Cyber Resilience Act: beveiliging wordt een productvereiste
De Europese Cyber Resilience Act (CRA) verplicht fabrikanten van software en hardware om beveiliging in te bouwen, kwetsbaarheden op te volgen en updates te leveren zolang hun product wordt gebruikt. De eerste verplichtingen gelden al.
Tijdlijn
- 10 december 2024
Inwerkingtreding
Verordening (EU) 2024/2847 is van kracht. Fabrikanten kunnen zich voorbereiden.
- 11 september 2026: nu van toepassing
Meldplicht
Actief uitgebuite kwetsbaarheden en ernstige incidenten moeten worden gemeld, ook voor producten die al op de markt zijn.
- 11 december 2027
Alle verplichtingen
Nieuwe producten moeten aan alle essentiële eisen voldoen en een CE-markering dragen.
Valt uw product eronder?
De CRA geldt voor producten met digitale elementen die op de Europese markt worden aangeboden: software en hardware die verbinding maken met een netwerk of een ander apparaat. Denk aan desktop- en mobiele apps, installeerbare software, firmware en verbonden toestellen, inclusief de clouddiensten die nodig zijn om ze te laten werken.
Uitzonderingen
- Pure SaaS valt in de regel onder NIS2, niet onder de CRA.
- Medische hulpmiddelen vallen onder de Europese regels voor medische hulpmiddelen (MDR).
- Opensourcesoftware die niet commercieel wordt aangeboden, valt erbuiten.
Twijfelt u, bijvoorbeeld bij een app bij een zorgplatform? Dat bekijken we samen.
Wat de CRA vraagt
Veilig ontwerp en standaardinstellingen
Een gedocumenteerde risicoanalyse, geen gekende kwetsbaarheden bij levering, veilige standaardconfiguratie, beperkte aanvalsoppervlakte en bescherming van gegevens.
Kwetsbaarheden beheren
Een software bill of materials (SBOM), een beleid voor gecoördineerde melding van kwetsbaarheden en gratis beveiligingsupdates gedurende de ondersteuningsperiode, in de regel minstens vijf jaar.
Melden
Actief uitgebuite kwetsbaarheden en ernstige incidenten meldt u via het centrale meldplatform van ENISA: een vroegtijdige waarschuwing binnen 24 uur, een melding binnen 72 uur en daarna een eindverslag.
Aantonen
Technische documentatie, een conformiteitsbeoordeling, een EU-conformiteitsverklaring en de CE-markering. De documentatie bewaart u tien jaar.
Hoe we u helpen
Omdat we zelf software bouwen, helpen we niet alleen met documenten, maar ook met het ontwikkelproces erachter.
- 01
Toepassingsgebied
Valt uw product onder de CRA, en in welke categorie? Daarvan hangt af welke conformiteitsbeoordeling nodig is.
- 02
Risicoanalyse
Een dreigingsmodel van uw product en een risicoanalyse, gedocumenteerd zoals de CRA het vraagt.
- 03
Veilig ontwikkelproces
Ontwikkelen volgens OWASP ASVS, met controls gekoppeld aan ISO/IEC 27001, code reviews en tests met ZAP en Burp Suite volgens de OWASP WSTG.
- 04
SBOM en afhankelijkheden
Een SBOM die automatisch wordt bijgewerkt, en opvolging van kwetsbaarheden in de bibliotheken die u gebruikt.
- 05
Kwetsbaarheden en meldingen
Een beleid voor gecoördineerde melding, een interne procedure en een meldschema dat binnen 24 uur werkt.
- 06
Documentatie en updates
Technische documentatie, een update- en ondersteuningsbeleid en de voorbereiding van de conformiteitsbeoordeling.
Deze pagina is een samenvatting en geen juridisch advies. Voor de precieze verplichtingen geldt Verordening (EU) 2024/2847.
Verkoopt u software of verbonden producten in de EU?
De meldplicht geldt al. We bekijken samen wat de CRA voor uw product betekent en waar u het best begint.
Laat uw product toetsen