Op 11 september 2026 heeft het EU-agentschap voor cyberbeveiliging ENISA het eerste deel van het Single Reporting Platform in gebruik genomen, het centrale meldpunt van de Cyber Resilience Act (CRA). Via dat platform kunnen fabrikanten van producten met digitale elementen, en later ook stewards van open-sourcesoftware, aan hun meldverplichtingen voldoen met één melding. Volgens ENISA gaat het om actief misbruikte kwetsbaarheden en ernstige incidenten die de beveiliging van een product raken. De verplichting voor fabrikanten geldt vanaf dezelfde datum, 11 september 2026. De overige kernvereisten van de verordening volgen op 11 december 2027. Wie nu denkt dat de CRA een zaak is van producenten in Duitsland, Zuid-Korea of Californië, vergist zich: de verordening landt ook bij elke organisatie die producten met software of een netwerkverbinding inkoopt. Dat zijn praktisch alle organisaties.
Dit artikel is geen handleiding. Het legt uit wat de CRA voor een afnemer verandert, welke vragen een bestuur daarbij hoort te stellen en waar de meeste organisaties in de praktijk de mist ingaan. Het hoe laten we bewust buiten beschouwing: dat is maatwerk, afhankelijk van uw organisatie, uw leveranciers en uw risicobereidheid.
Waarom de CRA een inkoopvraagstuk is
De meeste bestuurders kennen de Cyberbeveiligingswet (Cbw) als wet die hun eigen organisatie iets oplegt: zorgplicht, risicomanagement, melden van incidenten. De CRA werkt anders. Zij richt zich op de producten zelf: apparaten, besturingssystemen, applicaties, firmware, componenten. Ze legt de verantwoordelijkheid voor de beveiliging van het product bij de fabrikant, gedurende de hele levensduur ervan. Voor een afnemer maakt dat de keten overzichtelijker en tegelijk kwetsbaarder, want het kader wijst een plek aan waar eerder niets was afgesproken.
Denk aan een gemiddelde organisatie. Er staan firewalls, e-mailgateways, camera’s, printers, bouwbesturing, laptops en tientallen bedrijfstoepassingen. Elk daarvan heeft een fabrikant, en veel daarvan zijn samengesteld uit onderdelen van weer andere partijen. Tot nu toe was de beveiliging van zo’n product vooral een kwestie van vertrouwen en van de eisen die de afnemer zelf in een contract kreeg opgenomen, als dat al gebeurde. De CRA geeft de afnemer er een wettelijk vangnet bij: de fabrikant hoort aantoonbaar zorg te dragen voor de beveiliging van wat hij op de Europese markt brengt, en moet kwetsbaarheden die hij ontdekt behandelen en, als ze actief worden misbruikt, melden.
Dat betekent niet dat de afnemer van zijn eigen verantwoordelijkheid af is. Onder de Cbw blijft het bestuur verantwoordelijk voor de beheersing van risico’s in de toeleveringsketen, ook als een product aan de wettelijke eisen van de CRA voldoet. Het Cyberbeveiligingsbesluit (Cbb) vraagt bovendien om beleid voor de toeleveringsketen en om toetsing van directe leveranciers. De CRA verschuift dus niet de eindverantwoordelijkheid, maar verandert wat u redelijkerwijs van een leverancier mag verwachten en daarmee wat u kunt verwijten aan uzelf als u dat niet had geregeld.
Een eerste onderscheid dat in de praktijk vaak wordt gemist: de CRA gaat over producten, niet over diensten. Een clouddienst die u als abonnement afneemt valt in de regel buiten de kern van de verordening, tenzij het gaat om externe gegevensverwerking die bij het product hoort. Veel organisaties nemen hun technologie steeds vaker af als dienst, en voor die diensten gelden andere kaders, waaronder de Cbw zelf voor de leverancier als die onder de wet valt. Een bestuur dat ‘we zijn gedekt door de CRA’ zegt over een dienstverlener, heeft het kader dus niet goed begrepen. Het is belangrijk om per leverancier te weten welk wettelijk regime van toepassing is, en daarmee welke eisen u redelijkerwijs kunt stellen.
Wat de verordening van een fabrikant verwacht, en wat niet
Voor bestuurders is het zinvol te begrijpen welke soorten verplichtingen de CRA aan fabrikanten oplegt, zonder alle artikelen te kennen. In grote lijnen vraagt de verordening dat een product veilig ontworpen en ontwikkeld wordt, dat kwetsbaarheden gedurende een vastgelegde ondersteuningsperiode worden behandeld en dat beveiligingsupdates beschikbaar komen. De wettekst koppelt die ondersteuning aan de gedachte dat een fabrikant verantwoordelijk blijft voor wat hij verkoopt, ook nadat de verkoop is afgerond. Daarbij hoort ook de meldplicht die ENISA nu operationeel maakt: wie weet dat een kwetsbaarheid in zijn product actief wordt misbruikt, moet dat doorgeven.
