Cyber Resilience Act · Verordening (EU) 2024/2847
Cyber Resilience Act voor producten met digitale elementen.
De CRA stelt cyberbeveiligingseisen aan hardware- en softwareproducten die in de EU worden verkocht, over hun hele levenscyclus. Met Basenorm organiseer je de processen erachter, zoals het afhandelen van kwetsbaarheden en leveranciersbeveiliging, op je ISO 27001-ISMS.
Gehost in Nederland. Je data blijft in de EU.In het kort
- Soort
- EU-verordeningIn werking sinds 10 december 2024
- Geldt voor
- Producten met digitale elementenFabrikanten, importeurs en distributeurs
- Melden
- Vanaf 11 september 2026Actief misbruikte kwetsbaarheden en ernstige incidenten
- Hoofdverplichtingen
- Vanaf 11 december 2027Inclusief conformiteitsbeoordeling en CE-markering
01 / Wat de CRA vraagt
Wat de CRA
van je vraagt.
De CRA geldt voor het product en voor de processen van de fabrikant, gedurende de hele ondersteuningsperiode van het product.
- 1Security by design
Voldoe aan de essentiële cyberbeveiligingseisen uit bijlage I bij het ontwerpen en bouwen van het product.
- 2Afhandeling van kwetsbaarheden
Kwetsbaarheden opsporen en verhelpen, met een software bill of materials en gecoördineerde openbaarmaking.
- 3Beveiligingsupdates
Beveiligingsupdates leveren gedurende de ondersteuningsperiode van het product.
- 4Melden
Actief misbruikte kwetsbaarheden en ernstige incidenten melden, met een vroegtijdige waarschuwing binnen 24 uur.
- 5Conformiteitsbeoordeling
Conformiteit beoordelen en de CE-markering aanbrengen voordat je het product op de markt brengt.
- 6Technische documentatie
Vastleggen hoe het product aan de eisen voldoet.
Sommige producten volgen sectorspecifieke regels of een strengere conformiteitsbeoordeling.
02 / Met je ISMS
de CRA op wat je al hebt.
| Onderwerp | Je ISO 27001-ISMS | Wat de CRA toevoegt |
|---|---|---|
| Veilige ontwikkeling | Maatregelen voor een veilige ontwikkelcyclus | Essentiële cyberbeveiligingseisen per product |
| Kwetsbaarheden | Beheer van technische kwetsbaarheden | Een software bill of materials, gecoördineerde openbaarmaking en beveiligingsupdates |
| Melden | Incidentbeheer | Een vroegtijdige waarschuwing binnen 24 uur voor actief misbruikte kwetsbaarheden |
| Leveranciers | Maatregelen voor leveranciersrelaties | Zorgvuldigheid bij componenten van derden, inclusief open source |
ISO 27001 dekt je organisatie. De CRA voegt eisen per product toe, die je aantoont in de technische documentatie.
03 / Belangrijke data
VERORDENING (EU) 2024/2847De CRA
stap voor stap.
De CRA gaat in fases gelden, zodat fabrikanten tijd hebben om hun producten en processen aan te passen.
Lees meer over ISO 27001In werking. De verordening is in werking getreden.
Meldplicht. Het melden van actief misbruikte kwetsbaarheden en ernstige incidenten gaat gelden.
Volledig van toepassing. De overige verplichtingen, waaronder de conformiteitsbeoordeling, gaan gelden.
Bron: Verordening (EU) 2024/2847.
04 / In Basenorm
Hoe Basenorm je helpt.
Unified Control Library
Zie welke ISO 27001-maatregelen je CRA-processen ondersteunen.
02Governance Graph
Verbind producten, componenten, leveranciers, kwetsbaarheden en eigenaren.
03AskNorman
Vraag wat er nog openstaat voor de CRA, in Basenorm of via MCP vanuit ChatGPT, Claude of Perplexity. Je controleert zelf de onderbouwing.
05 / De vragen
Vragen over
de CRA.
Valt onze organisatie onder de CRA?
Als je hardware- of softwareproducten met digitale elementen op de EU-markt brengt, waarschijnlijk wel. Pure software as a service valt in de regel buiten de reikwijdte, tenzij het gaat om gegevensverwerking op afstand die een product nodig heeft om te werken.
Is ISO 27001 genoeg voor de CRA?
Niet op zichzelf. ISO 27001 dekt je organisatie, terwijl de CRA eisen per product stelt, zoals essentiële eisen, een software bill of materials en CE-markering.
Wat is een software bill of materials?
Een lijst van de componenten in een product. De CRA verplicht fabrikanten er een op te stellen als onderdeel van de technische documentatie.
Doet Basenorm de conformiteitsbeoordeling?
Nee. Basenorm helpt je processen, maatregelen en bewijs te organiseren. De conformiteitsbeoordeling doe je zelf of, voor bepaalde producten, een aangemelde instantie.
Plan een demo
Organiseer de CRA op je ISO 27001.
In een demo bekijken we je producten, je processen en wat de CRA toevoegt.
- Welke ISO 27001-maatregelen de CRA ondersteunen.
- Hoe je kwetsbaarheden en leveranciers organiseert.
- Hoe je bewijs per product bijhoudt.
Gehost in Nederland. Je data blijft in de EU.