The Cyber Resilience Act (CRA) is EU law for anyone who sells hardware or software that connects to anything, from a smart lock to an accounting package. Since 11 September 2026 makers report actively exploited vulnerabilities within 24 hours. From 11 December 2027 every new product needs security by design, a support period with updates, and a CE mark. Four questions decide what it means for you: are we a maker and of which class, can we report in time, is our product ready by December 2027, and what do our importers and resellers have to check. De Cyber Resilience Act (CRA, officieel de Verordening cyberweerbaarheid) is EU-wetgeving voor iedereen die hardware of software verkoopt die met iets verbinding maakt, van een slim slot tot een boekhoudpakket. Sinds 11 september 2026 melden makers actief misbruikte kwetsbaarheden binnen 24 uur. Vanaf 11 december 2027 heeft elk nieuw product security by design, een ondersteuningsperiode met updates en een CE-markering nodig. Vier vragen bepalen wat dit voor u betekent: zijn wij maker en in welke klasse, kunnen wij op tijd melden, is ons product klaar vóór december 2027, en wat moeten onze importeurs en wederverkopers controleren.
The CRA covers every product with digital elements: hardware or software that can connect to a device or a network, sold in the EU, including free software with a commercial purpose. You are the manufacturer when you sell it under your own name, even if someone else built it. An importer or reseller that puts its own brand on a product, or changes it substantially, becomes the manufacturer too. Medical devices, cars and aircraft follow their own rules and are out of scope. Most products fall in the default class and assess themselves. Annex III names important products: class I (such as password managers, VPNs, operating systems, routers, smart locks and connected toys) and class II (such as firewalls and hypervisors). Annex IV names critical products (such as smart meter gateways and smartcards).
Business impact: the first step is a list: every product you sell, whether the CRA applies, and which class it falls in. The class decides whether you may assess yourself or need an outside assessor, and that decides lead time and cost. The Commission's technical descriptions (November 2025) and its guidance of July 2026 (non-binding) help with the edge cases, such as remote data processing and open source.
De CRA geldt voor elk product met digitale elementen: hardware of software die verbinding kan maken met een apparaat of netwerk, verkocht in de EU, inclusief gratis software met een commercieel doel. U bent de fabrikant als u het onder uw eigen naam verkoopt, ook als iemand anders het heeft gebouwd. Een importeur of wederverkoper die zijn eigen merk op een product zet, of het wezenlijk wijzigt, wordt ook fabrikant. Medische hulpmiddelen, auto's en vliegtuigen volgen hun eigen regels en vallen erbuiten. De meeste producten vallen in de standaardklasse en beoordelen zichzelf. Bijlage III noemt belangrijke producten: klasse I (zoals wachtwoordmanagers, VPN's, besturingssystemen, routers, slimme sloten en verbonden speelgoed) en klasse II (zoals firewalls en hypervisors). Bijlage IV noemt kritieke producten (zoals slimme-metergateways en smartcards).
Bedrijfsimpact: de eerste stap is een lijst: elk product dat u verkoopt, of de CRA erop van toepassing is, en in welke klasse het valt. De klasse bepaalt of u zelf mag beoordelen of een externe beoordelaar nodig hebt, en dat bepaalt doorlooptijd en kosten. De technische omschrijvingen van de Commissie (november 2025) en haar richtsnoeren van juli 2026 (niet bindend) helpen bij de grensgevallen, zoals gegevensverwerking op afstand en open source.
Attackers use AI to find the same flaw across a whole product family and every customer. One weak firmware build becomes a reportable event at scale.Aanvallers gebruiken AI om dezelfde fout in een hele productfamilie en bij elke klant te vinden. Eén zwakke firmwareversie wordt een meldplichtige gebeurtenis op schaal.
Code an AI model wrote for your product is still your product. The duty of care for third-party components covers what the model wrote too.Code die een AI-model voor uw product schreef, is nog steeds uw product. De zorgplicht voor onderdelen van derden geldt ook voor wat het model schreef.
AI tools can pre-sort a product catalogue against the Annex III and IV lists and the Commission's descriptions. The final class is a decision by people.AI-tools kunnen een productcatalogus voorsorteren op de lijsten van bijlage III en IV en de omschrijvingen van de Commissie. De definitieve klasse is een besluit van mensen.
