Wat is de CRA?
De Cyber Resilience Act (CRA) is een Europese verordening die de digitale veiligheid van producten met digitale elementen (PDE) wil verbeteren. Deze wet stelt eisen aan de cyberbeveiliging gedurende de gehele levenscyclus van een product, van ontwerp tot en met end-of-life.
De CRA is onderdeel van de bredere Europese digitale strategie en heeft als doel om de digitale interne markt te versterken en de weerbaarheid tegen cyberdreigingen te verhogen. In tegenstelling tot de richtlijn NIS2, waar de lidstaten hun eigen landelijke wetgeving dienen op te stellen, is de CRA een Europa brede wet. Deze wet is te vinden op de EUR-Lex website.
Waarom is CRA belangrijk?
Cyberaanvallen worden steeds geavanceerder en richten zich steeds vaker op digitale producten die een cruciale rol spelen in onze economie en samenleving. Denk aan industriële systemen, medische apparaten en verbonden consumentenelektronica.
De CRA is belangrijk omdat het:
- Minimale eisen stelt aan cybersecurity in de ontwerpfase
- Transparantie geeft over bekende kwetsbaarheden
- Fabrikanten verantwoordelijk maakt voor het leveren van securityupdates
- De veiligheid van consumenten en organisaties verhoogt
Voor bedrijven betekent dit dat ze hun productontwikkelingsprocessen, risicoanalyses en softwarebeveiliging serieus moeten aanpakken.
Wat valt er onder CRA?
De CRA is van toepassing op bijna alle producten met digitale elementen die op de Europese markt worden aangeboden, van slimme koelkast, tot een SCADA pakket. Denk hierbij aan:
- Besturingssystemen
- Softwaretoepassingen
- Industriële switches, firewalls en en IoT-apparatuur
- Hardware met embedded software zoals PLC’s
De wet maakt onderscheid tussen standaardproducten, belangrijke producten van klasse I en II, en kritieke producten, waarvoor aanvullende eisen aan de conformiteitsbeoordeling gelden.
Bovendien geldt de CRA niet alleen voor fabrikanten in de EU, maar ook voor leveranciers buiten Europa die producten leveren aan Europese afnemers. De conformiteit wordt namelijk geborgd in de CE markering. Zonder conformiteit, geen CE markering, zonder CE markering geen toegang tot de Europese markt.
De belangrijkste onderdelen van de CRA
De CRA introduceert een reeks verplichtingen die fabrikanten, importeurs en distributeurs moeten naleven. De kernpunten zijn:
- Veilig ontwerp en ontwikkeling
Fabrikanten moeten aantonen dat cybersecurityprincipes vanaf het begin zijn meegenomen (security by design). - Kwetsbaarhedenbeheer
Er moet een beleid zijn voor het identificeren, beoordelen en verhelpen van kwetsbaarheden. Bij actief misbruikte kwetsbaarheden en ernstige beveiligingsincidenten geldt een vroege waarschuwing binnen 24 uur na kennisneming en een melding binnen 72 uur. De melding wordt via het CRA Single Reporting Platform aan het bevoegde CSIRT en ENISA gedaan. - Documentatie en technische dossiers
Leveranciers moeten uitgebreide technische documentatie bijhouden, inclusief risicobeoordelingen en beveiligingsmaatregelen. - Conformiteitsbeoordeling
Producten moeten vooraf worden getoetst aan de gestelde eisen. Voor belangrijke producten van klasse II en kritieke producten is in beginsel beoordeling door een onafhankelijke instantie of een toepasselijk Europees cyberbeveiligingscertificaat nodig. Voor belangrijke producten van klasse I is self-assessment alleen onder voorwaarden mogelijk. Voor standaardproducten is self-assessment mogelijk. - Verantwoordelijkheid tijdens de levenscyclus
De fabrikant moet gedurende de vastgestelde ondersteuningsperiode kwetsbaarheden afhandelen en beveiligingsupdates leveren. Deze periode houdt rekening met de verwachte gebruiksduur en wordt bij aankoop duidelijk vermeld. Het is dus belangrijk om de ondersteuningsperiode zorgvuldig vast te stellen.
Wat is de status van de CRA?
De CRA is in 2024 goedgekeurd door het Europees Parlement. De belangrijkste verplichtingen zijn van toepassing vanaf 11 december 2027.
Belangrijke data:
- Publicatie in EU-publicatieblad: 20 november 2024
- Inwerkingtreding: 10 december 2024
- Meldplicht van kwetsbaarheden en security incidenten: 11 september 2026
- Volledige naleving verplicht: 11 december 2027
Bedrijven krijgen dus enkele jaren de tijd om hun processen, producten en documentatie in lijn te brengen met de CRA. In de praktijk blijkt dat veel bedrijven een afwachtende houding aannemen. Het is belangrijk om tijdig te beginnen omdat er zowel processen zoals ontwikkeltrajecten evenals technische maatregelen genomen moeten worden. Deze trajecten kunnen intensief zijn en zo een jaar in beslag nemen.
Hoe helpt Jevax bij CRA-compliance?
Jevax helpt organisaties die producten met digitale elementen ontwikkelen of leveren aan de Europese markt om te voldoen aan de Cyber Resilience Act.
Een belangrijk onderdeel van onze aanpak is training en kennisoverdracht over bestaande normen die de basis kunnen vormen voor compliance. Wij gebruiken hier de IEC 62443 voor, een internationale norm voor cybersecurity in industriële automatisering en operationele technologie.
In de IEC 62443 trainingen legt onze training uit:
- Wat de belangrijkste kenmerken van de CRA zijn
- Wat de IEC 62443-standaard inhoudt
- Hoe deze norm aansluit bij de eisen van de CRA
- Hoe je systematisch risicoanalyses en technische maatregelen toepast
Met deze kennis ben je beter voorbereid om je productontwikkeling, supply chain en documentatie in lijn te brengen met de Europese wet- en regelgeving zoals de CRA en de NIS2.