De CRA in de praktijk.
Security na de levering.

De CRA, Verordening (EU) 2024/2847, stelt cybersecurity-eisen aan producten met digitale elementen binnen haar reikwijdte. Het is een vastgestelde verordening, geen wetsvoorstel. De precieze verplichtingen hangen onder meer af van het product, de functie, de marktintroductie en jouw rol in de keten.

Niet ieder digitaal product valt zonder meer onder dezelfde regels; er bestaan uitzonderingen en andere productregimes. Beoordeel een router, embedded controller, softwarepakket of verbonden toepassing daarom afzonderlijk. De Europese Commissie geeft het algemene overzicht.

11 september 2026

De meldverplichtingen voor fabrikanten gelden voor actief misbruikte kwetsbaarheden en ernstige incidenten die de beveiliging van producten beïnvloeden. Niet ieder gevonden softwareprobleem valt automatisch onder dezelfde meldprocedure.

11 december 2027

De belangrijkste productverplichtingen worden van toepassing. Alleen naar deze datum kijken is onvoldoende: de meldverplichtingen zijn eerder gestart.

Gebruik bij een incident de actuele officiële uitleg over CRA-meldingen. De rol van een fabrikant is hier anders dan de rol van een organisatie onder NIS2.

Voor producten binnen de reikwijdte gaat het om een proces waarin de stappen op elkaar aansluiten: risico’s beoordelen, passende beveiliging ontwerpen, kwetsbaarheden afhandelen en documentatie opbouwen. Conformiteitsbeoordeling en CE-markering zijn niet uitsluitend relevant voor een kleine groep risicovolle producten; de route en eventuele betrokkenheid van een derde partij verschillen per categorie.

Voor een industriële toepassing begint een praktisch productdossier bijvoorbeeld met de beoogde functie, interfaces, afhankelijkheden en ondersteuningsvoorwaarden. Leg vast welke beveiligingsfuncties in het product zitten en welke maatregelen van de integrator of gebruiker worden verwacht. Zie de uitleg voor fabrikanten.

De CRA vraagt om een onderbouwde ondersteuningsperiode. Die is in beginsel minimaal vijf jaar, tenzij de verwachte gebruiksduur korter is. Een langere verwachte gebruiksduur kan een langere periode vragen. Vijf jaar is dus geen algemeen maximum en ook geen toezegging voor ieder Remote-product. De concrete productvoorwaarden moeten worden vastgelegd.

Vraag daarnaast hoe je kwetsbaarheden meldt, hoe updates worden aangekondigd en hoe je de actuele versie herkent. Voor de machinebeheerder zijn testmogelijkheden, onderhoudsvensters en herstel na een mislukte update belangrijke praktische afspraken. Raadpleeg de verordening voor de volledige bepalingen.

• Welk product en welke softwareversie worden geleverd, en wie treedt op als fabrikant?
• Welke functies, interfaces en externe softwareonderdelen horen bij de levering?
• Welke documentatie onderbouwt de beveiligingsclaims en eventuele conformiteit?
• Welke ondersteuning, updates en contactroute voor kwetsbaarheden zijn afgesproken?
• Wie test een wijziging voordat deze in een productieomgeving wordt gebruikt?

Deze projectvragen zijn geen vervanging van de wettelijke conformiteitsbeoordeling.

Remote combineert routers/controllers, een webportal, IIoT-platform en app. Bij maatwerkapps, protocolkoppelingen en embedded software leggen we ook beheer en onderhoud op tafel. Bespreek vroeg wie verantwoordelijk is voor welke productonderdelen, documentatie en updates.

IEC 62443 kan helpen om beveiligingseisen gestructureerd te behandelen. Een verwijzing naar die norm of een ISO-certificaat is op zichzelf geen CRA-conformiteitsverklaring.