The reporting duty (Art. 14) is already in force, and it also covers products you sold before December 2027. When you become aware that a vulnerability in your product is being actively exploited, or of a severe incident affecting its security, the CRA requires an early warning within 24 hours, a notification within 72 hours, and a final report within 14 days after a fix is available (one month for an incident). Everything goes once, through the Single Reporting Platform run by ENISA, to the CSIRT of the country where you are based. In the Netherlands that is the NCSC. Informing your customers about the fix and what they can do is part of the duty.
Business impact: twenty-four hours is shorter than most internal escalation paths. Reporting late can be fined up to €15 million or 2.5% of worldwide turnover, whichever is higher (Art. 64). The exercise worth doing: one named person who can file, an account on the platform, and a one-page template, rehearsed once.
De meldplicht (art. 14) is al van kracht en geldt ook voor producten die u vóór december 2027 verkocht. Zodra u er kennis van krijgt dat een kwetsbaarheid in uw product actief wordt misbruikt, of van een ernstig incident dat de beveiliging ervan raakt, vereist de CRA een vroegtijdige waarschuwing binnen 24 uur, een melding binnen 72 uur en een eindverslag binnen 14 dagen nadat een fix beschikbaar is (een maand bij een incident). Alles gaat in één keer, via het centrale meldingsplatform van ENISA, naar het CSIRT van het land waar u gevestigd bent. In Nederland is dat het NCSC. Uw klanten informeren over de fix en wat zij zelf kunnen doen, hoort bij de plicht.
Bedrijfsimpact: vierentwintig uur is korter dan de meeste interne escalatieroutes. Te laat melden kan een boete opleveren tot € 15 miljoen of 2,5% van de wereldwijde omzet, als dat hoger is (art. 64). De oefening die de moeite waard is: één persoon met naam die kan melden, een account op het platform en een sjabloon van één pagina, één keer geoefend.
Exploits follow a disclosure within days, increasingly AI-assisted. The chance that your first signal is already "actively exploited", and so reportable, grows.Exploits volgen binnen dagen op een publicatie, steeds vaker met AI. De kans dat uw eerste signaal al "actief misbruikt" is, en dus meldplichtig, groeit.
An AI assistant that sorts support tickets can file "customer sees strange logins" as a bug. That ticket may be your first sign of an exploited vulnerability.Een AI-assistent die supporttickets sorteert, kan "klant ziet vreemde inlogs" als bug wegzetten. Dat ticket kan uw eerste teken van een misbruikte kwetsbaarheid zijn.
Tools can draft the 24-hour early warning from the ticket and the product record. Someone still signs it, and the clock starts at awareness, not at the draft.Tools kunnen de vroegtijdige waarschuwing opstellen uit het ticket en het productdossier. Iemand tekent nog steeds, en de klok start bij kennisname, niet bij het concept.
From 11 December 2027 every product placed on the market, and every existing product that is substantially modified, meets the essential requirements of Annex I. In plain terms: shipped without known exploitable vulnerabilities and with secure defaults, a cybersecurity risk assessment, an SBOM of at least the top-level components, a way for researchers to report vulnerabilities, security updates for a support period of at least five years (or the expected lifetime if shorter), and the end date of support shown at purchase. The manufacturer runs a conformity assessment, draws up technical documentation and the EU declaration of conformity, and affixes the CE mark. Default products assess themselves. Class I may do so only when harmonised standards are fully applied. Class II and critical products need a notified body or an EU certification.
Business impact: this is a product roadmap item with a fixed date. Fourteen months is short for a hardware product with a notified body in the chain, and the Commission expects the first harmonised standards only in late 2026, with more in October 2027. Consider starting with the SBOM and the vulnerability process: they are the quickest wins, and they also answer what your NIS2 and DORA customers ask today. The support period is a cost that belongs in the price.
