Elk product met digitale elementen dat u op de EU-markt brengt moet vanaf 11 december 2027 voldoen aan essentiële cybersecurity-eisen. De meldplicht geldt al sinds 11 september 2026.
Draagt de volledige set eisen: ontwerp, risicobeoordeling, documentatie, conformiteit, updates en melden.
Controleert dat de fabrikant heeft voldaan en dat CE-markering en documentatie aanwezig zijn.
Controleert CE-markering en informatie, en handelt bij bekende tekortkomingen.
Hoe hoger het risico van het product, hoe zwaarder de conformiteitsbeoordeling.
Zelfbeoordeling door de fabrikant.
Geharmoniseerde norm toepassen, of beoordeling door een derde partij.
Beoordeling door een aangemelde instantie.
Europese cybersecuritycertificering kan verplicht worden.
Veilig ontworpen en standaard veilig geconfigureerd, op basis van een gedocumenteerde risicobeoordeling.
Een software bill of materials van ten minste de directe afhankelijkheden, in een gangbaar formaat.
Een beleid voor coordinated vulnerability disclosure en een proces om kwetsbaarheden te verhelpen.
Beveiligingsupdates gedurende de ondersteuningsperiode — minimaal vijf jaar, tenzij het product korter meegaat.
Technische documentatie, EU-conformiteitsverklaring en CE-markering.
Actief uitgebuite kwetsbaarheden en ernstige incidenten melden via het centrale meldplatform.
Zorgplicht, meldplicht en registratie voor de organisatie als geheel. Toezicht per sector.
WIE U BENTEisen aan elk product met digitale elementen dat u op de EU-markt brengt, gedurende de hele levenscyclus.
WAT U LEVERTProductinventaris, classificatie en de route naar conformiteit.
Toetsing aan de essentiële eisen, met prioriteiten per productlijn.
SBOM-proces in de build-straat, CVD-beleid en afhandeling van kwetsbaarheden.
Productsecurity-incidentresponsteam ingericht, met meldroute en draaiboek.
Risicobeoordeling, documentatie en conformiteitsverklaring, klaar voor markttoezicht.
Start met de CRA-productscan. Afgebakend en met een onderbouwde classificatie.