Home   2026-10-22 19:56:51

←

EU verplicht elektronicafabrikanten om cyberincidenten binnen 24 uur te melden

Original article

De eerste verplichting uit de Europese Cyberweerbaarheidsverordening geldt sinds 11 september. Fabrikanten moeten actief misbruikte kwetsbaarheden en grote beveiligingsincidenten voortaan bij Europese en nationale toezichthouders melden. Vanaf december 2027 gelden ook de overige cybersecurityeisen uit de verordening.

Dit nieuws in het kort

  • De Cyber Resilience Act schrijft voor dat apparaten in Europa aan bepaalde veiligheidseisen moeten voldoen.
  • Bedrijven die zich niet aan de wet houden, kunnen een boete krijgen van maximaal 15 miljoen euro

Meldingen moeten worden ingediend bij Enisa, het European Union Agency for Cybersecurity, en bij het lokale Computer Security Incident Response Team (Csirt). In Nederland is dat het Nationaal Cyber Security Centrum (NCSC); in België het Centre for Cybersecurity Belgium (CCB).

Incidenten melden

De verordening, die de Cyber Resilience Act heet, hanteert verschillende termijnen waarbinnen bedrijven incidenten moeten melden. Bedrijven moeten binnen 24 uur een eerste melding doen en die binnen 72 uur aanvullen. Daarnaast moeten ze binnen twee weken een definitieve rapportage indienen waarin ze beschrijven hoe ze het incident hebben afgehandeld en of ze een kwetsbaarheid hebben verholpen.

De verordening geldt voor alle elektronische producten die op de Europese markt worden gebracht. Vooraf moeten ze onder meer aan cyberveiligheidseisen voldoen. Het gaat in de praktijk om apparaten die 'software of firmware bevatten', waardoor het om een flinke groep producten gaat. Dat geldt ook voor software, al valt opensourcesoftware die niet commercieel wordt verkocht buiten de verordening.

Veiligheidseisen en bugfixes

Onder de verordening moeten producten aan eisen in twee categorieën voldoen. De eerste categorie bevat regels voor veiligheid, updates en het minimaliseren van het aanvalsoppervlak. Daarnaast moet de fabrikant zelf goede regels opstellen rondom het bijwerken van producten, door bijvoorbeeld een responsible-disclosurebeleid op te stellen, een plan te hebben om updates uit te brengen en uit te leggen waar de gebruikte componenten vandaan komen.

Smarthome stock (bron: Kenneth Cheung/Getty Images)
Ook software moet aan de verordening voldoen. Bron: Kenneth Cheung/Getty Images

Bedrijven die zich niet aan de wet houden, kunnen een boete krijgen van maximaal 15 miljoen euro of 2,5 procent van de jaaromzet.

Simpel of essentieel

De wet kent ook gradaties in hoe belangrijk producten zijn. Bij 'simpele' producten, in de praktijk de meeste consumentenelektronica, mogen fabrikanten zelf een beoordelingsrapport opstellen. Een Europese instantie moet producten zoals medische apparatuur en apparaten voor de luchtvaart beoordelen.

De meldingsplicht is de eerste concrete technische stap in de verordening. De Cyber Resilience Act trad officieel al in december 2024 in werking. Sinds juni van dit jaar kan de Europese Commissie zogenaamde 'notified bodies' aanwijzen. Dat zijn instanties die mogen bepalen welke producten onder strengere eisen vallen. Vanaf december 2027 moet de verordening volledig worden nageleefd.

Europese Unie data. bron: iStock / Getty Images

Door Tijs Hofmans

Nieuwscoördinator

Feedback • 11-09-2026 10:30
97 • submitter: KrisLowet

11-09-2026 • 10:30

97

Submitter: KrisLowet

Reacties (97)

Wij zijn hier met BlueCherry.io en met onze Walter modules (quickspot.io) en uiteraard de producten die we voor onze klanten maken al een hele poos sterk op aan het voorbereiden. De CRA is een een verordening en dus is er geen lokale wetgeving nodig, dit geld meteen in de hele EU. Het is ook een wetgeving die, integenstelling tot vele andere, relatief technisch omschreven is en zaken zoals 'secure boot' worden er zelfs bijna letterlijk in beschreven. In die zin zou ik zeggen, hulde aan degene die deze toch wel zeer technische materie aan de wetgevers hebben gebracht en laten verwerken.

