Cyber Resilience Act

Overzicht

De Cyber Resilience Act (CRA) introduceert verplichte cybersecurityvereisten voor hardware- en softwareproducten met digitale elementen. Het dekt de gehele productlevenscyclus van ontwerp tot einde ondersteuning en heeft als doel de proliferatie van onveilige IoT- en softwareproducten aan te pakken.^[1]

De CRA is van toepassing op producten die op de EU-markt worden gebracht, ongeacht waar ze zijn vervaardigd.

Toepassingsschema

Producten binnen de reikwijdte

Gedekte producten

Producten met digitale elementen die:

• Een directe of indirecte logische of fysieke dataverbinding hebben met een apparaat of netwerk
• Hardware- en softwarecomponenten bevatten

Categorieën

Uitzonderingen

• Open source software (niet-commerciële ontwikkeling)
• SaaS (gedekt door andere regelgeving)
• Producten die al gereguleerd zijn (medische hulpmiddelen, voertuigen, luchtvaart)
• Defensie- en nationale veiligheidsproducten

Essentiële cybersecurityvereisten^[2]

Security by Design

Producten moeten zo worden ontworpen en ontwikkeld dat ze zorgen voor:

1. Passend beveiligingsniveau: Gebaseerd op voorzienbare risico's
2. Geen bekende exploiteerbare kwetsbaarheden: Op het moment van marktintroductie
3. Veilige standaardconfiguratie: Inclusief mogelijkheid tot fabrieksreset
4. Bescherming van vertrouwelijkheid: Voor opgeslagen, verzonden en verwerkte gegevens
5. Bescherming van integriteit: Tegen ongeautoriseerde wijziging
6. Beschikbaarheid: Weerstand tegen denial of service
7. Minimaal aanvalsoppervlak: Verminderen van potentiële aanvalsvectoren
8. Beperking van incidentimpact: Minimaliseren van de gevolgen van een inbreuk

Authenticatie en toegangscontrole

• Sterke, unieke standaardreferenties of door gebruiker ingesteld bij eerste gebruik
• Bescherming tegen brute force-aanvallen
• Veilige authenticatiemechanismen

Gegevensbescherming

• Versleutelde opslag voor gevoelige gegevens
• Veilige gegevensoverdracht
• Verwijderen of anonimiseren van gegevens wanneer deze niet langer nodig zijn

Vereisten voor kwetsbaarhedenbeheer^[3]

Fabrikanten moeten:

1. Kwetsbaarheden identificeren: Door testen en monitoring
2. Componenten documenteren: Onderhouden van software bill of materials (SBOM)
3. Kwetsbaarheden aanpakken: Beveiligingsupdates zonder onnodige vertraging leveren
4. Kwetsbaarheden openbaar maken: Coördineren met betrokken partijen
5. Beveiligingsupdates: Gratis updates voor de gedefinieerde ondersteuningsperiode (minimaal 5 jaar)

Rapportage van kwetsbaarheden

Vanaf september 2026 moeten fabrikanten rapporteren:

Conformiteitsbeoordeling

Producten moeten een CE-markering dragen die conformiteit bevestigt.

Sancties

• Niet-naleving: Tot €15 miljoen of 2,5% van de wereldwijde omzet
• Schending van essentiële vereisten: Tot €10 miljoen of 2% van de omzet
• Andere overtredingen: Tot €5 miljoen of 1% van de omzet^[4]

Actiepunten voor ontwikkelaars

Voor software- en hardwarefabrikanten:

1. Producten inventariseren: Bepalen welke binnen de reikwijdte vallen en hun categorie
2. Security by design: Beveiliging integreren in ontwikkelprocessen
3. Kwetsbaarhedenbeheer: Procedures voor detectie en afhandeling opzetten
4. SBOM aanmaken: Documenteren van softwarecomponenten en afhankelijkheden
5. Ondersteuningsplanning: Ondersteuningsperioden definiëren en communiceren
6. Update-mechanismen: Veilige updateleveringssystemen bouwen
7. Conformiteitsvoorbereiding: Technische documentatie voorbereiden