Veilige digitale producten verplicht (Cyber Resilience Act)

Ingangsdatum: 11 december 2027

Voor wie?

• fabrikanten van producten met digitale elementen
• importeurs die deze producten in de EU op de markt brengen
• distributeurs die deze producten verkopen
• gemachtigde vertegenwoordigers van fabrikanten

Wat verandert er?

De Cyber Resilience Act stelt eisen aan de digitale veiligheid van producten met digitale elementen. Het gaat om hardware en software die direct of indirect verbonden kunnen worden met een apparaat of netwerk.

Meldplicht voor fabrikanten geldt al

Sinds 11 september 2026 moeten fabrikanten actief misbruikte kwetsbaarheden en ernstige beveiligingsincidenten melden. Dit doen zij via het CRA-meldformulier van het NCSC.

Deze meldplicht geldt ook voor producten met digitale elementen die al vóór 11 december 2027 op de Europese markt zijn gebracht.

Meer regels vanaf 11 december 2027

Vanaf 11 december 2027 gelden de meeste andere regels van de CRA. Fabrikanten moeten dan onder andere:

• digitale producten veilig ontwerpen en ontwikkelen
• risico's voor de digitale veiligheid beoordelen
• kwetsbaarheden tijdens de ondersteuningsperiode van een product aanpakken
• zorgen voor beveiligingsupdates
• informatie geven over de veiligheid en het veilige gebruik van het product
• aantonen dat het product aan de regels voldoet

Producten die aan de regels voldoen, krijgen een CE-markering. Voor sommige producten is een beoordeling door een externe partij nodig.

Ook importeurs en distributeurs krijgen verplichtingen. Zij moeten onder andere controleren of producten aan de CRA voldoen voordat zij deze op de Europese markt aanbieden.

Wanneer?

Sinds 11 september 2026 gelden de meldplichten voor fabrikanten. Zij moeten actief misbruikte kwetsbaarheden en ernstige beveiligingsincidenten melden.

De meeste andere regels van de Cyber Resilience Act gelden vanaf 11 december 2027.