Het enige wat ons, als implementator een beetje stoort is dat de deadlines enorm krap zijn bemeten. Ik bedoel hier niet meteen mee het moment van invoeren, we weten al jaren dat de CRA is ingevoerd, maar wel hoe het dan tot uitvoering komt:
  • We moeten vanaf vandaag meldingen doen bij het ENISA SRP, het Single Reporting Platform. De handleiding om dat te doen, die trouwens vrij summier is, is pas 14 dagen geleden online gekomen. We hadden dus pas 14 dagen de tijd om echt te implementeren en oefenen, dit is veel en veel te kort.
  • De grootste brok van de CRA wordt tegen december volgend jaar actief, dit zal veel ingrijpender zijn en niet enkel op papier zichtbaar worden. Toestellen moeten hun firmware valideren door middel van secure boot of een ander mechanisme waardoor ze geen on-geauthorizeerde firmware kunnen draaien, er mogen geen default wachtwoorden worden gebruikt, ... er zijn al een aantal dingen afgedekt in het cybersecurity amendement van de RED (RED DA) waarvoor de EN 18031 vooral wordt gebruikt. Echter weten we nu al dat de EN 18031 niet alle voorschriften van de CRA dekt en er zijn nog geen geharmoniseerde standaarden, buiten de EN 18031, waarmee je compliance met de CRA kan veronderstellen. Dit maakt het moeilijk om tot in de puntjes voorbereid te zijn, je kan enkel best-practice toepassen.
Met andere woorden, voor producten die veel volume hebben is dergelijke regelgeving die ene paar procent van de winstmarge van het product. Ik denk dan aan smartphones, koffiezetapparaten (ja ook die moeten aan de CRA voldoen als ze bv een UART poort hebben die beschikbaar is voor OTA updates). Maar er zijn zoveel toestellen die in aantallen van 100-en of 1000-en worden verkocht en zeker hun plaats hebben in de markt waar de overhead van de regelgeving zeer zwaar weegt. Ik zeg niet dat de regels voor hen er niet zouden moeten zijn want zelfs 1 onveilig toestel kan een veiligheidsrisico zijn maar de wetgevende macht veliest de economische motor van de EU, namelijk de KMO (Klein en Middelgrote Onderneming) vaak uit het oog.

Een goed voorbeeld is de PPWR waar al deze ondernemingen nu ook mee te maken krijgen, op zich een nobele wetgeving, maar o zo verstikkend.
Hoe zit het met de mogelijkheid voor eigen firmware? Zoals ESPhome waardoor je product eigenlijk privacyvriendelijk wordt. Wordt door deze wet dit ook onmogelijk gemaakt gezien secure boot en de firmware controles?
Dat hangt enorm af van de chipset die wordt gebruikt. Bij ESP32 bijvoorbeeld wordt secure boot geimplementeerd door de publieke sleutel van de firmware in een zogenaamde eFuse van de chip the branden. Bij de nieuwere (ESP32-S3, ...) heb je meerdere slots maar bij designs op de eerste ESP32 die nog zeer active is heb je maar 1 slot en kan je dus geen firmware meer flashen als eindgebruiker.

Met ARM TrustZone kan je, indien de fabrikant het nog toelaat, de hele chip wissen en je eigen firmware flashen, het is iets minder involved in dit geval.
Uit het artikel:

“Het gaat in de praktijk om apparaten die 'software of firmware bevatten', waardoor het om een flinke groep producten gaat. Dat geldt ook voor software, al valt opensourcesoftware die niet commercieel wordt verkocht buiten de verordening.”
Maar de kans is helaas wel reëel aanwezig dat het moeilijker wordt om eigen firmware op cloud-iot-(rommel)-devices te krijgen als ze allemaal verplicht secure boot hebben.

Dan zal vaak de fabrikant het toch op de een of andere manier mogelijk moeten maken om dit uit te zetten en/of eigen firmware te signen. Dingen die nu al nauwelijks gebeuren. Het is in bredere zin een lastige afweging, of je je hardware flink dichttimmert, of dat het goed hackbaar is. Hackbaar zowel door technische eindgebruikers als door daadwerkelijke aanvallers.
Maar wat als het probleem een hardware-peripheral in een chip is, of een ROM of OTP memory die het probleem heeft veroorzaakt ? Het kan soms onmogelijk zijn zoiets op te lossen, laat staan in de gestelde termijnen.
In theorie wel, maar dit is een beetje speculeren omdat de normeringen er nog niet zijn, zou dit toestel dan in de eerste plaats al niet CRA compliant mogen zijn omdat je eigenlijk alles moet kunnen OTA updaten.

Dit is uiteraard veel te kort door de bocht want wat als er een silicon fout is vragen we ons dan af. Dit komt natuurlijk niet zoveel voor maar dan zouden we eigenlijk via OTA de microcode van de CPU bijvoorbeeld moeten updaten of dat stukje functionaliteit uitschakelen.
Voor mensen met een software-focus ziet alles eruit als een CPU, enventueel met microcode-updates - maar dat is een wel erg smalle focus. Er zijn ook nog memory busses, DMA controllers, en al dan niet softwarematig bestuurde bandbreedte-beperkingen tussen subsystemen. Sommige datasheets beschrijven zelfs trust-zones die memory-accesses tussen periperals (geintegreerd in dezelfde chip) zouden moeten beperken. Dit gaat geheel buiten de CPU en diens caches om.

Blijkbaar vertrouwd de chipfabrikant niet altijd een ingekochte peripheral+diens subsysteem- en third-party firmware die op non-CPU statemachines draait (denk aan USB-PD, USB communicatie, speed-negotiation op PHY level, en on-chip radio's als wifi, bluetooth). De statemachines en 'firmware' gecombineerd moeten binnen microseconden reageren. Het ziet er van de buitenkant uit als een autonoom systeem, zonder directe invloed van de CPU.