Wat de verordening uitdrukkelijk meeneemt, is het feit dat producten bestaan uit onderdelen van derden. In de overwegingen stelt de verordening dat een fabrikant die gekochte componenten verwerkt, zorgvuldig moet zijn, waarbij de mate van zorgvuldigheid afhangt van het risico van het onderdeel. Voor de afnemer is dit een belangrijk gegeven: de ketenvraag die u aan uw directe leverancier stelt, wordt door de wet doorgezet naar zijn eigen leveranciers. U krijgt er geen contractuele relatie mee met die partijen, maar u krijgt wel een argument. Een leverancier die zegt dat hij ‘niet weet wat er in zijn product zit’, beschrijft een tekortkoming ten opzichte van wat de wetgever van hem verlangt, niet een onvermijdelijke werkelijkheid.
Het is net zo belangrijk te weten wat de CRA niet doet. Ze verklaart geen product ‘veilig’. Een product dat voldoet aan de verordening heeft aan minimale eisen voldaan, niet aan úw eisen. Voor een organisatie die systemen betrekt voor kritieke processen, een kritieke entiteit onder de Wet weerbaarheid kritieke entiteiten (Wwke) bijvoorbeeld, of een overheidsorganisatie die gebonden is aan BIO2, kan de benodigde zekerheid hoger zijn dan wat de verordening als ondergrens stelt. Voor producten die in rijksopdrachten worden geleverd, spelen daarnaast de kaders ABRO en VIR-BI en de voorwaarden van ARBIT een eigen rol. De CRA is daarmee een basis onder de inkoop, geen vervanging van de eisen die u zelf stelt.
Een tweede beperking is dat de CRA niet beschermt tegen ieder leveranciersrisico. Ze gaat over de beveiliging van het product, maar niet over het bedrijf erachter: de financiële gezondheid, de eigendomsstructuur, de afhankelijkheid van één land of één onderaannemer. De Rijksbrede Risicoanalyse 2026, die de NCTV op 16 oktober publiceerde, noemt economische, technologische en politieke afhankelijkheden uitdrukkelijk als mogelijke drukmiddelen. Dat is een ander soort risico dan de CRA dekt. Een product dat netjes aan alle productregels voldoet, kan nog steeds afkomstig zijn van een leverancier wiens situatie voor uw organisatie een probleem vormt. Wie de CRA gebruikt als vervanging van een eigen leveranciersbeoordeling, bouwt zijn zekerheid op de verkeerde laag.
Classificatie: niet elk product weegt even zwaar
De CRA kent zelf een indeling van producten naar risico. Het grootste deel van de producten valt in de standaardcategorie. Daarnaast onderscheidt de verordening ‘belangrijke’ producten, verdeeld in twee klassen, en ‘kritieke’ producten. Volgens de overwegingen ligt de lat voor belangrijke producten van klasse II hoger dan voor klasse I, omdat een incident met zulke producten grotere negatieve gevolgen kan hebben, en kunnen voor kritieke producten Europese certificeringsschema’s verplicht worden gesteld. Welk product in welke categorie valt, staat in de bijlagen bij de verordening; die tekst heb ik voor dit artikel niet integraal gelezen, dus raadpleeg daarvoor de wettekst zelf.
Deze indeling is bruikbaar als gedachte, maar mag niet verward worden met de classificatie die een afnemer zelf nodig heeft. Een leverancier of product kan voor uw organisatie veel zwaarder wegen dan de wettelijke categorie suggereert. Een eenvoudig apparaat dat in een kritiek proces zit, zoals een besturing in een installatie die uw continuïteit bepaalt, kan in de wet ‘gewoon’ zijn en voor u toch essentieel. Omgekeerd kan een formeel ‘belangrijk’ product dat u alleen in een testomgeving gebruikt, weinig risico voor uw organisatie betekenen. De eigen classificatie van producten en leveranciers vertrekt dus vanuit het belang dat ze voor uw bedrijfsvoering hebben, niet vanuit het etiket van de fabrikant of de wetgever.