Vanaf 11 december 2027 voldoet elk product dat in de handel wordt gebracht, en elk bestaand product dat wezenlijk wordt gewijzigd, aan de essentiële eisen van bijlage I. In gewone taal: geleverd zonder bekende misbruikbare kwetsbaarheden en met veilige standaardinstellingen, een cyberbeveiligingsrisicobeoordeling, een SBOM van ten minste de onderdelen op het hoogste niveau, een manier voor onderzoekers om kwetsbaarheden te melden, beveiligingsupdates gedurende een ondersteuningsperiode van minimaal vijf jaar (of de verwachte levensduur als die korter is), en de einddatum van de ondersteuning zichtbaar bij aankoop. De fabrikant voert een conformiteitsbeoordeling uit, stelt technische documentatie en de EU-conformiteitsverklaring op en brengt de CE-markering aan. Standaardproducten beoordelen zichzelf. Klasse I mag dat alleen als geharmoniseerde normen volledig zijn toegepast. Klasse II en kritieke producten hebben een aangemelde instantie of een EU-certificering nodig.
Bedrijfsimpact: dit is een punt op de productroadmap met een vaste datum. Veertien maanden is kort voor een hardwareproduct met een aangemelde instantie in de keten, en de Commissie verwacht de eerste geharmoniseerde normen pas eind 2026, met meer in oktober 2027. Overweeg te beginnen met de SBOM en het kwetsbaarheidsproces: dat zijn de snelste winstpunten, en ze beantwoorden ook wat uw NIS2- en DORA-klanten vandaag al vragen. De ondersteuningsperiode is een kostenpost die in de prijs hoort.
AI reads your SBOM too. A public component list makes known weak spots easy to find, which is exactly why updating those components fast matters.AI leest uw SBOM ook. Een openbare onderdelenlijst maakt bekende zwakke plekken makkelijk te vinden, en juist daarom telt het snel bijwerken van die onderdelen.
An AI feature added later can be a substantial modification, which reopens the conformity assessment. Worth asking before it ships.Een later toegevoegde AI-functie kan een wezenlijke wijziging zijn, en die heropent de conformiteitsbeoordeling. De moeite waard om te vragen vóór de release.
Build tools generate the SBOM and flag vulnerable components on every release. That is most of the vulnerability-handling requirement, automated.Buildtools genereren de SBOM en markeren kwetsbare onderdelen bij elke release. Dat is het grootste deel van de eis voor kwetsbaarheidsbeheer, geautomatiseerd.
If you bring a product into the EU, you are the importer. Before you sell, you check that the manufacturer has done the conformity assessment and the technical documentation, that the product carries the CE mark, the declaration of conformity and the user information, and you put your own contact details on it. If you only resell, you are the distributor: you act with due care, verify the CE mark, and check that manufacturer and importer did their part. Both pass on any vulnerability they learn of to the manufacturer without delay, warn the authorities when the risk is significant, and inform users when the manufacturer stops operating. Importers keep the declaration for at least ten years. And if you sell it under your own brand, or change it substantially, you carry the manufacturer's duties yourself.
Business impact: for a reseller this is mostly paperwork and one decision: which products do we still carry when the mark is missing? For a white-label business it is the full set of obligations in step 03. Fines for importer and distributor duties go up to €10 million or 2% of worldwide turnover.
Brengt u een product de EU binnen, dan bent u de importeur. Vóór de verkoop controleert u of de fabrikant de conformiteitsbeoordeling en de technische documentatie heeft gedaan, of het product de CE-markering, de conformiteitsverklaring en de gebruikersinformatie draagt, en u zet uw eigen contactgegevens erop. Verkoopt u alleen door, dan bent u de distributeur: u handelt met de nodige zorgvuldigheid, controleert de CE-markering en gaat na of fabrikant en importeur hun deel hebben gedaan. Beiden geven elke kwetsbaarheid waarvan zij kennis krijgen zonder vertraging door aan de fabrikant, waarschuwen de autoriteiten als het risico aanzienlijk is, en informeren gebruikers als de fabrikant ermee stopt. Importeurs bewaren de verklaring minstens tien jaar. En verkoopt u het onder uw eigen merk, of wijzigt u het wezenlijk, dan draagt u zelf de plichten van de fabrikant.
Bedrijfsimpact: voor een wederverkoper is dit vooral papierwerk en één besluit: welke producten voeren we nog als de markering ontbreekt? Voor een white-labelbedrijf is het de volledige set verplichtingen uit stap 03. Boetes voor importeurs- en distributeursplichten lopen op tot € 10 miljoen of 2% van de wereldwijde omzet.