De eindklant van de chip ziet in hun datasheet enkel referenties naar gepubliceerde standaarden, maar uitbreidingen op die standaard(en), en wat kernel code - maar de beveiliging daarvan kunnen zo een zwart gat zijn. Ook zijn de testcases van zelfs publieke standaarden niet altijd volledig en open. Daarom altijd de eerste vraag in security stellen: wiens security gaat dit precies over ?
De Wetten en regels omtrent deze onderwerpen zijn in de eerste plaats een goed ding. Wel komt er momenteel wel het een en ander richting bedrijven hierover. Wat mij even niet helemaal duidelijk is, is welke Nederlandse Wet hiervoor precies in het leven geroepen is? Ik dacht dat NL voor deze implementatie juist achter liep, of is dat weer een andere? :?

Wat dat betreft komt er voor mijn gevoel echt veel en de afkortingen vliegen je ook om de oren om het extra verwarrender te maken. Wellicht dus een idee om deze nieuwe weten in een achtergrond artikel uiteen te zetten?
In de EU maken ze verschil tussen Directives en Regulations. Directives moeten worden omgezet naar nationale wetgeving. Regulations gelden in de hele unie, en worden niet omgezet naar nationale wetgeving.
Er kan nog steeds nationale wetgeving nodig zijn om bijvoorbeeld marktautoriteiten in het leven te roepen, maar iedere fabrikant in de EU moet aan de CRA voldoen. Met of zonder implementatie wetgeving.
En in het Nederlands: richtlijnen (implementatie nodig) en verordeningen (gelden rechtstreeks). Ook voor de Verordening cyberweerbaarheid geldt dat er inderdaad nog wel nationale wetgeving nodig is. Dat gebeurt met de Uitvoeringswet verordening cyberweerbaarheid. Hierin wordt onder andere geregeld welke instanties belast zijn met toezicht en handhaving en welke bevoegdheden zij in dat kader hebben. 10 september heeft de Tweede Kamer ingestemd met deze wet. De wet ligt nu ter behandeling bij de Eerste Kamer; zie https://www.eerstekamer.nl/wetsvoorstel/36875_uitvoeringswet_verordening (waar overigens ten onrechte wordt gesproken over 'implementatie' van de verordening).
Tsja, zo in een vacuum is het misschien wel een goed iets om wetten te hebben over cyberveiligheid van producten, echter wat je nu ook al ziet: nog meer agentschappen over de hele EU, nog meer bureaucratie, nog meer ambtenaren en commissies nodig, mensen om al die rapporten op te stellen vervolgens door te lezen en dan nog te beoordelen met actiepunten, nog meer belastinggeld nodig, nog meer regels voor bedrijven en vooral startups om aan te voldoen, in elk land weer andere processen, nog moeilijker om een product op de markt te zetten zeker voor kleinere bedrijven die niet hele cybersecurity response en government relations teams hebben... en ondertussen gaan bijvoorbeeld china en de VS gewoon lekker door met innoveren en producten uitbrengen. Dan kunnen we straks weer nieuwe rapporten laten opstellen waarom duitsland of de EU niet (meer) innovatief is en niet meer meekomt op de internationale techmarkt.
Volgens mij zijn de Wetten er vooral voor de diensten aan Europa, dus ook Chinese bedrijven of Amerikaanse bedrijven moeten hieraan voldoen, lijkt me, wanneer ze ook in Europa opereren of klanten hebben.
Dan nog. Je kunt dus eerst op eigen bodem flink groeien. Als je dan de omvang en financieën hebt kun je naar Europa. Een startup hier moet meteen die kosten dragen. Is toch wel een verschilletje.

Het is met de wet- en regelgeving gewoonweg niet meer te doen in Nederland/Europa. Regels zijn goed en nodig, maar het is ook langzaamaan zo dat veel kleine ondernemingen er mee gaan stoppen of dit op z'n minst overwegen.
In de CRA wordt dit onderkent. Micro-enterprises en het MKB worden expliciet benoemd (Artikel 26) en de EU verplicht zichzelf om guidelines te publiceren over hoe je invulling moet geven aan deze wetgeving. Ook wordt er naar gestreefd om de belasting te beperken (Artikel 31).
Wel schieten ze er volgens mij niet erg hard mee op. Zelfs de meest essentiële normen zijn nog in een conceptfase terwijl de CRA volgend jaar volledig in werking moet zijn getreden.
Eens. Dat loopt echt enorm achter. Afhankelijk van het type product dat je op de markt brengt is dat voorlopig afwachten.

Bij de PPWR net zo. Loopt nu een grote petitie om een soort One-Stop Shop regels op te zetten (gelijkend aan die voor de BTW) voor registratie van verpakkingsmaterialen, want nu moet dat voor ieder land apart. Dat is prima voor de Amazons en Zalandos, maar niet voor de kleine webshop die 3 pakketten per week binnen de EU wil versturen.
ik wordt er een beetje moe van dat dat iedere keer geroepen wordt (en volgens mij vooral, omdat amerika dat roept).

