Veelgestelde vragen

De classificatie volgt de kernfunctionaliteit van het product, niet elke functie die het toevallig bevat. Als de kernfunctie overeenkomt met een in bijlage III genoemde categorie, is het product 'belangrijk' (klasse I of II); komt deze overeen met bijlage IV, dan is het 'kritiek'; anders is het 'standaard'. Een functionaliteit zoals identiteitsbeheer of een VPN die slechts als kenmerk is opgenomen, maakt het product niet 'belangrijk', tenzij dat het kerndoel ervan is. Wanneer meerdere categorieën van toepassing kunnen zijn, geldt de strengere klasse. Art. 7

Niet-commerciële opensourcesoftware die buiten een commerciële activiteit wordt ontwikkeld, valt grotendeels buiten het toepassingsgebied. Beheerders van opensourcesoftware hebben een lichter, op maat gesneden geheel van verplichtingen. Opensourcecomponenten die in het kader van een commerciële activiteit worden geleverd, kunnen binnen het toepassingsgebied vallen.

Zelfstandige diensten vallen over het algemeen buiten de CRA. Oplossingen voor gegevensverwerking op afstand die noodzakelijk zijn om een product zijn functies te laten vervullen, worden echter beschouwd als onderdeel van dat product en vallen binnen de reikwijdte. Buiten de CRA vallen betekent niet dat er geen regulering geldt: web- en clouddiensten kunnen onder andere EU-regels vallen, met name NIS2 (Directive (EU) 2022/2555) voor middelgrote en grote entiteiten in de bestreken sectoren, en de GDPR voor persoonsgegevens. Art. 3(2)

Ja. De CRA is van toepassing op producten die in de handel worden gebracht op de EU-markt, ongeacht waar de fabrikant is gevestigd. Fabrikanten buiten de EU moeten ervoor zorgen dat een in de Unie gevestigde marktdeelnemer verantwoordelijk is voor de relevante verplichtingen.

Zij vallen onder twee delen van bijlage I: beveiligingseigenschappen die het product moet bezitten (standaard veilig, vertrouwelijkheid, integriteit, beschikbaarheid, geminimaliseerd aanvalsoppervlak, beveiligingsupdates) en processen voor kwetsbaarhedenbehandeling die de fabrikant moet uitvoeren (SBOM, herstel, gecoördineerde openbaarmaking). Bijlage I

Ja. Fabrikanten moeten de in het product opgenomen onderdelen identificeren en documenteren, onder meer door het opstellen van een softwarestuklijst (SBOM) in een gangbaar, machineleesbaar formaat. Bijlage I · II(1)

De ondersteuningsperiode is de periode waarin een fabrikant beveiligingsupdates moet leveren. Deze moet de periode weerspiegelen waarin het product naar redelijke verwachting in gebruik zal zijn: standaard vijf jaar, korter wanneer het verwachte gebruik korter is en langer wanneer het langer is. Art. 13(8)

Actief misbruikte kwetsbaarheden en ernstige incidenten die de beveiliging van het product aantasten, moeten worden gemeld aan ENISA en het relevante CSIRT. Een vroegtijdige waarschuwing is verschuldigd binnen 24 uur nadat men ervan op de hoogte is geraakt, gevolgd door een uitgebreidere melding en een eindrapport. Art. 14

De verordening is op 10 december 2024 in werking getreden. De rapportageverplichtingen gelden vanaf september 2026 (21 maanden later) en het merendeel van de verplichtingen geldt vanaf december 2027 (36 maanden later). Art. 71

Inbreuken op de essentiële eisen of de verplichtingen van de fabrikant kunnen boetes tot € 15 miljoen of 2,5% van de totale wereldwijde jaaromzet opleveren, indien dit hoger is. Voor andere inbreuken en voor het verstrekken van onjuiste informatie gelden lagere maxima.

Ja, sinds 11 september 2026, de dag waarop de verplichting van Art. 14 zelf inging. Het platform is actief op portal.cra-srp.enisa.europa.eu; u selecteert de rol van gemachtigde en logt in met een EU Login-account waarvoor meerfactorauthenticatie is ingeschakeld. ENISA publiceerde het adres op 10 september 2026 in zijn SRP-FAQ, samen met een AR-gebruikershandleiding en de algemene voorwaarden van het platform. Vier zaken kwamen niet mee: vrijwillige melding op grond van Art. 15, een rapportage-API, een veld voor het vastleggen van kennisname van actief misbruikte kwetsbaarheden, en een teller van 72 uur die vanaf het moment van kennisname meet in plaats van vanaf de indiening van uw vroegtijdige waarschuwing, waardoor de klok op het scherm een melding als te laat kan tonen voordat de wettelijke termijn is verstreken. Het platform is voorlopig alleen in het Engels beschikbaar. Zie de meldingsgids. Art. 14 · 16

