Reinier adviseert nationale en internationale bedrijven
reinier.russell@russell.nl +31 20 301 55 55De Europese Verordening cyberweerbaarheid (Cyber Resilience Act) stelt nieuwe eisen aan slimme apparaten en software. Waar moeten fabrikanten, importeurs en distributeurs voortaan rekening mee houden?
De Europese Digital Decade krijgt door middel van wetgeving steeds meer gestalte. De Europese Unie wil een omgeving creëren waarin innovatie op verantwoorde wijze wordt gestimuleerd, met oog voor de veiligheid van burgers en ondernemingen. In dit kader is de Cyber Resilience Act (CRA), in het Nederlands de Verordening cyberweerbaarheid (hierna: de verordening), tot stand gekomen. In deze blog geven we een kort overzicht van de verordening en bespreken we welke consequenties deze voor u als ondernemer kan hebben.
Cyberweerbaarheid ziet op de weerbaarheid van digitale producten tegen digitale aanvallen. Denk bijvoorbeeld aan draadloze of op afstand bedienbare systemen. Een kwetsbaarheid waardoor een derde op afstand de temperatuur van een slimme thermostaat op 50 of -5 graden zou kunnen instellen, illustreert het soort risico’s waartegen de verordening bescherming beoogt te bieden.
De Verordening cyberweerbaarheid heeft als doel het verbeteren van de beveiliging van producten met digitale elementen, waaronder netwerkapparatuur, Internet of Things (IoT) apparatuur, zoals smartphones en andere slimme apparaten, en software zoals videogames, mobiele applicaties en besturingssystemen. De verordening biedt burgers een hoger beschermingsniveau door de veiligheid van digitale producten gedurende hun levensduur te verbeteren. De verordening is op 11 juni 2026 gedeeltelijk in werking getreden en is rechtstreeks van toepassing in de lidstaten, zij geldt daarom rechtstreeks voor u.
De CRA reguleert onder meer de processen waarmee fabrikanten hun digitale producten ontwikkelen, ontwerpen, produceren en onderhouden. De digitale producten worden ingedeeld in verschillende categorieën:
Voordat een product op de markt wordt gebracht, moet de fabrikant bepalen in welke categorie het product valt. Daarbij wordt gekeken of de belangrijkste functionaliteit van het product aansluit bij de technische omschrijving van een van deze categorieën. Aan iedere categorie zijn verschillende verplichtingen verbonden. De categorie waarin een product valt, bepaalt daarom welke verplichtingen voor de fabrikant gelden.
Binnen de verordening bestaat ten aanzien van de verplichtingen van de producten van klasse I ruimte voor zelfbeoordeling, in bepaalde gevallen vereist de verordening, voor de desbetreffende klasse, controle door een externe partij. Producten van de overige klassen dienen te worden onderworpen aan externe controle. De fabrikant blijft te allen tijde verantwoordelijk voor de eerdergenoemde controle. De fabrikant dient zorg te dragen voor de naleving van de wet gedurende de complete verwachte levensduur voor het product, maar minimaal voor een periode van vijf jaar. Dit geldt voor alle producten die onder de verordening vallen, ongeacht of ze voor de invoering van de verordening op de markt zijn gebracht.
De zorgplicht van de fabrikant behelst de verplichting om na te gaan of zijn product voldoet aan de door de verordening gestelde eisen. Voor de ontwikkeling van een veilig product moet de fabrikant vooraf vaststellen wat de functionaliteit en de beoogde werking van het product zijn. Vervolgens moet een cybersecurity-risicobeoordeling worden uitgevoerd. Deze risicoanalyse vormt de basis voor het veilig ontwerpen, ontwikkelen, produceren en onderhouden van het product en het bevorderen van cyberweerbaarheid.
Hoewel fabrikanten centraal staan in de verordening, krijgen ook andere partijen in de toeleveringsketen met de regels te maken. Zo gelden verplichtingen voor importeurs en distributeurs. Zij moeten onder meer controleren of producten aan de toepasselijke eisen voldoen en moeten relevante documentatie beschikbaar kunnen maken. De precieze verplichtingen verschillen afhankelijk van de rol die een onderneming ten aanzien van het product vervult. Zo rusten op de fabrikant in beginsel zwaardere verplichtingen dan op de distributeur.
Een belangrijk onderdeel van de CRA is inmiddels van toepassing. Sinds 11 september 2026 geldt de meldplicht voor fabrikanten van producten met digitale elementen. Zij moeten actief uitgebuite kwetsbaarheden en ernstige incidenten die gevolgen hebben voor de beveiliging van hun producten melden.
De meldingen moeten zowel bij het Europees agentschap Enisa via het Europese CRA Single Reporting Platform als bij het toepasselijke nationale meldpunt worden gedaan. In Nederland is dit het digitale meldloket van het Nationaal Cyber Security Centrum (NCSC). Speelt het probleem in meerdere lidstaten, dan hoeft slechts bij één nationaal meldpunt een melding gedaan te worden. In de melding bij Enisa moet staan in welke lidstaten het product volgens weten van de fabrikant beschikbaar is.