Die regels komen er omdat de markt het zelf niet oplost. Structurueel. De EU en Nederland (en alle landen) zeggen altijd eerst: markt, los het op. Het komt naar mijn conclusie maar extreem zelden voor dat de markt dat ook echt doet.

Als je je verantwoordelijkheid niet neemt, ben je er verantwoordelijk voor dat de EU dat wel doet.
@Cyberpuppy benoemt expliciet kleine ondernemers, kleine startups en kleine MKB-ers dus.

Voor grote bedrijven is het geen probleem, die hebben een grote afdeling compliancy die zich bezig houdt met dit soort zaken. Ja ze zullen klagen als het geld kost maar ze kunnen het allemaal wel aan.

Startups en MKB-ers hebben die afdeling niet, die moeten het er allemaal zelf bij doen. Een enorme administratieve last. Die last maakt het steeds moeilijker om een bedrijfje te beginnen binnen de EU. Dat is wat @Cyberpuppy benoemt.
Daarom heeft de EU daar ook expliciet rekening mee gehouden voor die toko's. En zijn de regels voor hun vele malen minder zwaar dan voor de grote jongens zoals fabrikanten van medische apparatuur.
Gisteren ook dezelfde reacties op het artikel over AI. Het lijkt erop dat er een lobby is om alle verworvenheden af te breken en als de EU opkomt voor privacy en rechten, dan zijn er altijd argumenten (niet feiten) om daarop af te dingen. De EU zorgt met deze regels voor een evenwichtig speelveld voor iedereen. Zonder sociale voorzieningen bestaan er geen kleine ondernemers, omdat de grote bedrijven dan werknemers kunnen paaien met secundaire arbeidsvoorwaarden. Ik verwacht van de EU dat ze een race naar de bodem voorkomen en rekening houden met de rechten (en plichten) van een individu.

[Reactie gewijzigd door Han_Solo op 11 september 2026 15:44]

Ik heb die linkjes even gelezen, maar het _voelt_ erg als stellingmakerij.

Wel aanhalen van andere artikelen maar geen links naar buiten het platform naar artikelen met hetzelfde gevoel. Weinig herleidbaar
Ondanks dat elk nieuw kabinet zich voorneemt om deze regeldruk te verlagen, schijnt het maar niet te lukken.
Het zit er nog geen jaar, maar blijkbaar lijkt het maar niet te lukken. Met na vier maanden `Geen sprake van stabiel beleid`.
Het vorige kabinet stelde verleden jaar september dat men 500 regels zou vereenvoudigen of schrappen.

https://www.fiscaalvanmorgen.nl/2026/04/23/kabinet-wil-regeldruk-verlagen-maar-uitvoering-blijft-achter-bij-ambitie/

Het nieuwe kabinet Jetten stelde hiermee door te gaan.

https://partner.ac/2026/mkb/zo-gaat-het-kabinet-jetten-aan-de-slag-voor-ondernemers/

Maar in de praktijk lukt dit allemaal niet zo snel en komen er dus weer nieuwe regels bij.
Ik heb de bijgevoegde links doorgenomen en nog een stel andere artikelen daar weer achter. Er wordt zeer creatief met de cijfers omgegaan. Bijna 25% van de kleine ondernemers heeft een maandelijks inkomen welke onder bijstandsniveau ligt... dan zit een kwart van het kleinbedrijf in de schuldsanering. En ik snap prima dat ze dat doen door het kleinbedrijf als 1 groep te benoemen maar de ergste cijfers komen elke keer uit 1 specifieke niche binnen het geheel.
Ik werk in het kleinbedrijf, ja er zijn regels en best wel veel, maar als je als ondernemer niet in staat bent om je processen zo in te richten dat je aan de regels kunt voldoen, dan kan de conclusie zijn dat je product of dienst veel te goedkoop is, want anders kon je die kennis of hulp inkopen en aan het einde van de maand een eerlijk salaris ontvangen.
Misschien iets minder frauderen. Regels zijn in de meeste gevallen maatregelen en reactief. Boeren willen ook subsidie, zonder aan de voorwaarden te voldoen. Ook ik ben voor minder regels, dus meteen afschaffen al die subsidies. Banen gewaardeerd met het minimum loon ook afschaffen, want daar betaald de rest van NL belasting voor, want onrendabel en indirecte subsidie voor de ondernemer. 0 Uren contracten afschaffen en ook deeltijdbanen, waarvoor geen sociale afdrage voor wordt betaald, meteen afschaffen, etc... / s

[Reactie gewijzigd door Han_Solo op 11 september 2026 19:45]

Het mogelijke probleem dat ik daarbij zie is dat kleine (innoverende) startups in China en de VS dan rondjes rennen om de EU varianten omdat ze eerst op eigen bodem veel makkelijker kunnen opereren en de EU startups worden overspoeld met regels (sidenote: ik zag zoiets bijvoorbeeld dat veel kleine post-order-ondernemers er aan dachten te stoppen nadat de nieuwe EU verpakkingsregels van kracht werden omdat er voor een eenmanszaak bijna niet aan te voldoen is). Vervolgens als die buitenlandse startups worden overgenomen door techgiganten zoals Google en Meta die wel de mankracht hebben om op de EU markt te opereren komen ze hier. Wat je dan krijgt is dat alleen nog de techgiganten kunnen opereren in de EU (het zou mij ook niets verbazen als die VOOR deze regels zijn: alles dat het concurrentie lastiger maakt dat je zelf wel aankan vanwege je kapitaalkracht). Maar goed, ik speculeer ook maar wat, maar dat zijn de problemen die ik ermee zie...
De regels in China en de VS zijn gewoon anders. Daarom niet minder nodig, vervelend, lastig,... bedrijven hebben er mee te dealen.

