Cyber Resilience Act: beveiligingseisen voor connected producten

Waar NIS2 de cyberbeveiliging van je organisatie regelt, regelt de Cyber Resilience Act (Verordening (EU) 2024/2847) de beveiliging van de producten zelf. Voor transport en logistiek is dat geen abstractie: telematica, boordcomputers, trackers, sensoren en connected voertuigcomponenten zijn allemaal "producten met digitale elementen".

Wat de CRA verplicht

De verordening legt horizontale, EU-brede cybersecurity-eisen op aan het ontwerp, de ontwikkeling en het in de handel brengen van producten met digitale elementen. De plichten liggen bij fabrikanten, importeurs en distributeurs: veilige standaardinstellingen, kwetsbaarhedenbeheer, beveiligingsupdates gedurende de levensduur, technische documentatie, conformiteitsbeoordeling en CE-markering.

Het tijdpad

De verordening is op 12 november 2024 in werking getreden en kent een gefaseerde toepassing:

• 11 juni 2026 — regels over de aanmelding van conformiteitsbeoordelings-

instanties.

• 11 september 2026 — meldplicht: fabrikanten moeten actief misbruikte

kwetsbaarheden en ernstige incidenten melden aan ENISA en het nationale CSIRT.

• 11 december 2027 — volledige toepassing: alle essentiële eisen,

conformiteitsbeoordeling, CE-markering en documentatie.

Samenhang met NIS2 en de Data Act

Drie regimes raken hetzelfde "connected" speelveld, maar vanuit een andere hoek: CRA = de beveiliging van het product, NIS2 = de beveiliging van de organisatie die het inzet, Data Act = wie toegang krijgt tot de data die het product genereert. Wie connected hardware koopt of doorverkoopt, krijgt met de CRA te maken — al is het maar via leveranciersborging.

Wat het voor jou betekent

• Koop je connected producten in? Vraag leveranciers naar CRA-conformiteit

(CE, updates, kwetsbaarhedenbeheer) — straks een inkoopvoorwaarde.

• Breng je zelf connected producten op de markt (ook onder eigen naam)?

Dan word je fabrikant in de zin van de CRA, met de volle plichtenset.

Wil je weten welke EU-regimes naast de CRA jouw organisatie raken — de Data Act, eFTI, EMSWe, de AI Act, NIS2 — en waar je readiness zit? Doe de Transport & Logistiek-scan.