Sinds 11 september 2026 geldt de meldplicht van de Cyber Resilience Act (CRA). Zo moet je bijvoorbeeld actief uitgebuite kwetsbaarheden en ernstige incidenten melden. Toch weten veel bedrijven nog niet of hun product onder de CRA valt. Valt SaaS eronder? En een browserextensie, een app gebouwd met low-code of zorgsoftware? Tijdens onze webinar rond CRA, kregen we erg veel vragen rond de scoping van de CRA. Wij lijstten deze vragen voor je op en vroegen Bernd, Stijn en Siebe voor het antwoord.
Benieuwd? Lees even mee.
Valt software zonder hardware onder de CRA?
Een product hoeft geen hardware te bevatten om onder de CRA te vallen. Software alleen kan perfect een product met digitale elementen (PDE) zijn. Denk bijvoorbeeld aan een mobiele app, desktopsoftware (maatwerk of niet) of een online platform dat je fysieke producten aanvult, bijvoorbeeld om statistieken te analyseren.
Baken daarom goed af wat je product precies inhoudt: hardware, software of een combinatie van beide. De afbakening van je product, gaat bepalen hoe ver je moet gaan in je analyse.
Valt SaaS onder de CRA?
Een dienst die je enkel via de browser gebruikt, valt buiten de CRA. Dat verandert echter wanneer die dienst de gegevensverwerking op afstand (een “remote data processing solution” of RDPS) verzorgt voor een product met digitale elementen. Dat is bijvoorbeeld het geval als het product zonder die verwerking een van zijn functies niet kan uitvoeren, en de fabrikant die verwerking zelf beheert.
Bijvoorbeeld, denk aan een industriële machine die op basis van sensoren bepaalt wanneer er onderhoud nodig is. Via een SaaS-platform kan je de data van de sensoren raadplegen en analyseren. Dat SaaS-platform is een RDPS, en dus een onderdeel van je product. Trouwens, niet alleen de CRA zal in dit geval relevant zijn.
Bied je dezelfde software ook apart aan, bijvoorbeeld als on-premise versie die de klant zelf installeert? Dan is die versie waarschijnlijk een PDE op zich.
Wat als je SaaS een browserextensie of app heeft?
Een browserextensie is software die de gebruiker downloadt en installeert, dus een PDE. De backend valt mee onder de CRA als RDPS, voor zover de extensie zonder die backend een van haar functies niet kan uitvoeren.
Voor progressive webapps geldt dezelfde logica.
Een handige vuistregel: installeer je software op het toestel van de gebruiker, dan is de CRA in de meeste gevallen van toepassing.
Riskeren klanten en gebruikers ook boetes?
De verplichtingen liggen vooral bij fabrikanten, importeurs en distributeurs, en in specifieke gevallen bij opensourcestewards en gemachtigde vertegenwoordigers. De CRA is er net om gebruikers te beschermen.
Toch is waakzaamheid nodig. Een bedrijf dat zich als klant ziet, kan in de praktijk soms een importeur of distributeur zijn. En wie een product substantieel wijzigt, kan zonder het te beseffen fabrikant worden. Dat betekent dat je onder de zwaardere verplichtingen voor fabrikanten zal vallen. Leg daarom intern de nodige processen en procedures vast, bijvoorbeeld wie producten mag aanpassen en beschikbaar maken en welke controles daarvoor nodig zijn.
Ben je fabrikant als je bouwt met low-code of AI van derden?
Hoe je een product maakt, verandert niets aan je rol. Ook wie je product maakt, doet er niet toe. Het is niet vereist dat je producten zelf ontwikkelt om als fabrikant te worden beschouwd. Bouw je met een low-code- of no-codeplatform toepassingen voor externe gebruikers, dan blijf je fabrikant van je eigen product. De platformaanbieder kan daarnaast zelf onder de CRA vallen.
Hetzelfde geldt voor een module bovenop AI-software van derden. Doorslaggevend is wel dat het product effectief op de markt wordt gebracht. Gebruik je het puur intern, dan is dat waarschijnlijk niet het geval.
Valt medische software onder de CRA?
Software die een medisch hulpmiddel is, valt onder eigen regelgeving zoals de MDR en dus buiten de CRA. Zorgsoftware die geen medisch hulpmiddel is maar wel in een ziekenhuis draait, kan er wel onder vallen. Het is dus van belang om goed na te gaan welk kader van toepassing is.
Hoe verhoudt de CRA zich tot de AI Act?
Een AI-systeem met hoog risico dat voldoet aan de essentiële cyberbeveiligingseisen van de CRA, wordt geacht te voldoen aan de cyberbeveiligingseisen van artikel 15 AI Act (art. 12.1 CRA). Een gezamenlijke conformiteitsbeoordeling is ook mogelijk (art. 12.2 CRA).
Wat mag je als gebruiker eisen van je leverancier?
Vanaf 11 december 2027 kan je onder meer deze informatie verwachten en contractueel afdwingen:
- CE-markering en EU-conformiteitsverklaring, of een vereenvoudigde versie met link naar de volledige.
- Het einde van de ondersteuningsperiode, met minstens maand en jaar.
- Contactgegevens van fabrikant en importeur, plus een centraal meldpunt voor kwetsbaarheden.
- Productidentificatie, beoogd doel en gekende cyberrisico’s.
- Instructies voor veilige installatie, updates en buitengebruikstelling met verwijdering van gegevens.
- Bij integratie in je eigen product: de informatie die je nodig hebt om zelf aan Annex I en Annex VII te voldoen.
Let wel, in tegenstelling tot de GDPR, heeft de CRA een indirecte impact op je contracten. Welke impact de CRA precies heeft op jouw contracten, is afhankelijk van geval tot geval. Er zijn meerdere rollen in de CRA en dus ook meerdere combinaties en types van contracten mogelijk. Dat verhoogt de complexiteit, maar tegelijkertijd ook de contractvrijheid. Het is verstandig om de impact op jouw contracten te controleren.
Twijfel je nog? Begin bij je productlijst.
Het antwoord of je product onder de CRA valt of niet hangt vaak af van je concrete situatie. Wacht niet met scoping tot 2027: de meldplicht is nu al van toepassing, ook voor producten die momenteel al op de markt zijn.
Drie stappen om te starten:
- Breng je producten en je rol in kaart.
- Bouw security in je ontwikkelproces.
- Zet een PSIRT-proces op, een vaste werkwijze om kwetsbaarheden in je producten op te vangen en te melden.
Wil je in een uur mee zijn? Herbekijk ons webinar “Binnen 1 uur up-to-date met de CRA” of download het e-book. Liever meteen weten waar jij staat? Neem contact op met CRANIUM of Cingulum.