In China bepaald de staat meer de richting, zit je met het social credit systeem (bestaat ook voor bedrijven),...

In de VS zijn er de tarieven, exportverboden, verschillende staten verschillende regel, rechtszaken tussen bedrijven maar ook consumenten,...
Auto's zonder gordels en airbags zijn ook makkelijker en sneller te maken.
Toch heb ik liever een deftige auto.
Grappig dat je dat noemt, op het vlak van auto's vind ik namelijk dat dat soort regels compleet doorgeslagen zijn.
  • Lane assist (ELK) die de wegbelijning verkeerd leest en uit het niets aan het stuur trekt (recent zelf mogen ervaren in een id.4). Verplicht sinds '24.
  • Verkeersbordherkenning met een waarschuwingstoon als je de snelheid overschrijdt (ISA), al is het maar 1km/h. Extra nutteloze piepjes zijn afleidend. Helemaal leuk als het systeem de borden verkeerd leest, bv van een ventweg (zelf recentelijk ervaren in een Kangoo). Verplicht sinds '24.
  • Automatische noodrem (AEB); als de auto iets ziet waarvan hij vindt dat hij een noodstop moet maken dan doet hij dat. Goed idee voor een verdwaalde voetganger. Minder goed idee als het systeem zich vergist, midden op de snelweg zoals deze vrouw overkwam. Verplicht sinds juli dit jaar.
  • En als kers op de taart: een camera in de cabine van de auto die de bestuurder in de gaten houdt, of die wel genoeg op zit te letten (ADDW). Verplicht sinds juli dit jaar. En die systemen vergissen zich dus ook. Ik heb al gehoord van problemen met zonnebrillen.
Ik heb de discussie maar opgegeven, want het blijkt alweer dat je hier niets negatiefs over de EU mag zeggen, en alle regels zijn goed, en amerika is verkeerd. Klaarblijkelijk weinig ondernemers hier die er zelf tegenaan zijn gelopen... maar goed.
Misschien ben je enigszins laat met je klacht? De CRA is in de EU vier jaar geleden gepresenteerd. Bovendien zijn de meeste eisen gericht aan fabrikanten, ook als producten geïmporteerd zijn.
Net als alle andere product-veiligheidswetgeving in de EU, wordt de importeur ook verantwoordelijk gehouden. De importeur is verplicht er voor te zorgen dat de producten die hij importeert voldoen aan alle geldende wetgeving. Die kan dat dus niet afschuiven op de fabrikant. Het is namelijk de importeur die het product dan op de europese markt plaatst.

In de praktijk betekent dit natuurlijk wel dat de fabrikant aan de slag moet om te voldoen. maar de verantwoordelijkheid ligt bij de importeur. Zie Artikel 19 van de CRA voor de lijst verplichtingen voor importeurs.
Oh ja, de importeur/representative houdt altijd de verantwoordelijkheid voor geïmporteerde producten die het op de Europese markt brengt, dat verandert niet. Maar voor de CRA ligt verreweg het meeste werk bij de fabrikant. Het gaat immers primair om het voorkomen van cyberincidenten, iets dat vanaf het ontwerp van het product al moet worden meegenomen.
Want ik kan niet op een nieuwsartikel van vandaag reageren met een persoonlijke mening, zonder dat ik met spandoeken in brussel sta ofzo?
Niet alleen hardware fabrikanten. De CRA geldt ook voor vendoren van software als deze een on-premises software component hebben.

Full saas valt er buiten. Maar 100% software zonder hardware component valt er wel onder. Dit wordt nog wel eens vergeten. Het geldt dus ook voor Microsoft, citrix, omnissa, VMware, Adobe, etc.
De opzet van de EU is een prima gegeven. Het dwingt fabrikanten (alle!) om betrouwbaarder zaken aan te leveren. Elke wet die je invoert zal gehandhaafd moeten worden inderdaad. Dat rapportages na een incident gecontroleerd moeten worden is een essentieel onderdeel. Bureacratie is niet per definitie een verkeerd gegeven. Het geldt namelijk voor iedereen in gelijke mate.
Het geldt namelijk voor iedereen in gelijke mate.
Dat is ook juist een van de problemen: het geldt gelijk voor een miljardenbedrijf met een compliance afdeling van 100 man voor lokale regelgeving, als voor een innoverende eenmanszaak die niet de 14 verschillende wetten in 12 landen kan bijhouden.
Gelukkig is dat in het geval de CRA geen probleem, want dat is een Regulation en vereist dus geen nationale implementatie.
Die eenmanszaak zit zelden in zoveel landen, hij hoeft zich maar bij 1 van de instanties te melden als ie een lekje heeft. En het voordeel van een eenmanszaak: je weet precies wat er speelt, dus je hoeft niet eerst interne mailkettingen op te zetten, conferenties te beleggen en allerlei mensen uit te horen voordat je je melding maakt.

