Veilige digitale producten verplicht (Cyber Resilience Act)

De Cyber Resilience Act (CRA) is een Europese wet die digitale producten beter moet beveiligen. De CRA heet ook wel de Verordening cyberweerbaarheid.

De wet geldt voor software en hardware met digitale functies. Ook onderdelen daarvan vallen onder de CRA. Oplossingen voor gegevensverwerking op afstand vallen alleen onder de CRA als ze nodig zijn voor het functioneren van het digitale product. Diensten vallen niet onder de CRA.

Wat verandert er?

• Veiligere producten: Vanaf 11 december 2027 moeten alle digitale producten, zoals apps, videokaarten en slimme apparaten, veilig zijn ontworpen en gemaakt. Dit heet security-by-design.
• Uw plichten als ondernemer: Maakt, importeert of verkoopt u digitale producten? Dan moet u zorgen voor beveiligingsupdates en moet u problemen snel melden.
• CE-markering: Uw product moet een CE-markering hebben. Daarmee laat u zien dat het product voldoet aan de wet. Meestal bepaalt u zelf of het product veilig is. Soms moet een externe partij dit controleren.
• Meldplicht bij problemen: Vanaf 11 september 2026 moeten fabrikanten ernstige problemen met hun digitale producten melden. Dit moet via het digitale meldloket van het Nationaal Cyber Security Centrum (NCSC).

Voor wie?

• fabrikanten van producten met digitale elementen
• gemachtigde vertegenwoordigers die door fabrikanten zijn aangewezen om namens hen specifieke taken uit te voeren
• importeurs die producten in de EU op de markt brengen
• distributeurs die digitale producten verkopen

Wat moet u doen?

De CRA (Cyber Resilience Act) stelt regels op voor fabrikanten. Ook importeurs en distributeurs moeten zich aan deze regels houden. Zij moeten ervoor zorgen dat producten met digitale onderdelen aan bepaalde eisen voldoen, en dat dit zo blijft. Daarnaast moeten zij kunnen laten zien dat de producten aan deze eisen voldoen. Dat doen ze met documenten en meldingen. 

In de Gids Cyber Resilience Act leest u de belangrijkste informatie over deze regels.

Wanneer?

Vanaf 11 september 2026 moeten bedrijven ernstige beveiligingsproblemen en actief misbruikte kwetsbaarheden melden. De overige verplichtingen uit de Cyber Resilience Act (CRA) gelden vanaf 11 december 2027.