Kennisbank

Digitale veiligheid wordt steeds belangrijker voor ondernemers. Maar wat als je software ontwikkelt, digitale producten verkoopt of apparaten importeert? Dan krijg je mogelijk te maken met nieuwe Europese regels voor cyberveiligheid. De Cyber Resilience Act (CRA) stelt eisen aan de digitale veiligheid van producten met digitale elementen.

 

De regels worden vanaf 2027 grotendeels van toepassing. Een deel van de verplichtingen geldt al sinds september 2026. In dit artikel lees je wat de Cyber Resilience Act inhoudt, voor welke ondernemers de regels relevant zijn en hoe je je kunt voorbereiden.

 

Wat is de Cyber Resilience Act?

De Cyber Resilience Act is een Europese verordening die digitale producten beter moet beschermen tegen cyberaanvallen. Het doel is om producten veiliger te maken en gebruikers beter te beschermen tegen digitale risico’s. 

 

De wet richt zich op producten met digitale elementen die direct of indirect verbinding kunnen maken met een apparaat of netwerk. Denk bijvoorbeeld aan slimme apparaten, bepaalde softwareproducten en apparaten die via internet communiceren.

 

Fabrikanten moeten rekening houden met digitale veiligheid tijdens de ontwikkeling van hun producten. Ook moeten zij kwetsbaarheden aanpakken en gedurende de ondersteuningsperiode beveiligingsupdates beschikbaar stellen.

 

Meer informatie vind je op Ondernemersplein: veilige digitale producten verplicht.

 

Voor welke ondernemers geldt de Cyber Resilience Act?

De Cyber Resilience Act is vooral relevant voor ondernemers die digitale producten ontwikkelen, op de markt brengen of verkopen. De verplichtingen verschillen per rol en type product.

 

De regels kunnen onder andere gelden voor:

• Softwareontwikkelaars: ondernemers die softwareproducten aanbieden die onder de verordening vallen.
• Fabrikanten: bedrijven die apparaten of andere producten met digitale elementen ontwikkelen of produceren.
• Importeurs: ondernemers die dergelijke producten vanuit landen buiten de Europese Unie op de Europese markt brengen.
• Distributeurs: bedrijven die deze producten verder verkopen.

 

Verkoop je bijvoorbeeld slimme apparaten met een internetverbinding? Of ontwikkel je software die als product op de markt wordt gebracht? Dan is het verstandig om te controleren of jouw activiteiten onder de verordening vallen.

 

Niet iedere ondernemer die digitaal werkt, krijgt automatisch met deze wet te maken. Gebruik je bijvoorbeeld alleen een laptop, boekhoudprogramma of online agenda voor je eigen werkzaamheden? Dan val je daardoor niet automatisch onder de product verplichtingen van de CRA.

 

Wat verandert er door de nieuwe regels?

De Cyber Resilience Act introduceert verschillende verplichtingen om digitale producten veiliger te maken.

 

• Veiligheid meenemen in de productontwikkeling

Fabrikanten moeten bij het ontwerpen en ontwikkelen van producten rekening houden met cyberveiligheid. Daarbij moeten zij de digitale risico’s beoordelen en passende beveiligingsmaatregelen treffen.

 

• Kwetsbaarheden aanpakken

Wanneer er beveiligingsproblemen worden ontdekt, moeten fabrikanten deze volgens de toepasselijke verplichtingen aanpakken. Ook moeten zij rekening houden met de ondersteuningsperiode van het product.

 

• Beveiligingsupdates beschikbaar stellen

Voor producten die onder de regels vallen, moeten fabrikanten passende beveiligingsupdates beschikbaar stellen. Zo kunnen bekende kwetsbaarheden worden verholpen en blijven producten beter beschermd.

 

• Informatie over digitale veiligheid verstrekken

Gebruikers moeten informatie krijgen over de veiligheid en het veilige gebruik van het product. Fabrikanten moeten bovendien kunnen aantonen dat hun producten aan de toepasselijke eisen voldoen.

 

• Controleren of producten aan de eisen voldoen

Ook importeurs en distributeurs hebben verplichtingen. Zij moeten onder meer controleren of producten aan de toepasselijke eisen voldoen voordat zij deze op de markt brengen of aanbieden.

 

De CRA stelt daarnaast eisen aan de conformiteitsbeoordeling en CE-markering van producten. Welke procedure nodig is, hangt af van het product en de geldende regels.