Daarnaast vind ik het wel prettig dat mijn rechten een beetje beschermd worden, en bedrijven wat openheid van zaken moeten geven over dingen die ze nu wegmoffelen. Dan ontwikkelen we maar wat minder hard, hebben we ook minder last van de remmende voorsprong. Word ik in elk geval niet totaal kapotgemaakt door een samenleving die me niet bevalt (iets met 60+ uur werken, vakantie is 2 weken en als je ergens uitvalt dan ga je maar in de goot liggen).
die niet de 14 verschillende wetten in 12 landen kan bijhouden
Lijkt mij dat die dan blij zal zijn met een europese wet voor alle eu landen toch?
Die regels en wetten zijn er om consumenten (ja jij dus ook) te beschermen. Het is veel te makkelijk en simpel om dat recht tegenover innovatie te zetten alsof het een het ander uitsluit. In Europa gaat het om de (on)beschikbaarheid van durfkapitaal en het feit dat we niet zo’n eenheid vormen als de staten van Amerika. Dat remt innovatie veel meer dan ons huidige regelstelsel.

En zelfs als het al aan de regels lag: ben je dan liever burger in de VS waar er vanalles mis is met het voedsel, waar zorg onbetaalbaar is en waar privacy afwezig is? Dat is namelijk de prijs die je betaalt voor deregulatie. Maar hey, kan je wel zeggen dat je zo lekker innovatief bent! /s :+

Regelgeving is juist Europa’s geheime wapen

[Reactie gewijzigd door Evanesco op 11 september 2026 11:04]

en ondertussen gaan bijvoorbeeld china en de VS gewoon lekker door met innoveren en producten uitbrengen
Ook in de VS en China zijn ze echt niet blij met onveilige producten. FBI zit ook achter router botnets aan e.d. Zal in China niet anders zijn. Het is een kwestie van tijd totdat ook in die twee landen strengere regels gaan gelden want ze zitten echt niet te wachten op een compleet lekke infrastructuur (als dat al niet zo is)
Sterker nog, het komt al wel eens voor dat china wetgeving introduceert die wij later ook introduceren op dat vlak.
De CRA is een regulation, dus het is wettig in elk EU land waaronder Nederland.

Bovendien staat de informatie erover al jaren online. De EU heeft zelfs een complete website gemaakt om het samen te vatten: https://digital-strategy....u/en/policies/cra-summary
De CRA is een regulation, dus het is wettig in elk EU land waaronder Nederland.
Ah check, dat wist ik even niet.
Bovendien staat de informatie erover al jaren online. De EU heeft zelfs een complete website gemaakt om het samen te vatten: https://digital-strategy....u/en/policies/cra-summary
Ja, dat is met alles zo natuurlijk. Mijn punt is vooral dat er van alles nu gebeurd op het gebied van digitale weerbaarheid en soevereiniteit e.d. Het gaat allemaal zo snel en ik mis daarvoor een en ander aan overzicht voor mijn gevoel. Volgens mij is de CRA namelijk niet de enige?
Kan ik mij voorstellen, vaak moet je aan verschillende voldoen omdat ze net een ander doel hebben. Bovendien kunnen ze in de loop der tijd ook updates krijgen, net als de normen die je kunt volgen om ze af te dekken. Je bent er dus nooit mee klaar.

Met common sense kom je al een heel eind, maar common sense kun je niet gebruiken als verdediging als het misgaat en je geen dossier hebt. Daarom hebben veel bedrijven een compliance afdeling of ze huren iemand ervoor in.
Snap ik, bedrijf waar ik werk, is echter net de start-up fase uit aan het groeien, dus hebben wij dat nog niet echt, eigenlijk.
Een Europese verordening is rechtstreeks van toepassing in alle EU landen en hoeft niet te worden omgezet in nationale wetgeving zoals dat bij een Europese richtlijn wel het geval is.
Alles wat in de verordening is beschreven is nu dus geldend hier en rechters kunnen dat ook toetsen.
zie ook: Wikipedia: Europese verordening
De CRA is een "regulation": die moet niet in lokale wetten vertaald worden, maar is zo geldig in de hele EU. Er zijn ook "directives": die moeten wel in de lokale wetgeving gegoten worden. NIS2 is is een directive, en Nederland liep in de omzetting van de NIS2 directive in lokale wetgeving inderdaad wat achter in vergelijking met België.
Ah, dat was het inderdaad. Ben ik dus toch niet gek! Bedankt!
De verordening geldt voor alle elektronische producten die op de Europese markt worden gebracht. Vooraf moeten ze onder meer aan cyberveiligheidseisen voldoen. Het gaat in de praktijk om apparaten die 'software of firmware bevatten', waardoor het om een flinke groep producten gaat. Dat geldt ook voor software, al valt opensourcesoftware die niet commercieel wordt verkocht buiten de verordening.
Geld dit altijd of alleen als je apparaat met het internet gaat praten. Zou wel een goede reden zijn voor veel fabrikanten om te stoppen met al die nutteloze verbinden.
Dit geldt voor alle apparaten, ook als ze niet verbonden zijn. Je aanvalsoppervlak is natuurlijk wel een stuk kleiner dan.
Echt? Volgens mij is “gegevensverwerking op afstand” wel een significante beperking. Mijn stofzuiger is wel elektronisch maar heeft geen "gegevensverwerking vanop een afstand waarvoor de software is ontworpen en ontwikkeld".
Als je stofzuiger alleen een paar knoppen en een motor heeft, dan valt het niet onder de CRA.

