De CRA is een CE-onderwerp zoals elk ander, en wij kunnen u daarbij helpen

Cybersecurity wordt een steeds belangrijker onderdeel van productontwikkeling. Met de Cyber Resilience Act (CRA) legt Europa nieuwe cybersecurityvereisten op aan producten met digitale elementen.

Sinds 11 september 2026 geldt al een meldingsplicht voor ernstige beveiligingsincidenten en vanaf 11 december 2027 wordt de volledige verordening van kracht.

Een vertrouwde aanpak

Dat klinkt misschien als een grote verandering, maar de aanpak is verrassend vertrouwd. Net als bij EMC, LVD, RED of machineveiligheid volgt de CRA het bekende CE-traject: een risicoanalyse, toepassing van normen, een technisch dossier en een conformiteitsverklaring die u als fabrikant ondertekent.

U kent uw machine of apparaat, uw gebruikers en de toepassing ervan. Wij helpen bij de technische implementatie van cybersecurity in elektronica en embedded software. Samen vormen we de expertise die nodig is om aan de CRA te voldoen.

Nieuw is dat fabrikanten ook na de marktintroductie verantwoordelijk blijven voor het opvolgen van kwetsbaarheden en het aanbieden van beveiligingsupdates gedurende de verwachte levensduur van het product, met een minimum van vijf jaar.

Wat vraagt de CRA?

De CRA steunt op drie basisprincipes:

• Beveiliging vanaf het ontwerp (security by design):  van elektronica en firmware tot app en cloudomgeving;
• Kwetsbaarheden opvolgen en beveiligingsupdates voorzien voor de volledige levenscyclus;
• Actief misbruikte kwetsbaarheden en ernstige incidenten melden binnen de 24 uur.

Vrijwel elk product met een dataverbinding, bedraad of draadloos, valt binnen het toepassingsgebied van de CRA. Voor de meeste producten kan de fabrikant zelf de conformiteitsbeoordeling uitvoeren, vergelijkbaar met EMC- of LVD-conformiteit.

Belangrijke data

• 1 augustus 2025: RED-cybersecurityvereisten (EN 18031) van toepassing op radioproducten.
• 11 september 2026: meldingsplicht voor ernstige incidenten onder de CRA, ook voor producten die al op de markt zijn
• 20 januari 2027: nieuwe Machineverordening vervangt de Machinerichtlijn.
• 11 december 2027: volledige CRA wordt van kracht.

Een zinvolle eerste stap is het opzetten van een eenvoudig proces voor het behandelen van kwetsbaarheden: wie ontvangt meldingen, wie beslist over de aanpak en wie verzorgt de rapportering? Onze CRA-whitepaper bevat een praktische basisaanpak die hiervoor als vertrekpunt kan dienen.

Overlap tussen Machineverordening en CRA

Voor machinebouwers is het goed om weten dat ook de nieuwe Machineverordening cybersecurityvereisten bevat waarbij de focus ligt op: bescherming van veiligheidsgerelateerde software, registratie van wijzigingen en interventies en daarnaast de zichtbaarheid van de softwareversie voor de gebruiker. De geharmoniseerde norm prEN 50742 is momenteel nog in ontwikkeling.

Omdat er veel overlap bestaat met de CRA, kunnen beide trajecten vaak gezamenlijk worden aangepakt.

Bestaande producten verdienen aandacht

Let op: De CRA geldt ook voor bestaande producten die na december 2027 nog op de markt worden gebracht, ook wanneer het ontwerp al lang jarenlang deel uitmaakt van uw productgamma. Daarom is een risicoanalyse van het huidige product vaak de ideale eerste stap.

Soms blijkt een product al goed voorbereid. In andere gevallen zijn bijkomende maatregelen nodig. Het toevoegen van cybersecurity aan een bestaand ontwerp mag niet onderschat worden. Mogelijke uitdagingen zijn:

• hardware die geen secure boot ondersteunt;
• onvoldoende veilige opslagmogelijkheden;
• te weinig geheugen voor ondertekende software-updates;
• het ontbreken van een update-mechanisme.

Hoe vroeger u inzicht krijgt in uw situatie, hoe meer mogelijkheden u behoudt.

Uw rol en onze rol in het geheel

• U blijft als fabrikant verantwoordelijk voor het beoogde gebruik, de gebruikers en de gebruikersomgeving, en bovendien voor de risicoanalyse, het technisch dossier en de conformiteitsverklaring.
   
• Wij ondersteunen u bij de technische implementatie met onder meer:
  • Een veilige hardware- en softwarearchitectuur afgestemd op uw beveiligingsbehoeften.
  • Securityfuncties zoals secure boot, ondertekende updates, encryptie en toegangsbeheer.
  • Technische input voor uw risicoanalyse, inclusief een dreigingsmodel van het toestel.
  • Een SBOM (Software Bill of Materials), testklare softwareversies en ondersteuning tijdens onafhankelijke testen.
  • Beveiligingsupdates na productlancering.

Financiering voor kmo's

Voor kmo's is financiële ondersteuning beschikbaar. Het Europese project SECURE lanceerde op 1 oktober 2026 een tweede oproep met een budget van 11,5 miljoen euro voor micro-, kleine en middelgrote ondernemingen die ondersteuning nodig hebben bij de implementatie van de CRA.

Aanvragen kunnen worden ingediend tot 11 december 2026. Het is zeker de moeite waard om na te gaan of uw onderneming en project hiervoor in aanmerking komen.

Begin op tijd

Zoals bij elk CE-traject werkt ook de CRA het best wanneer u zelf de regie in handen neemt. Bedrijven die vroeg starten, bereiken hun doel doorgaans sneller en behouden de meeste keuzemogelijkheden.

Een goede eerste stap is om per productfamilie rond de tafel te gaan zitten met de juiste experten: uw eigen team, compliance-specialisten en onze engineers. Samen brengen we het product in kaart, bekijken we welke regelgeving van toepassing is en identificeren we de openstaande aandachtspunten. Zo beschikt u snel over een duidelijk actieplan én weet u precies waar wij u kunnen ondersteunen. 

>>> Bel ons cybersecurity team op +32 3 620 18 18 of stuur ons een e-mail.

Bijkomende informatie:

• In onze whitepaper "The rules are changing – 'REDy' or not?" (mei 2025) gingen we dieper in op cybersecurity voor radioproducten onder de REDrichtlijn. Download via onderstaande button.
• In de whitepaper "CRA: Software compliance on the rise, first steps toward 2027" (april 2026) blikten we vooruit op de Cyber Resilience Act. Download via onderstaande button.