 

Wanneer gaan de regels in?

De Cyber Resilience Act is op Europees niveau goedgekeurd. De verplichtingen worden op verschillende momenten van toepassing.

• 11 september 2026: de meldplicht voor fabrikanten bij actief misbruikte kwetsbaarheden en ernstige beveiligingsincidenten is ingegaan.
• 11 december 2027: de meeste overige verplichtingen van de verordening worden van toepassing.

 

Voor fabrikanten kan de meldplicht betekenen dat zij snel moeten handelen wanneer een beveiligingsprobleem wordt ontdekt dat onder de meldregels valt. De Europese regels schrijven hiervoor verschillende meldingstermijnen voor. 

 

Ondernemers die onder de CRA vallen, doen er daarom verstandig aan om niet tot december 2027 te wachten met de voorbereidingen.

 

Hoe bereid je je voor op de Cyber Resilience Act?

Weet je niet zeker of jouw producten onder de Cyber Resilience Act vallen? Begin dan met het in kaart brengen van je producten en activiteiten.

 

Met de volgende stappen kun je alvast aan de slag:

• Breng je producten in kaart

Bekijk welke softwareproducten, apparaten of andere digitale producten je ontwikkelt, importeert of verkoopt. Controleer of deze onder de verordening vallen.

 

• Bepaal jouw rol

Ben je fabrikant, importeur of distributeur? Jouw rol bepaalt mede welke verplichtingen voor jou gelden.

 

• Controleer de digitale beveiliging

Onderzoek welke beveiligingsmaatregelen al zijn getroffen. Kijk bijvoorbeeld naar het omgaan met kwetsbaarheden, beveiligingsupdates en de informatie die je aan gebruikers verstrekt.

 

• Maak afspraken met leveranciers

Verkoop je producten van andere fabrikanten? Bespreek dan hoe zij omgaan met beveiligingsproblemen, updates en informatie over productveiligheid.

 

• Houd de officiële informatie bij

De precieze verplichtingen hangen af van het product en jouw rol. Raadpleeg daarom de actuele informatie van de overheid en de bevoegde toezichthouder.

 

Subsidie voor cyberveiligheid: Mijn Cyberweerbare Zaak

Naast wettelijke verplichtingen is het verstandig om ook de digitale veiligheid van je eigen onderneming op orde te brengen. Denk aan het beveiligen van je bedrijfsnetwerk, het gebruik van sterke wachtwoorden en het maken van goede back-ups.

 

Voor zzp’ers en kleine bedrijven is er mogelijk financiële ondersteuning via de subsidie Mijn Cyberweerbare Zaak (MCZ) van de Rijksdienst voor Ondernemend Nederland (RVO). Met deze regeling kun je subsidie krijgen voor bepaalde producten en diensten die de cyberveiligheid van je interne bedrijfssystemen verbeteren.

 

Wil je weten hoe de subsidie werkt en hoe je deze kunt aanvragen? Lees er meer over in ons artikel.

 

 

Waar vind je meer informatie?

Wil je weten welke verplichtingen voor jouw onderneming gelden? Raadpleeg dan de officiële informatiebronnen:

 

• Ondernemersplein – Veilige digitale producten verplicht
• Europese Commissie – Cyber Resilience Act
• Europese Commissie – rapportageverplichtingen
• RVO – Mijn Cyberweerbare Zaak

 

Ga op tijd aan de slag met digitale veiligheid?

De Cyber Resilience Act brengt nieuwe verplichtingen met zich mee voor ondernemers die digitale producten ontwikkelen, importeren of verkopen. Door op tijd te onderzoeken welke regels voor jouw onderneming gelden, voorkom je dat je belangrijke voorbereidingen moet uitstellen.

 

Ook als de CRA niet rechtstreeks op jouw bedrijf van toepassing is, blijft digitale veiligheid belangrijk. Goede wachtwoorden, actuele software en betrouwbare back-ups helpen je om je onderneming beter te beschermen tegen cyberrisico’s.

 

StartersFound helpt je verder

Je hoeft het wiel niet zelf uit te vinden. Bij StartersFound vind je meer artikelen die je helpen bij geldzaken, klanten vinden, slimme tools gebruiken en vooral: grip krijgen op jouw ondernemersreis.