De verordening cyberweerbaarheid stelt eisen aan producten met digitale elementen gedurende de hele levenscyclus. Complass begeleidt u product voor product van toepasselijkheid tot CE-markering.
Compliancemanagement in 20 secondenProject, volgende stap, checklist, verklaring van toepasselijkheid, auditpakket. Beispieldaten der Demo-Firma.
Wat is CRA?
De verordening cyberweerbaarheid (Cyber Resilience Act, CRA) is Verordening (EU) 2024/2847 inzake horizontale cyberbeveiligingseisen voor producten met digitale elementen. Zij vereist security by design, omgang met kwetsbaarheden gedurende de gehele ondersteuningsperiode, melding van actief misbruikte kwetsbaarheden en een conformiteitsbeoordeling met CE-markering.
Actualiteit van de inhoud:
Is het op mij van toepassing?
De CRA is van toepassing op producten met digitale elementen die op de EU-markt worden aangeboden, dus hardware en software met een gegevensverbinding zoals besturingen, apparaten en applicaties. De verplichtingen betreffen vooral fabrikanten, alsook importeurs en distributeurs. Uitzonderingen gelden onder meer voor producten die al onder bepaalde andere EU-regels vallen.
De meldingsplichten uit art. 14 zijn van toepassing sinds 11 september 2026, ook voor producten die vóór die datum in de handel zijn gebracht.
Dit overzicht vervangt geen juridisch advies. De wettelijke of normatieve tekst is doorslaggevend; in Complass toetst u de toepasselijkheid aan de hand van een handleiding op basis van de vindplaatsen.
Rechtsgrondslag
Art. 2 CRAArtikel 2 Verordening cyberweerbaarheidToepassingsgebied1. Deze verordening is van toepassing op op de markt aangeboden producten met digitale elementen waarvan het beoogde doel of het redelijkerwijs voorzienbaar gebruik een directe of indirecte logische of fysieke gegevensverbinding met een apparaat of netwerk omvat. 2. Deze verordening is niet van toepassing op producten met digitale elementen waarop de volgende rechtshandelingen van de Unie van toepassing zijn: - a) …Stand: 06.10.2026 · Bron: EUR-Lex – OJ L 2024/2847, 20.11.2024, corrigenda incorporated: OJ L 2025/90555, 2.7.2025; OJ L 2025/90828, 17.10.2025Origineel openen (EUR-Lex – OJ L 2024/2847, 20.11.2024, corrigenda incorporated: OJ L 2025/90555, 2.7.2025; OJ L 2025/90828, 17.10.2025) ↗Toepassingsgebied
Art. 3 CRAArtikel 3 Verordening cyberweerbaarheidDefinitiesVoor de toepassing van deze verordening wordt verstaan onder: 1) “product met digitale elementen”: een software- of hardwareproduct en zijn oplossingen voor gegevensverwerking op afstand, met inbegrip van software- of hardwarecomponenten die afzonderlijk in de handel worden gebracht; 2) “gegevensverwerking op afstand”: gegevensverwerking vanop een afstand waarvoor de software is ontworpen en ontwikkeld door de …Stand: 06.10.2026 · Bron: EUR-Lex – OJ L 2024/2847, 20.11.2024, corrigenda incorporated: OJ L 2025/90555, 2.7.2025; OJ L 2025/90828, 17.10.2025Origineel openen (EUR-Lex – OJ L 2024/2847, 20.11.2024, corrigenda incorporated: OJ L 2025/90555, 2.7.2025; OJ L 2025/90828, 17.10.2025) ↗Definities
Art. 7 CRAArtikel 7 Verordening cyberweerbaarheidBelangrijke producten met digitale elementen1. Producten met digitale elementen met de belangrijkste functionaliteit van een categorie als vermeld in bijlage III worden geacht belangrijke producten met digitale elementen te zijn en worden onderworpen aan de in artikel 32, leden 2 en 3, bedoelde conformiteitsbeoordelingsprocedures. De integratie van een product met digitale elementen met de belangrijkste functionaliteit van een categorie als vermeld in bijlage …Stand: 06.10.2026 · Bron: EUR-Lex – OJ L 2024/2847, 20.11.2024, corrigenda incorporated: OJ L 2025/90555, 2.7.2025; OJ L 2025/90828, 17.10.2025Origineel openen (EUR-Lex – OJ L 2024/2847, 20.11.2024, corrigenda incorporated: OJ L 2025/90555, 2.7.2025; OJ L 2025/90828, 17.10.2025) ↗Belangrijke producten met digitale elementen