Als je stofzuiger Bluetooth of Wifi heeft, praat met een basisstation of stofzuigerzak, of firmware updates krijgt, dan wel.


Apparaten die alleen maar onderling met elkaar praten via een communicatiebus en verder niet gekoppeld zijn aan het internet vallen er ook onder.
Als je stofzuiger Bluetooth of Wifi heeft, praat met een basisstation of stofzuigerzak, of firmware updates krijgt, dan wel.
Of de indeling van het te stofzuigen gebied opstuurt naar een server die de data verwerkt en daarop gebaseerd weer data terugstuurt naar de stofzuiger (bijvoorbeeld om beter/nauwkeuriger te zuigen). Dan spreek je toch echt wel over "gegevensverwerking op afstand" voor een primair proces/functie van het apparaat.

[Reactie gewijzigd door The Zep Man op 11 september 2026 17:46]

Dat klopt. Wel of geen gegevensverwerking op afstand is echter geen eis voor de CRA. Het is optioneel, men wil eigenlijk duidelijk maken dat als je een product hebt dat dát gedeelte ervan ook moet worden meegenomen in je analyse.
I stand corrected.
"This Regulation applies to products with digital elements made available on the market, the intended purpose or reasonable foreseeable use of which includes a direct or indirect logical or physical data connection to a device or network".
Ik had dat eerder gelezen als optionele clause, maar dat is inderdaad beperkend. Dus als er een mogelijkheid tot verbinden met een apparatuur of netwerk is, dan valt het onder de CRA.

De gegevens verwerking op afstand is volgens mij wel een optionele clausule. De definities in Artikel 3 betrekt de "remote data processing solutions" wel in de scope van de definitie "products with digital elements", maar stelt het niet als verplicht onderdeel.
Dat netwerk hoeft echter niet het internet te zijn.
Een computermuis die via USB met een computer praat valt onder de CRA.
De verordening geldt voor alle elektronische producten die op de Europese markt worden gebracht. Vooraf moeten ze onder meer aan cyberveiligheidseisen voldoen. Het gaat in de praktijk om apparaten die 'software of firmware bevatten', waardoor het om een flinke groep producten gaat. Dat geldt ook voor software, al valt opensourcesoftware die niet commercieel wordt verkocht buiten de verordening.
Voor hoelang geldt dit dan op een apparaat? Een wasmachine, koelkast of airco kan misschien wel 10 jaar meegaan. Maar of de leverancier dit ook zo ziet.

De levensduur van een apparaat definieren zal de leverancier natuurlijk vooral uit eigen belang gaan doen.
Volgens Artikel 13 Lid 9: beveiligingsupdates moeten na uitbrengen minimaal 10 jaar na uitbrengen of voor de duur van de productondersteuningsperiode beschikbaar blijven.

Volgens Artikel 13 Lid 8: De ondersteuningsperiode is tenminste 5 jaar, tenzij de verwachte gebruiksperiode korter is dan 5 jaar.
Na het lezen van de stukken klinkt dit op papier prima mmaar het standaardrecept uit Brussel begint wel erg voorspelbaar te worden elke keer, namelijk er wordt een probleem geconstateerd, dus nieuwe regels, meldplicht en toezicht. Bij een serieus cyberincident wil je toch vooral dat mensen bezig zijn met het probleem oplossen en klanten beschermen en niet met de vraag welk formulier wanneer naar welke instantie moet. En ondertussen stapelen CRA, NIS2, AVG en allerlei nationale regels zich op waarbij grote bedrijven daar complete afdelingen voor hebben terwijl de kleinere bedrijven uiteindelijk de rekening betalen. Cybersecurity is belangrijk maar meer administratie is niet automatisch meer veiligheid. |:(
Dat is een terecht punt, de EU vraagt gigantisch veel van kleine bedrijven. Eigenlijk zoveel dat het een bewuste bedrijfskeuze kan zijn om een deel van de compliance gewoon te laten zitten omdat het risico klein is en de effort groot.