Wat de CRA hier toevoegt, is een extra feit in de beoordeling: heeft de fabrikant te maken met de wettelijke verplichtingen, gaat hij daar aantoonbaar mee om, en hoe gedraagt hij zich als er iets misgaat? Dat laatste is een belangrijke indicator. Een leverancier die tijdig en duidelijk communiceert over kwetsbaarheden in zijn producten, laat zien dat zijn eigen processen werken. Een leverancier die dat niet doet, geeft u iets om op te sturen. Maar weeg het gebruik van zo’n indicator zorgvuldig: de eerste maanden van de meldplicht zullen veel onzekerheid geven over wat een volwassen aanpak is, en een enkele melding zegt niets over het geheel.
Inkoopeisen: de gesprekken die moeten plaatsvinden
Zonder in te gaan op clausules of formuleringen, is het belangrijk te weten over welke onderwerpen een afnemer met een leverancier van producten met digitale elementen afspraken hoort te hebben. Dat zijn er in de kern vier. Het eerste is de ondersteuningsperiode: hoe lang levert de fabrikant beveiligingsupdates, en weet u dat vooraf? Een product dat u voor tien jaar koopt maar waarvoor de fabrikant maar enkele jaren updates levert, creëert na afloop een risico dat niemand heeft ingecalculeerd. De CRA koppelt updates aan een ondersteuningsperiode, maar de periode die voor uw gebruik passend is, is een keuze die u zelf moet maken en vastleggen.
Het tweede onderwerp is transparantie over de samenstelling van het product. Wat zit erin, van wie komt het, en hoe worden de onderdelen bijgehouden? Dit raakt de zorgvuldigheidsplicht voor componenten van derden waar de overwegingen over spreken. Zonder dat inzicht kunt u bij een kwetsbaarheid in een veelgebruikt onderdeel niet bepalen of u geraakt wordt.
Het derde onderwerp is de manier van communiceren over kwetsbaarheden: aan wie meldt de leverancier wat, en op welk moment, richting u? De meldplicht richting het Single Reporting Platform en de CSIRT’s is een publieke route; een eigen afspraak met de leverancier over informatie aan afnemers is iets anders en vult de wet aan. Zonder zo’n afspraak hoort u het mogelijk uit de media.
Het vierde onderwerp is de afloop: wat gebeurt er als de leverancier stopt, wordt overgenomen of de ondersteuning intrekt? Voor producten in processen die u niet eenvoudig kunt vervangen, is dit de vraag die achteraf het duurst blijkt als ze niet gesteld is.
Merk op dat dit onderwerpen zijn en geen oplossingen. Hoe streng u elk onderwerp invult, hangt af van de classificatie van het product en de leverancier, van uw risicoappetijt en van de kaders die op u zelf van toepassing zijn. Een organisatie onder BIO2 of in een rijksopdracht stelt andere eisen dan een commercieel bedrijf. En een leverancier die voor het eerst met zulke vragen te maken krijgt, reageert vaak anders dan een leverancier die ze dagelijks beantwoordt. Het gesprek erover is dus minstens zo belangrijk als de papieren uitkomst.
Een praktijkbeeld zonder namen
Een middelgrote overheidsorganisatie schafte enkele jaren geleden een reeks netwerkapparaten aan via een raamovereenkomst. De inkoop was zorgvuldig: prijs, levertijd en service waren goed geregeld. Over beveiligingsupdates stond één zin in het contract, namelijk dat de leverancier ‘redelijke inspanningen’ zou leveren. Jaren later bleek de fabrikant een deel van de productlijn niet meer te ondersteunen. De apparaten werkten nog, ze stonden op de rand van het netwerk en niemand wist precies wie voor de vervanging verantwoordelijk was: de inkoper die de overeenkomst had gesloten, de beheerder die ze bediende of de proceseigenaar die ervan afhankelijk was. Er was geen register, de einddatum van de ondersteuning stond nergens vermeld, en het bestuur hoorde van het probleem toen een toezichthouder erom vroeg.
Dit voorbeeld is een samenstelling van patronen die we vaak zien, geen verslag van één organisatie. Het laat zien dat het probleem zelden de techniek is. Het probleem is dat geen eigenaar had besloten hoe lang het product met welk risico mocht blijven staan. De CRA maakt dit soort situaties niet onmogelijk, maar maakt wel duidelijker wat een fabrikant moet leveren en vergroot daarmee de verwachting dat de afnemer er aantoonbaar naar gevraagd heeft.
Veelgemaakte denkfouten
In gesprekken met bestuurders en CISO’s komen telkens dezelfde misverstanden terug. De eerste is dat ‘CE-markering’ en ‘veilig’ hetzelfde zijn. De CRA brengt de beveiliging van producten onder het bestaande stelsel van Europese productregels, maar het blijft een minimumniveau. Wie voor een kritiek proces een product koopt omdat het aan de regels voldoet, heeft nog geen risicoanalyse gedaan.