Art. 13 CRAArtikel 13 Verordening cyberweerbaarheidVerplichtingen van fabrikanten1. Wanneer fabrikanten een product met digitale elementen in de handel brengen, zorgen zij ervoor dat dat product is ontworpen, ontwikkeld en geproduceerd overeenkomstig de essentiële cyberbeveiligingsvereisten van deel I van bijlage I. 2. Met het oog op de naleving van de in lid 1 vastgestelde verplichting beoordelen fabrikanten de cyberbeveiligingsrisico’s die verbonden zijn aan een product met digitale elementen, …Stand: 06.10.2026 · Bron: EUR-Lex – OJ L 2024/2847, 20.11.2024, corrigenda incorporated: OJ L 2025/90555, 2.7.2025; OJ L 2025/90828, 17.10.2025Origineel openen (EUR-Lex – OJ L 2024/2847, 20.11.2024, corrigenda incorporated: OJ L 2025/90555, 2.7.2025; OJ L 2025/90828, 17.10.2025) ↗Verplichtingen van fabrikanten
Belangrijke data
Inwerkingtreding van de verordening
Art. 71, lid 1Artikel 71 Verordening cyberweerbaarheidInwerkingtreding en toepassing1. Deze verordening treedt in werking op de twintigste dag na die van de bekendmaking ervan in het Publicatieblad van de Europese Unie. 2. Deze verordening is van toepassing met ingang van 11 december 2027. Artikel 14 is evenwel van toepassing met ingang van 11 september 2026, en hoofdstuk IV (de artikelen 35 tot en met 51) is van toepassing met ingang van 11 juni 2026.Stand: 06.10.2026 · Bron: EUR-Lex – OJ L 2024/2847, 20.11.2024, corrigenda incorporated: OJ L 2025/90555, 2.7.2025; OJ L 2025/90828, 17.10.2025Origineel openen (EUR-Lex – OJ L 2024/2847, 20.11.2024, corrigenda incorporated: OJ L 2025/90555, 2.7.2025; OJ L 2025/90828, 17.10.2025) ↗
Hoofdstuk IV (aangemelde instanties, art. 35–51) is van toepassing
Art. 71, lid 2Artikel 71 Verordening cyberweerbaarheidInwerkingtreding en toepassing1. Deze verordening treedt in werking op de twintigste dag na die van de bekendmaking ervan in het Publicatieblad van de Europese Unie. 2. Deze verordening is van toepassing met ingang van 11 december 2027. Artikel 14 is evenwel van toepassing met ingang van 11 september 2026, en hoofdstuk IV (de artikelen 35 tot en met 51) is van toepassing met ingang van 11 juni 2026.Stand: 06.10.2026 · Bron: EUR-Lex – OJ L 2024/2847, 20.11.2024, corrigenda incorporated: OJ L 2025/90555, 2.7.2025; OJ L 2025/90828, 17.10.2025Origineel openen (EUR-Lex – OJ L 2024/2847, 20.11.2024, corrigenda incorporated: OJ L 2025/90555, 2.7.2025; OJ L 2025/90828, 17.10.2025) ↗
De meldingsplichten van art. 14 zijn van toepassing – ook voor bestaande producten
Art. 71, lid 2, art. 69, lid 3Artikel 71 Verordening cyberweerbaarheidInwerkingtreding en toepassing1. Deze verordening treedt in werking op de twintigste dag na die van de bekendmaking ervan in het Publicatieblad van de Europese Unie. 2. Deze verordening is van toepassing met ingang van 11 december 2027. Artikel 14 is evenwel van toepassing met ingang van 11 september 2026, en hoofdstuk IV (de artikelen 35 tot en met 51) is van toepassing met ingang van 11 juni 2026.Stand: 06.10.2026 · Bron: EUR-Lex – OJ L 2024/2847, 20.11.2024, corrigenda incorporated: OJ L 2025/90555, 2.7.2025; OJ L 2025/90828, 17.10.2025Origineel openen (EUR-Lex – OJ L 2024/2847, 20.11.2024, corrigenda incorporated: OJ L 2025/90555, 2.7.2025; OJ L 2025/90828, 17.10.2025) ↗
EHR systems: conformity assessment under the EHDS Regulation (Art. 32(5a)); amendment of Art. 13(4) and Art. 31(3)
Art. 104 Regulation (EU) 2025/327Artikel 71 Verordening cyberweerbaarheidInwerkingtreding en toepassing1. Deze verordening treedt in werking op de twintigste dag na die van de bekendmaking ervan in het Publicatieblad van de Europese Unie. 2. Deze verordening is van toepassing met ingang van 11 december 2027. Artikel 14 is evenwel van toepassing met ingang van 11 september 2026, en hoofdstuk IV (de artikelen 35 tot en met 51) is van toepassing met ingang van 11 juni 2026.Stand: 06.10.2026 · Bron: EUR-Lex – OJ L 2024/2847, 20.11.2024, corrigenda incorporated: OJ L 2025/90555, 2.7.2025; OJ L 2025/90828, 17.10.2025Origineel openen (EUR-Lex – OJ L 2024/2847, 20.11.2024, corrigenda incorporated: OJ L 2025/90555, 2.7.2025; OJ L 2025/90828, 17.10.2025) ↗
Volledige toepassing van de verordening
