software of apparaten de EU in doorverkoopt in plaats van ze te bouwen, geven de artikelen 19 en 20 van de Cyber Resilience Act u een checklist om te doorlopen voordat het product in de verkoop gaat, een plicht om kwetsbaarheden aan de fabrikant door te geven, een plicht om autoriteiten over significante risico's te informeren, en tien jaar administratie.
De eigen CRA-machinerie van de EU, op de dag dat de plicht inging: 0 aangemelde instanties, 0 geharmoniseerde normen, 7 van de 27 handhavers
De Cyber Resilience Act vraagt fabrikanten klaar te zijn.
De CRA-cyberbeveiligingsrisicobeoordeling: wat artikel 13 werkelijk vereist, en het ene resultaat dat zij moet opleveren
Artikel 13, leden 2 tot en met 4, van de Cyber Resilience Act maken de risicobeoordeling tot het document waaraan elke andere CRA-verplichting hangt.
Het beleid voor gecoördineerde openbaarmaking van kwetsbaarheden dat de CRA vereist: drie bepalingen, en een beleid van één pagina dat eraan voldoet
Bijlage I, deel II, punt 5, van de Cyber Resilience Act vereist van elke fabrikant binnen de reikwijdte dat hij een beleid voor gecoördineerde openbaarmaking van kwetsbaarheden invoert en handhaaft.
De berekening hier is dezelfde functie die het product uitvoert, geen kopie geschreven voor deze pagina, inclusief de begrenzing op kalendermaanden, zodat een melding op 31 januari op 28 februari wordt beantwoord in plaats van door te rollen naar maart. Dit is geen juridisch advies, en artikel 14 is kort genoeg om zelf te lezen: Verordening (EU) 2024/2847.