De tweede denkfout is dat de verantwoordelijkheid verdwijnt zodra de wet een ander aanwijst. Bij de Cyberbeveiligingswet is dat zichtbaar: ook als de wet de fabrikant verplicht tot zorg, blijft de gebruikende organisatie zorgplichtig voor haar eigen netwerk- en informatiesystemen. Het ‘dat is toch de verantwoordelijkheid van de leverancier’ is een stelling die een toezichthouder in de praktijk niet zal accepteren als de organisatie niets had vastgelegd.
De derde denkfout is het idee dat meer papier meer zekerheid betekent. Een leverancier die veel certificaten of verklaringen aanlevert, is niet automatisch een betere keuze. Voor een afnemer telt of de verklaring betrekking heeft op het product dat hij gebruikt, of de reikwijdte past bij het gebruik en of iemand intern de uitkomst heeft beoordeeld. Een map met verklaringen die niemand gelezen heeft, is een schijnzekerheid.
De vierde is dat het onderwerp bij inkoop thuishoort en niet bij het bestuur. Inkopers beheersen het contract, maar de afweging hoeveel risico acceptabel is, is een bestuurlijke keuze. Inkoop kan een vraag stellen aan een leverancier; alleen het bestuur kan besluiten dat een product met een verlopen ondersteuning niet langer mag worden gebruikt en dat er budget moet komen voor vervanging. Zonder die koppeling blijven de afspraken mooi op papier en gebeurt er in de praktijk niets.
De vijfde, en misschien wel de hardnekkigste, is dat de keten een zaak is van de leveranciers waar u een contract mee hebt. Ketenrisico’s zitten vaak bij partijen die u nooit hebt ontmoet: een onderdeel in een apparaat, een softwarebibliotheek, een onderaannemer van uw dienstverlener. De CRA wijst op de zorgvuldigheid die een fabrikant moet betrachten bij zulke onderdelen, en dat is een nuttige aanzet. Maar de afnemer moet zelf bepalen hoeveel inzicht hij nodig heeft, en bij welke producten hij daar hard om moet vragen.
Wat dit betekent voor het bestuur
Voor een bestuur levert de CRA vier concrete vragen op die in het eigen kader thuishoren. Wie is bij ons verantwoordelijk voor het overzicht van producten met digitale elementen en hun fabrikanten, en is dat overzicht actueel genoeg om op te sturen? Welke producten zijn voor onze continuïteit zo belangrijk dat we de ondersteuning, de samenstelling en de communicatie over kwetsbaarheden zelf actief controleren? Welke risico’s accepteren we bewust, bijvoorbeeld door een product langer te gebruiken dan de fabrikant ondersteunt, en wie heeft dat besluit genomen? En hoe komt een melding van een leverancier of van het NCSC binnen bij degene die er iets mee kan, en wie bepaalt of er een melding onder de Cyberbeveiligingswet nodig is?
Dat zijn geen technische vragen. Ze gaan over eigenaarschap, besluitvorming en verantwoording, en over de vraag of de organisatie kan laten zien dat ze vooraf heeft nagedacht. De Rijksbrede Risicoanalyse 2026 sluit hierop aan met de oproep om risicovolle afhankelijkheden kleiner te maken en strategische keuzes niet uit te stellen. Voor een organisatie vertaalt dat zich naar iets heel gewoons: weten waar u afhankelijk van bent, besluiten wat u daarmee doet, en dat kunnen onderbouwen.
Tot slot
Het kost tijd om dit goed in te richten, en dat is lastiger dan het klinkt: de wetten overlappen, de leveranciers verschillen sterk en de eisen aan uw eigen organisatie wijzigen met uw sector. Tech Compliance ondersteunt organisaties bij het beheersen van leveranciers- en ketenrisico’s, als Supply chain risk-dienst: wij helpen u de juiste afwegingen te maken tussen wat de wet van leveranciers vraagt, wat uw eigen kaders vragen en wat uw bestuur kan verantwoorden. Hulp van buiten is verstandig omdat deze afwegingen veel ervaring vragen met zowel de wettelijke kaders als de praktijk van leveranciersgesprekken, en omdat een onafhankelijke blik helpt om ook de lastige keuzes niet uit te stellen. Meer over deze dienst staat op https://techcompliance.nl/expertises/#secure-supply-chain.
Wat betekent dit? Als bestuurder of CISO hoeft u de CRA niet te kunnen citeren, maar u moet wel weten dat ze bestaat, dat de meldplicht voor fabrikanten sinds 11 september 2026 loopt en dat de overige eisen op 11 december 2027 volgen. Lees het volledige bericht bij ENISA: https://www.enisa.europa.eu/news/the-cra-single-reporting-platform-is-launched