Fake CE marks and forged declarations are cheap to generate. Verify with the manufacturer, not from the label.Valse CE-markeringen en vervalste verklaringen zijn goedkoop te maken. Controleer bij de fabrikant, niet op het etiket.
A white-label AI feature bolted onto someone else's product makes you the manufacturer of that part, with its reporting clock.Een white-label AI-functie op het product van een ander maakt u fabrikant van dat deel, met de bijbehorende meldklok.
Tools can read declarations of conformity and match them to the product list at goods-in. The buyer reviews the exceptions.Tools kunnen conformiteitsverklaringen lezen en bij ontvangst koppelen aan de productlijst. De inkoper beoordeelt de uitzonderingen.
| Control | Addresses | In one line |
|---|---|---|
| Product list with class | Scope (01) | Every product sold in the EU, whether the CRA applies, its class and its assessment route. One owner. Reviewed when a product changes. |
| Substantial-modification check | Scope (01) | Every major release answers one question before it ships: does this change the security of the product, or what it is for? |
| Reporting route | Reporting (02) | One named reporter and a deputy, an account on the ENISA platform, a template for the 24-hour early warning, rehearsed once a year. |
| Vulnerability intake | Reporting (02) | A public contact for vulnerability reports and a coordinated disclosure policy. Support tickets with security words route to it. |
| Secure development | Design (03) | Risk assessment per product, secure defaults, testing before release. NIST SSDF or IEC 62443-4-1 as the reference. |
| SBOM and component updates | Design (03) | Generated by the build on every release. Vulnerable components flagged and patched within an agreed time. |
| Support period and updates | Design (03) | At least five years, stated at purchase, with a secure update route. Priced into the product. |
| Conformity file | Design (03) | Technical documentation, EU declaration of conformity and CE mark per product. Notified body booked early for class II and critical products. |
| Intake checklist | Chain (04) | For imported or resold products: CE mark, declaration, user information, manufacturer contact. Missing paperwork stops the sale. |
| Maatregel | Pakt aan | In één zin |
|---|---|---|
| Productlijst met klasse | Reikwijdte (01) | Elk product dat in de EU wordt verkocht, of de CRA erop van toepassing is, de klasse en de beoordelingsroute. Eén eigenaar. Nagelopen bij elke productwijziging. |
| Toets op wezenlijke wijziging | Reikwijdte (01) | Elke grote release beantwoordt vóór de uitrol één vraag: verandert dit de beveiliging van het product, of waarvoor het dient? |
| Meldroute | Meldplicht (02) | Eén melder met naam en een plaatsvervanger, een account op het ENISA-platform, een sjabloon voor de vroegtijdige waarschuwing binnen 24 uur, jaarlijks geoefend. |
| Ingang voor kwetsbaarheden | Meldplicht (02) | Een openbaar contactpunt voor kwetsbaarheidsmeldingen en een beleid voor gecoördineerde openbaarmaking. Supporttickets met beveiligingswoorden gaan erheen. |
| Veilige ontwikkeling | Ontwerp (03) | Risicobeoordeling per product, veilige standaardinstellingen, testen vóór de release. NIST SSDF of IEC 62443-4-1 als referentie. |
| SBOM en onderdelenupdates | Ontwerp (03) | Door de build gegenereerd bij elke release. Kwetsbare onderdelen gemarkeerd en binnen een afgesproken termijn gepatcht. |
| Ondersteuningsperiode en updates | Ontwerp (03) | Minimaal vijf jaar, vermeld bij aankoop, met een veilige updateroute. Verwerkt in de prijs. |
| Conformiteitsdossier | Ontwerp (03) | Technische documentatie, EU-conformiteitsverklaring en CE-markering per product. Aangemelde instantie vroeg geboekt voor klasse II en kritieke producten. |
| Inkoopchecklist | Keten (04) | Voor geïmporteerde of doorverkochte producten: CE-markering, verklaring, gebruikersinformatie, contact van de fabrikant. Ontbrekend papierwerk stopt de verkoop. |
Any connected product or commercial software sold in the EU is in scope. The reporting duty is already running, and the 2027 date does not move.Elk verbonden product of elke commerciële software die in de EU wordt verkocht, valt eronder. De meldplicht loopt al, en de datum in 2027 schuift niet.