Het normalisatieverzoek M/606 van de Commissie werd in 2025 aanvaard door CEN, CENELEC en ETSI en omvat ongeveer 41 normen (horizontaal en productspecifiek). Na het ontwerpwijzigingsvoorstel van de Commissie van juli 2026 voor M/606, dat de termijnen voor 2026 met twee maanden heeft uitgesteld, worden de twee centrale horizontale normen (veilige ontwikkeling en kwetsbaarhedenbehandeling) nu tegen 31 oktober 2026 verwacht, de verticale productnormen tegen 31 december 2026 en de overige horizontale normen tegen 30 oktober 2027, vooruitlopend op de volledige toepassing in december 2027. Het volgen van een aangehaalde geharmoniseerde norm levert een vermoeden van conformiteit op. Bijlage I

Doorloop de conformiteitsbeoordelingsroute voor uw productklasse, stel de technische documentatie samen, stel de EU-conformiteitsverklaring op en onderteken deze, en breng vervolgens de CE-markering aan. Standaardproducten mogen een zelfbeoordeling uitvoeren; belangrijke en kritieke producten vereisen strengere routes. Art. 28 · 32

Begin met de CRA Fast Check om het toepassingsgebied en de klasse te bevestigen, volg de gids die voor uw rol is geschreven, en gebruik de compliancematrix om de essentiële eisen tot voltooiing te volgen.

De meldingsverplichtingen van Artikel 14 worden afdwingbaar. Vanaf die datum moeten fabrikanten actief misbruikte kwetsbaarheden en ernstige incidenten melden bij ENISA en het relevante CSIRT via het centrale meldingsplatform. Dit is de vroegste van de belangrijkste verplichtingen van de CRA die van kracht worden, ruim vóór de volledige toepassing op 11 december 2027. Zie de meldingsgids. Art. 14 · 71

Nee. Alleen actief misbruikte kwetsbaarheden en ernstige incidenten die de beveiliging van uw product aantasten, zijn meldingsplichtig op grond van Artikel 14. Kwetsbaarheden die u vindt en verhelpt voordat ze worden misbruikt, worden afgehandeld via uw gewone kwetsbaarhedenbeheersproces, niet via het meldingskanaal. De meldingsgids beschrijft de test en de termijnen. Art. 14

Via het centraal meldingsplatform van ENISA, dat sinds 11 september 2026 actief is op portal.cra-srp.enisa.europa.eu en uw melding doorgeeft aan ENISA en de relevante nationale CSIRT. U verstuurt binnen 24 uur nadat u kennis hebt genomen een vroegtijdige waarschuwing, binnen 72 uur een uitgebreidere melding en binnen 14 dagen nadat een corrigerende maatregel beschikbaar is gekomen een eindverslag voor een kwetsbaarheid, of binnen één maand na de melding van 72 uur voor een ernstig incident. Inloggen gebeurt via EU Login met meerfactorauthenticatie. Zie de stapsgewijze meldingsgids. Art. 14 · 16

Over het algemeen niet op zichzelf. In de Richtsnoeren van de Commissie wordt verduidelijkt dat software die op het apparaat van de gebruiker wordt uitgevoerd (een gedownloade app, een browserextensie, een lokaal geïnstalleerde client) een product met digitale elementen is, terwijl een webapplicatie die uitsluitend via een browser wordt gebruikt, of een website die louter informatie presenteert, dat niet is. Een dienst op afstand valt alleen onder de CRA wanneer het gaat om gegevensverwerking op afstand die noodzakelijk is om een product zijn functies te laten vervullen. Buiten de CRA vallen is niet hetzelfde als niet gereguleerd zijn: een uitsluitend webgebaseerde dienst kan nog steeds onder NIS2 vallen (voor middelgrote en grote aanbieders) en onder de GDPR. Art. 3 Zie de Overzicht van de richtsnoeren van de Commissie.

Het kan het antwoord veranderen, omdat de CRA producten reguleert en geen diensten. Dezelfde code die als installeerbare app is verpakt (waaronder een Capacitor-, Electron- of vergelijkbare build) wordt op het apparaat van de gebruiker uitgevoerd en is een product met digitale elementen, zodat de CRA van toepassing is. Wanneer de code uitsluitend als progressive web app in de browser wordt geleverd, is het een webdienst en valt deze als product over het algemeen buiten de CRA; de backend waarmee de app communiceert valt er alleen onder wanneer het gaat om gegevensverwerking op afstand die een product nodig heeft om zijn functies te vervullen. Twee kanttekeningen: een uitsluitend webgebaseerde dienst is niet ongereguleerd (NIS2 kan van toepassing zijn op middelgrote en grote aanbieders, en de GDPR op persoonsgegevens), en de grens tussen product en dienst kan vervagen, dus beschouw 'een PWA opleveren' als een architectuurbeslissing en niet als een gegarandeerde uitzondering. Art. 3 Zie de Overzicht van de richtsnoeren van de Commissie.

Alleen wanneer de update een ingrijpende wijziging: een wijziging die het cyberbeveiligingsrisico van het product verandert op een manier die uw risicobeoordeling nog niet omvatte. Gewone beveiligingsupdates zijn over het algemeen geen ingrijpende wijzigingen. Wanneer een update ingrijpend is, wordt het gewijzigde product beschouwd als opnieuw op de markt aangeboden en is een nieuwe conformiteitsbeoordeling vereist voor de betrokken onderdelen. Art. 3(30) De Richtsnoeren van de Commissie beschrijft de toets.