Maar laten we wel wezen dat de CRA juist gaat over het voorkomen van incidenten en dat het meeste werk hiervoor aan de voorkant zit, tijdens de ontwerpfase. Dus een serieus cyberincident zou hierdoor minder moeten voorkomen, en tegelijkertijd soepeler moeten verlopen omdat je voor de CRA vooraf een plan maakt om incidenten af te handelen.
Een CPO is dan ook niet bezig met het technisch oplossen normaliter; het ligt meer voor de hand dat de CISO en developers/admins het oplossen doen en dat er een communicatielijn is tussen hen en de CPO. De CPO hoort de administratieve kant van het incident af te handelen en hoeft zich verder niet bezig te houden met oplossen. Het één hoeft helemaal niet ten koste te gaan van het ander.
Tja, bedrijven kunnen het ook gewoon zelf doen, en niet a la Odido pas weken later met info komen, die daarna nog maanden doordruppelt. De EU kan geen gezond verstand verplichten, ze kunnen alleen met regeltjes spelen, en die zijn voor iedereen gelijk. Een beetje onderscheid wordt er wel gemaakt, maar ook dat zullen ze moeten verantwoorden, want uiteindelijk staat iedereen klaar om de beleidsmakers af te kammen.
Het alternatief is dat we er een dictatuur van maken natuurlijk, lek je teveel gegevens (bepaald door de grote chef) dan komt er iemand je bedrijf even sluiten. Verweer bestaat niet, want da's maar gedoe. En dan elke paar jaar een nieuwe dictator kiezen natuurlijk :+
Goede maatregel. Dit dwingt organisaties om er bovenop te zitten. Hoe eerder je het weet hoe meer ellende je kunt voorkomen.
Onder de verordening moeten producten aan eisen in twee categorieën voldoen. De eerste categorie bevat regels voor veiligheid, updates en het minimaliseren van het aanvalsoppervlak.
Dat laatste vind ik eigenlijk wel perfect, als een apparaat als zo nodig iets met netwerk/internet moet doen dan moet standaard niet alles al mogelijk zijn.

Naar mijn idee zou het dan weer wel mooi zijn als er ook regels zouden komen omtrent verbindingen met diensten op 't internet (in de cloud zogezegd). Er zou eigenlijk ook een regel moeten zijn dat devices altijd lokaal te beheren moeten zijn* en dus ook zonder cloud volledig blijven werken en beheerd kunnen worden. Bij voorkeur zonder app en als het om security gaat bijvoorbeeld een optie om het alleen via bluetooth te kunnen doen (waarbij het dan wel jammer is dat er niet een goede bluetooth-standardisatie is voor het configureren van apparaten - of een soort simpele webachtige oplossing via bluetooth).
Het is wel goed dat er over na gedacht moet worden. Wij zitten op het moment van schrijven in een training hiervoor en het klinkt voor ons als veel van hetzelfde maar dan net even anders qua implementatie. Wij maken medische dingen dus veel van de tools hebben we al.

Het gaat er - kort door de bocht- vooral om dat je eens goed nadenkt er over. Het is sowieso goed om zo'n sessie uit te voeren voor een product.
Het zoveelste EU wetje die op papier niets waard is. Hoe weten ze ooit of een bedrijf al eerder van de hack wist. Dit moeten ze toch eerst zelf valideren en dat is waar alles vaak zo traag gaat.
Kortom een wet van niets want ze moeten nog steeds eerst zelf valideren en pas daarna gaat de 24 uur in.
Je gaat immers niet melden dat er mogelijk een hack was. Dat is niet erg slim om te doen.
Ik denk dat je veel te weinig van deze wet begrijpt om te zeggen dat het ‘een wet van niets is’. Lees je maar eens in wat de verplichtingen uit deze wet per 11 december 2027 zijn. Die gaan véél verder.
De essentie is proberen om preventief dingen te voorkomen.

Als er niets voorvalt dan hoef je ook niets te melden.
Ik denk dat ieder bedrijf dat wel probeert... Maar met systemen die zo complex zijn als dat ze tegenwoordig zijn ben je helaas afhankelijk van veel factoren en kan er dus iets gebeuren en is het dan ook niet 123 uitgezocht hoe en wat.
In de tijd dat ik nog bedrijfs-beveiliging regelde was het zo simpel als ergens een passwoord opzetten en een mapje delen of niet delen met account XYZ.
Daarbij gaat het op voor elke fabrikant die apparatuur op de EU markt brengt. Hoe gaat men dit ooit handhaven voor de legio Chinese (en Amerikaanse) fabrikanten die zo hun eigen ideeën hebben bij lokale wetgeving? Leuk idee wat alleen maar (brave) EU bedrijven gaat aanpakken.
"De EU verplicht" is een zin die wel erg vaak voorbij komt. Dan kun je denken, goed dat bedrijven met de billen bloot moeten, maar is daar werkelijk een wet voor nodig? Dit soort lekken komen toch wel uit op de een of andere manier. Als dan blijkt dat een bedrijf heeft geprobeerd om het in de doofpot te stoppen, leidt dat tot een enorme reputatieschade.

Dit is dus iets wat de markt prima zelf kan regelen. Daar hebben we de EU niet voor nodig.
Doet de markt het nu dus vanzelf, uit zich zelf ook al?
Zie wat er met Odido is gebeurd. Ja dus, de markt reguleert het zelf wel.
Elke regel van de EU komt omdat bedrijven er hun laars aan lappen.
Je moet die dus beschuldigen, niet de EU die hun problemen oplost.

Om te kunnen reageren moet je ingelogd zijn