Brussel geeft bedrijven houvast voor strengere cyberregels
De Europese Commissie heeft een praktische leidraad gepubliceerd om fabrikanten, ontwikkelaars en bedrijven te ondersteunen bij het naleven van de regels uit de Cyber Resilience Act (CRA). Met de publicatie wil Brussel de wetgeving vereenvoudigen en organisaties – in het bijzonder het mkb – helpen om zich tijdig voor te bereiden op de komende verplichtingen.
Digitale producten zoals smartwatches, babyfoons, mobiele applicaties en computersoftware spelen een centrale rol in het dagelijks leven van Europese burgers en bedrijven. De Cyber Resilience Act, die sinds december 2024 van kracht is, stelt verplichte beveiligingseisen aan de volledige levenscyclus van deze apparaten en software om gebruikers beter te beschermen tegen cyberdreigingen.
Duidelijkheid over reikwijdte en verplichtingen
De nieuwe richtlijnen zijn bedoeld om de wetgeving in de praktijk hanteerbaar te maken. De Commissie biedt hiermee vroegtijdig verduidelijking over vragen waar veel marktpartijen mee worstelen. Zo geeft het document antwoord op:
Wanneer specifieke producten onder de CRA vallen, waaronder cloudoplossingen voor gegevensverwerking en gratis open source software.
Wat exact wordt verstaan onder een 'substantiële wijziging' van een product.
Hoe ondersteuningsperiodes (support periods) moeten worden geïnterpreteerd en toegepast.
Op welke wijze bedrijven moeten voldoen aan risicobeoordelingen en meldplichten.
Om de administratieve druk voor micro-ondernemingen en het mkb te beperken, bevat de leidraad 67 praktische voorbeelden, stroomdiagrammen en casestudies. De publicatie sluit aan bij het bredere vereenvoudigingsbeleid van de Commissie, dat eerder werd ingezet met de Digital Omnibus in november 2025.
Belangrijke deadlines in 2026 en 2027
Hoewel het document juridisch niet-bindend is, geeft het bedrijven de nodige houvast om hun processen tijdig aan te passen. De voornaamste verplichtingen uit de Cyber Resilience Act worden van kracht op 11 december 2027. De meldplicht voor incidenten en kwetsbaarheden geldt echter al aanzienlijk sneller, namelijk vanaf 11 september 2026.
De leidraad is tot stand gekomen na consultaties met deskundigen en een openbare raadpleging begin 2026. De Europese Commissie geeft aan de ontwikkelingen nauwkeurig te blijven volgen en sluit aanvullende richtlijnen in de toekomst niet uit.
Meer over cybersecurity
Over Witold Kepinski