Art. 71, lid 2Artikel 71 Verordening cyberweerbaarheidInwerkingtreding en toepassing1. Deze verordening treedt in werking op de twintigste dag na die van de bekendmaking ervan in het Publicatieblad van de Europese Unie. 2. Deze verordening is van toepassing met ingang van 11 december 2027. Artikel 14 is evenwel van toepassing met ingang van 11 september 2026, en hoofdstuk IV (de artikelen 35 tot en met 51) is van toepassing met ingang van 11 juni 2026.Stand: 06.10.2026 · Bron: EUR-Lex – OJ L 2024/2847, 20.11.2024, corrigenda incorporated: OJ L 2025/90555, 2.7.2025; OJ L 2025/90828, 17.10.2025Origineel openen (EUR-Lex – OJ L 2024/2847, 20.11.2024, corrigenda incorporated: OJ L 2025/90555, 2.7.2025; OJ L 2025/90828, 17.10.2025) ↗
24 uur / 72 uur / 14 dagen
Vroegtijdige waarschuwing, melding en eindverslag voor actief misbruikte kwetsbaarheden (eindverslag 14 dagen nadat een oplossing beschikbaar is)
Art. 14 CRAArtikel 14 Verordening cyberweerbaarheidRapportageverplichtingen van fabrikanten1. Een fabrikant doet tegelijkertijd aan het overeenkomstig lid 7 van dit artikel als coördinator aangewezen CSIRT en aan Enisa melding van elke actief uitgebuite kwetsbaarheid in het product met digitale elementen waarvan hij kennis krijgt. De fabrikant doet van die actief uitgebuite kwetsbaarheid melding via het op grond van artikel 16 opgerichte centrale meldingsplatform. 2. Ten behoeve van de in lid 1 bedoelde …Stand: 06.10.2026 · Bron: EUR-Lex – OJ L 2024/2847, 20.11.2024, corrigenda incorporated: OJ L 2025/90555, 2.7.2025; OJ L 2025/90828, 17.10.2025Origineel openen (EUR-Lex – OJ L 2024/2847, 20.11.2024, corrigenda incorporated: OJ L 2025/90555, 2.7.2025; OJ L 2025/90828, 17.10.2025) ↗
Tien fasen van toepasselijkheid en rol via classificatie en risicobeoordeling tot de conformiteitsverklaring, de verplichtingen na het in de handel brengen en de productaansprakelijkheid.
Catalogus voor bijlage I
Essentiële cyberbeveiligingseisen en omgang met kwetsbaarheden met status en bewijs, te koppelen aan IEC 62443-3-3 en de machineverordening.
Kwetsbaarheden in uw eigen product
Importeer de SBOM, vergelijk componenten continu met openbare kwetsbaarheidsgegevens en maak bij actief misbruik het incident volgens art. 14 vooraf ingevuld aan.
Technische documentatie
Sjablonen voor onder meer risicobeoordeling, SBOM-concept, proces voor de omgang met kwetsbaarheden, beleid voor bekendmaking, gebruikersinformatie volgens bijlage II en EU-conformiteitsverklaring.
The CRA and the Machinery Regulation in one file per product and version: requirements, SBOM, vulnerabilities, support period. Complass drafts the technical documentation and the EU declaration of conformity.
Wat u als Fabrikanten minimaal nodig hebt
Als u fabrikant bent in de zin van de CRA, dan dekt deze selectie de verplichtingen in Complass af. Of dat zo is, laat de gratis betrokkenheidscheck zien.
Minimale selectie Fabrikanten
Pakket Start, grootte S, met Kwetsbaarheden en aanvalstechnieken
Kwetsbaarheden en aanvalstechnieken (incl. SBOM, CRA-productdossier en MITRE ATT&CK): Kwetsbaarheden behandelen en voor actief uitgebuite kwetsbaarheden binnen 24 uur een vroegtijdige waarschuwing afgeven. (Art. 14, bijlage I deel II CRA (opent in nieuw tabblad))+ 149 €
Incidentmanagement
AVG, AI-verordening en Klokkenluidersbescherming (HinSchG) (basisbescherming)
Bent u alleen importeur of distributeur (art. 19, 20 CRA), dan volstaat in Complass de regelgeving CRA zonder kwetsbaarhedenmodule: Start, 199 € netto/maand. Wie producten onder eigen naam aanbiedt of ingrijpend wijzigt, geldt als fabrikant (art. 21, 22 CRA). Selectie bekijken: Minimale selectie importeur of distributeur
Aanbevolen
Business
739 €netto per maand
Meer effect met Assetmanagement en zones, Supplier Management en Bedrijfscontinuïteitsbeheer (BCM), ruimte voor 10 gebruikers en 2 regelwerken.
U kunt de verplichtingen ook zonder Complass nakomen. Complass ondersteunt bij uitvoering en bewijs en vervangt geen juridisch advies. Juridische informatie
Veelgestelde vragen
Wij bouwen machines met een besturing. Is de CRA of de machineverordening van toepassing?+
Vaak beide. Complass toont de overlappingen en koppelt de catalogi zodat u bewijs maar één keer hoeft te leveren.
Dient Complass de melding in bij ENISA?+
Nee. Complass berekent de termijnen en bereidt de inhoud voor; u dient de melding in via het meldplatform.