Voor de meldingen gelden korte termijnen. Uiterlijk binnen 24 uur na kennisname en zonder onnodige vertraging moet een vroegtijdige waarschuwing over een actief uitgebuite kwetsbaarheid of ernstig incident worden gedaan. Vervolgens moet binnen 72 uur een nadere melding worden gedaan. Voor een actief uitgebuite kwetsbaarheid volgt een eindrapport uiterlijk 14 dagen nadat een corrigerende of risicobeperkende maatregel beschikbaar is. Voor een ernstig incident geldt voor het eindrapport een termijn van één maand na de melding binnen 72 uur.
De meldplicht gaat verder dan de verplichting om incidenten te signaleren. Vanwege de verordening moeten fabrikanten ook processen inrichten om kwetsbaarheden tijdig te identificeren, te beoordelen en te verhelpen. Daarbij kan bijvoorbeeld het beschikbaar stellen van een beveiligingsupdate onderdeel zijn van de vereiste reactie.
Voor ondernemingen die digitale producten ontwikkelen of onder eigen naam op de markt brengen, is het van belang om nu al na te gaan welke verplichtingen uit de CRA op hen rusten. Daarbij moet niet alleen worden gekeken naar de technische eigenschappen van het product, maar ook naar de inrichting van interne processen. Denk aan het uitvoeren en documenteren van risicoanalyses, het omgaan met kwetsbaarheden, het beschikbaar stellen van beveiligingsupdates en het tijdig kunnen uitvoeren van een melding.
Ook ondernemingen die als importeur of distributeur optreden, krijgen met de verordening te maken. Zij moeten onder meer controleren of de producten die zij op de markt brengen aan de toepasselijke eisen voldoen en moeten kunnen aantonen dat zij hun verplichtingen zijn nagekomen. Importeurs moeten actief controleren of het product aan de wettelijke eisen voldoet. Een importeur die een product onder eigen naam op de markt brengt wordt beschouwd als fabrikant en dient zich te houden aan de verzwaarde wettelijke plichten. Distributeurs dienen slechts het CE-logo op het product te controleren.
De verordening treedt geleidelijk in werking. Sinds 11 september 2026 geldt de meldplicht voor fabrikanten van producten met digitale elementen. Op 11 december 2027 worden de overige belangrijke verplichtingen van de verordening van toepassing. Vanaf dat moment moeten producten met digitale elementen die in de EU op de markt worden gebracht aan de eisen van de CRA voldoen, waaronder eisen op het gebied van security-by-design en de omgang met kwetsbaarheden.
Ondernemingen doen er daarom verstandig aan om niet te wachten tot december 2027. De inrichting van processen rondom cybersecurity vergt voorbereiding. De CRA raakt namelijk niet alleen de techniek van een product, maar ook de organisatie, documentatie en verantwoordelijkheden binnen de onderneming.
Heeft u vragen naar aanleiding van deze blog? Of heeft u advies nodig over juridische aspecten van ICT? Onze advocaten zijn u graag van dienst, ook als u een geschil aan ons wilt voorleggen. Neem contact met ons op:
De Eerste Kamer heeft op 2 juni 2026 de Wet digitale algemene vergadering privaatrechtelijke rechtspersonen aangenomen. Deze wet maakt het mogelijk om algemene vergaderingen volledig digitaal te houden. Wat betekent dit voor bestuurders en aandeelhouders van bv’s, nv’s en andere rechtspersonen?
De Wet transparantie en tegengaan ondermijning door maatschappelijke organisaties (Wtmo) legde enkele nieuwe verplichtingen op aan goede doelen. Het wetsvoorstel is echter op 24 maart 2026 door de Eerste Kamer verworpen.
De Europese AI Act verplicht werkgevers om te zorgen dat werknemers voldoende kennis hebben van de AI-systemen. Dat kan door middel van trainingen, maar ook door een op het bedrijf toegesneden AI-beleid. Wat moet u in een dergelijk beleid opnemen? Welke rol speelt de ondernemingsraad bij de invoering van het AI-beleid?
Wilt u weten of u uw onderneming op een bepaald perceel kunt vestigen en aan welke voorwaarden de bebouwing dient te voldoen? Dan is het bestemmingsplan het eerste document dat u moet raadplegen.
Bijna alle bedrijven maken inmiddels gebruik van een of andere vorm van AI. Dat betekent dat ze te maken kunnen krijgen met de verboden en regelingen uit de Europese AI Act. Hoe zorgt u dat u voldoet aan deze regels?
De ANBI-status maakt het extra interessant om giften, schenkingen en legaten te doen voor goede doelen. Aan welke eisen moet een instelling voldoen om deze status te krijgen en te behouden? Wanneer is er sprake van algemeen nut? Welke gegevens moet een ANBI publiceren?