A product without a CE mark cannot be sold in the EU from 11 December 2027. Late reporting and non-conformity carry fines up to €15 million or 2.5% of turnover, and a recall is possible.Een product zonder CE-markering mag vanaf 11 december 2027 niet in de EU worden verkocht. Te laat melden en non-conformiteit kennen boetes tot € 15 miljoen of 2,5% van de omzet, en een terugroepactie is mogelijk.
With a classified product list, a rehearsed reporting route, an SBOM from the build and a booked assessment, what remains is timing: standards and notified bodies are still arriving.Met een geklasseerde productlijst, een geoefende meldroute, een SBOM uit de build en een geboekte beoordeling blijft timing over: normen en aangemelde instanties zijn er nog niet allemaal.
The CTO or product owner carries it. The CISO advises on the processes; legal confirms the class and the assessment route.De CTO of de producteigenaar draagt het. De CISO adviseert over de processen; legal bevestigt de klasse en de beoordelingsroute.
Products without a CRA class · hours from awareness to early warning in the last drill · % of products with an SBOM from the build · products without an assessment route booked by mid-2027.Producten zonder CRA-klasse · uren van kennisname tot vroegtijdige waarschuwing in de laatste oefening · % producten met een SBOM uit de build · producten zonder geboekte beoordelingsroute medio 2027.
“A product with digital elements that we sell in the EU does not meet the Cyber Resilience Act: an actively exploited vulnerability is reported late, or a product reaches the market after 11 December 2027 without conformity and a CE mark, leading to fines, a sales ban or a recall.”“Een product met digitale elementen dat wij in de EU verkopen, voldoet niet aan de Cyber Resilience Act: een actief misbruikte kwetsbaarheid wordt te laat gemeld, of een product komt na 11 december 2027 zonder conformiteit en CE-markering op de markt, met boetes, een verkoopverbod of een terugroepactie als gevolg.”
| Framework | What it requires of you | When a customer or supplier asks | When this incident happens |
|---|---|---|---|
| NIS2 | NIS2 is for the organisation, the CRA for the product. If you are also an essential or important entity, NIS2 requires supply-chain security and vulnerability handling (Art. 21); your CRA processes serve both. In the Netherlands via the Cyberbeveiligingswet, in force since 15 August 2026. | Your NIS2 customers assess their suppliers. Expect them to ask for your EU declaration, SBOM and support period. A CRA-conformant product is the shortest answer. | An exploited vulnerability in your product can count as a significant incident for your own organisation if it meets the thresholds: early warning within 24 hours of becoming aware, incident notification within 72 hours, final report within one month. Two clocks, one incident. |
| DORA | DORA binds financial entities, not product makers. If you supply ICT to a bank or insurer, you are an ICT third-party provider in their register, with contract clauses on vulnerabilities and updates. DORA has applied since 17 January 2025. | Financial customers write the right to information on vulnerabilities and updates into the contract. Your CRA reporting and support period give you the content. | Your customer classifies: initial notification within 4 hours of classifying it as major (at most 24 hours after becoming aware), intermediate report within 72 hours of the initial notification, final report within one month. Your CRA notification feeds theirs. |
| SOC 2 | Not a legal duty. Criteria CC7.1 (identifying vulnerabilities), CC7.4 (responding to incidents) and CC8.1 (change management) map onto the CRA's vulnerability handling and reporting. | A supplier's SOC 2 report shows whether the processes exist and were tested. It does not show CRA conformity; ask for the EU declaration separately. | A missed or late CRA report that is also a security incident will likely appear as an exception in the next report. |
