Wat machinebouwers moeten regelen voor de CRA

Wat is de Cyber Resilience Act?

De Cyber Resilience Act (CRA), in het Nederlands de Verordening cyberweerbaarheid, introduceert cybersecurity-eisen voor alle producten met digitale elementen: hardware, software en losse componenten. Omdat het een Europese verordening is, geldt ze rechtstreeks en hoeft ze niet in Nederlandse wetgeving te worden omgezet.

De CRA is niet alleen bedoeld voor consumentenelektronica. De verordening omvat ook industriële systemen, machines en software.

Wat geldt er al: de meldplicht

Sinds 11 september 2026 moeten fabrikanten actief misbruikte kwetsbaarheden en ernstige incidenten melden. De eerste melding moet binnen 24 uur gebeuren, binnen 72 uur volgt een uitgebreider rapport en na afloop een eindrapport.

Twee punten zijn belangrijk om te weten:

• De meldplicht geldt ook voor producten die al op de markt zijn, niet alleen voor nieuwe producten.
• Melden gaat via één centraal platform, het beveiligde cybersecurityportaal van het Nationaal Cyber Security Centrum (NCSC).
• Producten die aan de technische beveiligingseisen voldoen en een CE-markering dragen;
• Een duidelijk vermelde ondersteuningsperiode, waarin de fabrikant beveiligingsupdates levert;
• Verplichtingen voor importeurs en distributeurs, niet alleen voor fabrikanten.

Dat betekent dat je nu al moet weten wie in je bedrijf zo'n melding doet, hoe je een kwetsbaarheid in je eigen product opmerkt en hoe je binnen een dag kunt handelen.

Wat komt er in december 2027?

Vanaf 11 december 2027 gelden de belangrijkste overige verplichtingen. Het gaat daarbij onder meer om:

Wie niet voldoet, riskeert boetes tot 15 miljoen euro of 2,5 procent van de wereldwijde jaaromzet, afhankelijk van welk bedrag hoger is.

Omdat beveiliging vanaf het ontwerp moet worden meegenomen, is december 2027 dichterbij dan het lijkt. Producten die nu in ontwikkeling zijn, komen waarschijnlijk na die datum op de markt. Dit raakt direct aan het thema engineering dat eerder dit jaar in deze kennisbank aan bod kwam.

Hulp bij de uitleg

De Europese Commissie heeft in de zomer van 2026 een praktische leidraad gepubliceerd die organisaties, en in het bijzonder het mkb, moet helpen de regels toe te passen. In het Nederlands is er de Gids Cyber Resilience Act van het Digital Trust Center, die per rol (fabrikant, importeur, distributeur) uitlegt welke verplichtingen gelden.

Wat kun je nu al doen?

De meldplicht geldt al, en de overige eisen komen eraan. Met deze vijf stappen leg je de basis voor beide.

1. Maak een overzicht van je producten

Breng in kaart welke producten software, firmware of een netwerkverbinding bevatten. Denk niet alleen aan je nieuwste machine, maar ook aan producten die al bij klanten staan: de meldplicht geldt ook voor producten die al op de markt zijn. Noteer per product welke versies in omloop zijn en of het product op afstand bereikbaar is, bijvoorbeeld voor onderhoud. Zo’n overzicht maakt duidelijk welk deel van je portfolio onder de CRA valt en waar je prioriteit legt.

2. Regel de meldroute

Bij een actief misbruikte kwetsbaarheid of een ernstig incident moet je binnen 24 uur een eerste melding doen. Daarna volgen een uitgebreider rapport binnen 72 uur en een eindrapport. Dat lukt alleen als vooraf vastligt:

• Hoe signalen over kwetsbaarheden binnenkomen, van klanten, servicemonteurs of leveranciers van onderdelen;
• Wie beoordeelt of een melding nodig is, en wie daarover beslist;
• Wie de melding doet via het Nationaal Cyber Security Centrum (NCSC).
• Wie dat overneemt bij vakantie of ziekte.

Leg dit vast in een korte procedure en oefen hem een keer. Een termijn van 24 uur laat weinig ruimte om het proces pas uit te vinden als het nodig is.

3. Breng in kaart welke softwarecomponenten in je producten zitten

Machines bevatten vaak software die je niet zelf hebt geschreven: besturingssoftware, open-sourcebibliotheken of firmware van een onderdeelleverancier. Als in zo’n component een kwetsbaarheid opduikt, moet je snel weten of jouw product het raakt. Een softwarestuklijst (SBOM), een overzicht van alle softwareonderdelen per product, helpt daarbij. Vanaf december 2027 hoort een machineleesbare SBOM bij de technische documentatie van je product. Je hoeft die niet openbaar te maken, maar moet hem op verzoek aan de toezichthouder kunnen leveren. Begin nu bij één product om te ervaren hoeveel werk het is.

4. Bepaal je ondersteuningsperiode

Onder de CRA vermeld je hoe lang je beveiligingsupdates levert. Die periode is in de regel minimaal vijf jaar, tenzij het product naar verwachting korter in gebruik is. Voor machines die vaak tien jaar of langer meegaan, is dat een serieuze afweging. Vragen om nu te stellen:

• Hoe lang gebruiken klanten onze producten gemiddeld?
• Hoe lang ondersteunen onze toeleveranciers hun software en onderdelen?
• Hoe komen updates bij de klant: op afstand, of via een servicebezoek?
• Wat kost het om updates jarenlang te blijven leveren, en hoe nemen we dat mee in de prijs of in servicecontracten?

5. Betrek engineering, inkoop en service

Beveiliging begint bij het ontwerp. Producten die nu worden ontwikkeld, komen waarschijnlijk pas na december 2027 op de markt en moeten dan aan de eisen voldoen. Daarom:

• Engineering: neem beveiliging op in het ontwerpproces, net als veiligheid en functionaliteit.
• Inkoop: vraag leveranciers van componenten en software hoe lang zij updates leveren, of ze een softwarestuklijst kunnen aanleveren en hoe ze kwetsbaarheden melden.
• Service: zorg dat monteurs en de servicedesk weten wat een beveiligingsprobleem is en waar ze het melden.

Wil je een onafhankelijke blik op je product? Met de Dienst Secure by Design van Smart Industry brengt een expert de beveiliging van je product in kaart en adviseert over verbeteringen, met de CRA als uitgangspunt. FME-leden vinden op fme.nl ook een artikel over de CRA-meldplicht.

Verdiepende informatie

Meer informatie vind je in de onderstaande artikelen:

• Geldt de Cyberbeveiligingswet ook voor jouw bedrijf? Wie eronder valt, wat de wet vraagt en wat het betekent als je klant eronder valt.
• Pak je OT-security aan om de fabrieksvloer te beveiligen Waarom machines en besturingen een eigen aanpak vragen.
• Cybersecurity is een bestuurstaak. Wat de wet van bestuurders vraagt en welke vragen je als directeur stelt.
• Start met cybersecurity in vijf stappen: vijf eerste stappen. Gratis checks, basismaatregelen en de subsidie die tot en met 30 november openstaat.