Je opdrachtgever noemt de CRA. Gaat dat over jou?

In de mail van je opdrachtgever staat ineens CRA. Soms in dezelfde zin als NIS2, soms als een los vinkje halverwege een vragenlijst, zonder uitleg. De vraag die je dan hebt is niet wat de CRA is. Je wilt weten of het over jou gaat.

Voor bijna iedereen die dit leest is het antwoord nee. De Cyber Resilience Act gaat over producten met digitale elementen en over de partijen die zo'n product op de markt zetten. Rijd je vracht, maak je kantoren schoon, lever je uitzendkrachten of maaltijden, dan zet je geen product op de markt.

Wie de verordening aanspreekt

Ondernemersplein, de overheidssite voor ondernemers, noemt vier rollen die de CRA aanspreekt.

“fabrikanten van producten met digitale elementen, gemachtigde vertegenwoordigers die door fabrikanten zijn aangewezen, importeurs die producten in de EU op de markt brengen, distributeurs die digitale producten verkopen”

Ondernemersplein, Veilige digitale producten verplicht (Cyber Resilience Act)

Het gaat om software en hardware met digitale functies, en om onderdelen daarvan. Dezelfde pagina zet er een zin bij die voor jou de hele vraag beantwoordt.

“Diensten vallen niet onder de CRA.”

Ondernemersplein, Veilige digitale producten verplicht (Cyber Resilience Act)

Transport is een dienst. Schoonmaak is een dienst. Uitzenden, catering en installatiewerk, hetzelfde verhaal. De uitzondering zit bij de IT-leveranciers: bouwt je bedrijf software die het onder eigen naam verkoopt, of zet het apparatuur op de Europese markt, dan is dit wel jouw onderwerp.

Eén randgeval is het bekijken waard. Verkoop je hardware door die je zelf inkoopt, camera's bij een beveiligingsklus of routers bij een installatie, dan sta je in dat rijtje als distributeur. De meldplicht van 11 september ligt bij de fabrikant, niet bij jou. Wat er van een distributeur wordt gevraagd staat in de verordening zelf, en dat is een andere vraag dan die je opdrachtgever stelt.

Waarom 11 september 2026 in die mail staat

Die datum verklaart de mail. De Europese Commissie schrijft dat de kernverplichtingen van de CRA gelden vanaf 11 december 2027, en dat de meldplicht eerder ingaat, op 11 september 2026. Vanaf die dag melden fabrikanten actief misbruikte kwetsbaarheden en ernstige incidenten die de beveiliging van hun product raken.

Dat melden loopt via een platform dat het Europese agentschap ENISA bouwt, het CRA Single Reporting Platform. Eén melding komt daar binnen en gaat door naar het CSIRT van het land en naar ENISA zelf. Ondernemersplein wijst voor Nederland naar het digitale meldloket van het NCSC.

De termijnen die de Commissie noemt: een vroegtijdige waarschuwing binnen vierentwintig uur nadat de fabrikant ervan weet, een volledige melding binnen tweeënzeventig uur, en een eindrapport uiterlijk veertien dagen nadat er een oplossing beschikbaar is. Voor een ernstig incident is dat eindrapport er binnen een maand.

Twee meldplichten die op elkaar lijken en het niet zijn

Hier gaat het in gesprekken mis, want de klokken lopen bijna gelijk. Onder de Cyberbeveiligingswet stuurt een aangewezen organisatie bij een significant incident binnen vierentwintig uur een vroegtijdige waarschuwing, binnen tweeënzeventig uur een incidentmelding en binnen een maand een eindverslag. Die klok start op het moment dat de organisatie kennis krijgt van het incident, niet bij de ontdekking van het lek en niet na het forensisch onderzoek.

Dat is de meldplicht van je opdrachtgever, over de dienst die hij levert. De CRA-melding is die van een fabrikant, over een product dat hij verkoopt. Andere melder, ander onderwerp, ander loket. Registreren voor de Cyberbeveiligingswet legt de Cbw-kant uit, inclusief wat er daardoor bij jou terechtkomt.

Wat je opdrachtgever waarschijnlijk echt bedoelt

Een inkoper die CRA typt heeft de verordening zelden gelezen. Meestal valt hij zelf onder de Cyberbeveiligingswet en moet hij de beveiliging van zijn keten op orde hebben. Dus stuurt hij alles wat naar cyber ruikt naar iedereen op zijn leverancierslijst. Dat de ene wet fabrikanten aanwijst en de andere zijn eigen sector, is in die mail niet terug te zien.

Vraag dus door voordat je iets belooft. Wil hij weten of jij een digitaal product levert, dan is nee een compleet antwoord. Wil hij weten hoe jij je eigen systemen beveiligt en hoe snel je belt als er iets misgaat, dan komt die vraag uit zijn ketenverplichting en niet uit de CRA. Wat mag je opdrachtgever van je eisen? zet uiteen waar die grens ligt.

En als je wél fabrikant bent

Bouw je software of apparatuur, dan komt er werk bij dat niet in dit dossier zit. Een CE-markering op het product, kwetsbaarhedenbeheer gedurende de levensduur, en vanaf 11 september de melding via het loket. Deze site behandelt de Cyberbeveiligingswet en niet de CRA. De details staan hier dus niet, en er komt hier ook geen samenvatting van.

De pagina van de Europese Commissie over de meldverplichtingen en de pagina van Ondernemersplein zijn dan het startpunt. Staat een antwoord daar niet, dan staat het op dit moment nergens officieel. Wachten op de uitwerking is dan eerlijker dan een aanname.

Wat je terugmailt

Kort antwoord: je levert diensten en zet geen producten met digitale elementen op de markt, dus de CRA is niet op je van toepassing. Zeg er meteen bij dat je wel wilt laten zien hoe je je eigen systemen beveiligt, want dat is de vraag die eronder ligt. Vraag terug welke afspraak hij wil over hoe snel je hem belt bij een incident.

Die laatste vraag ligt er over een jaar nog steeds, ook als de CRA nooit meer langskomt. Wil je eerst zien of jouw sector in beeld komt bij de Cyberbeveiligingswet, dan doet de gratis scopecheck dat op bedrijfsnaam.