| ISAE 3402 | The focus is financial reporting. The CRA appears only where product security affects controls your customers rely on. | The report rarely covers product security. Ask for the EU declaration and the support period in the contract instead. | ISAE 3402 creates no duty to notify user auditors. Expect a deviation in the next report, and ask for interim disclosure in the contract. |
| Kader | Wat het van u vraagt | Als een klant of leverancier vraagt | Als dit incident u treft |
|---|---|---|---|
| NIS2 | NIS2 gaat over de organisatie, de CRA over het product. Bent u ook een essentiële of belangrijke entiteit, dan vereist NIS2 beveiliging van de toeleveringsketen en omgang met kwetsbaarheden (art. 21); uw CRA-processen dienen beide. In Nederland via de Cyberbeveiligingswet, van kracht sinds 15 augustus 2026. | Uw NIS2-klanten beoordelen hun leveranciers. Verwacht vragen naar uw EU-verklaring, SBOM en ondersteuningsperiode. Een CRA-conform product is het kortste antwoord. | Een misbruikte kwetsbaarheid in uw product kan voor uw eigen organisatie als significant incident gelden als het de drempels haalt: vroegtijdige waarschuwing binnen 24 uur na ontdekking, incidentmelding binnen 72 uur, eindverslag binnen een maand. Twee klokken, één incident. |
| DORA | DORA bindt financiële instellingen, geen productmakers. Levert u ICT aan een bank of verzekeraar, dan bent u een ICT-derde in hun register, met contractbepalingen over kwetsbaarheden en updates. DORA geldt sinds 17 januari 2025. | Financiële klanten leggen het recht op informatie over kwetsbaarheden en updates vast in het contract. Uw CRA-meldingen en ondersteuningsperiode leveren de inhoud. | Uw klant classificeert: eerste melding binnen 4 uur na classificatie als ernstig (uiterlijk 24 uur na ontdekking), tussenrapport binnen 72 uur na de eerste melding, eindrapport binnen een maand. Uw CRA-melding voedt die van hen. |
| SOC 2 | Geen wettelijke plicht. De criteria CC7.1 (kwetsbaarheden herkennen), CC7.4 (reageren op incidenten) en CC8.1 (wijzigingsbeheer) sluiten aan op kwetsbaarheidsbeheer en melding onder de CRA. | Het SOC 2-rapport van een leverancier laat zien of de processen bestaan en zijn getest. Het toont geen CRA-conformiteit; vraag apart naar de EU-verklaring. | Een gemiste of te late CRA-melding die ook een beveiligingsincident is, komt waarschijnlijk als afwijking in het volgende rapport. |
| ISAE 3402 | De focus ligt op de financiële verslaggeving. De CRA komt alleen voor waar productbeveiliging de beheersmaatregelen raakt waarop uw klanten steunen. | Het rapport dekt zelden productbeveiliging. Vraag in het contract naar de EU-verklaring en de ondersteuningsperiode. | ISAE 3402 schept geen meldplicht aan de auditors van gebruikers. Verwacht een afwijking in het volgende rapport en vraag in het contract om tussentijdse melding. |
Checked against: CRA, Regulation (EU) 2024/2847 Art. 2, 3, 7, 8, 13, 14, 16, 19–22, 28, 30, 32, 64, 69, 71 and Annexes I, III, IV (OJ 20 Nov 2024), Implementing Regulation (EU) 2025/2392 (28 Nov 2025), Commission CRA reporting page and implementation timeline (2026), Commission guidance C(2026) 5252 (27 Jul 2026), ENISA Single Reporting Platform launch (11 Sep 2026), RDI CRA page (2026), NIS2 Art. 21 and 23, DORA Art. 19 and 28, NCSC-NL (Aug 2026), AICPA Trust Services Criteria CC7.1, CC7.4 and CC8.1 (2017, points of focus 2022) · October 2026.
Gecontroleerd tegen: CRA, Verordening (EU) 2024/2847 art. 2, 3, 7, 8, 13, 14, 16, 19–22, 28, 30, 32, 64, 69, 71 en bijlagen I, III, IV (PB 20 nov 2024), Uitvoeringsverordening (EU) 2025/2392 (28 nov 2025), CRA-meldpagina van de Commissie en implementatietijdlijn (2026), richtsnoeren van de Commissie C(2026) 5252 (27 jul 2026), lancering ENISA Single Reporting Platform (11 sep 2026), RDI-pagina over de CRA (2026), NIS2 art. 21 en 23, DORA art. 19 en 28, NCSC (aug 2026), AICPA Trust Services Criteria CC7.1, CC7.4 en CC8.1 (2017, aandachtspunten 2022) · oktober 2026.