De Cyber Resilience Act legt de plicht op het product en niet op uw organisatie: wie software of een connected apparaat op de Europese markt brengt, moet kunnen laten zien hoe het is gebouwd, jarenlang updates leveren en binnen 24 uur melden. Wij richten dat in als proces en bouwen de software die het draagbaar maakt.
De Cyber Resilience Act (Verordening EU 2024/2847) is op 10 december 2024 in werking getreden. De meldplicht voor actief misbruikte kwetsbaarheden en ernstige incidenten geldt vanaf 11 september 2026; de rest van de verplichtingen vanaf 11 december 2027. Hij raakt iedereen die een product met digitale elementen op de Europese markt brengt — software, firmware en apparaten die verbinding maken — en dus veel meer bedrijven dan alleen fabrikanten van hardware.
Wat de verordening bijzonder maakt, is het aangrijpingspunt. U kunt niet volstaan met beleid: er moet aantoonbaar iets in en om het product zelf geregeld zijn. De tweede eigenaardigheid is de looptijd. Minstens vijf jaar beveiligingsupdates leveren voor iets wat u vandaag uitbrengt, betekent dat u over vijf jaar nog moet kunnen bouwen, testen en uitleveren voor deze versie. Dat is een ontwerpvraag over hoe u uw software opknipt en hoe u versies uit elkaar houdt.
Wij zijn geen notified body en doen geen conformiteitsbeoordeling; daarvoor gaat u naar een aangemelde instantie of doet u de zelfbeoordeling. Wat wij wel doen is het werk dat daaronder ligt: een SBOM die automatisch ontstaat, een proces voor kwetsbaarheden dat de meldtermijnen haalt, en een uitleverketen die een update ook over vijf jaar nog bij uw klant krijgt. Voor organisaties die daarnaast onder de Cyberbeveiligingswet vallen, richten we die processen zo in dat ze elkaar voeden.
Welke variant bij u het meeste oplevert, hangt af van wat u maakt en van waar u nu staat. In het eerste gesprek zeggen we waar het gat het grootst is.
De CRA vraagt een SBOM van minstens de bovenste laag afhankelijkheden en een proces om kwetsbaarheden af te handelen. Wij hangen het genereren van dat overzicht in uw bouwstraat, zodat het niet kan verouderen, en zetten de signaalbronnen erop aan. Daarna richten we de beoordeling in: welke bevinding raakt welke uitgebrachte versie, wie beslist, en binnen welke termijn wordt er hersteld. Dat is de basis waar de meldplicht op leunt.
Drie termijnen, en de klok begint bij constateren. Wij leggen vast wie de vroege waarschuwing stuurt, waar de informatie vandaan komt en hoe het bericht eruitziet, en oefenen het een keer met een realistisch scenario. Dat oefenen is het onderdeel dat het vaakst wordt overgeslagen en het meeste blootlegt: meestal blijkt niet het melden maar het beoordelen de vertragende stap te zijn.
Een kanaal waarlangs u een beveiligingsupdate bij uw klant krijgt, ook voor een versie die al jaren draait. Ondertekende pakketten, een versiebeleid dat oude uitgaven ondersteunbaar houdt, een terugrol-optie, en zicht op welke klant op welke versie zit. Voor apparaten in het veld hoort daar een update over de lucht bij, met de zekerheid dat een half mislukte update het apparaat niet onbruikbaar maakt.
Werkende techniek plus de vastlegging die u nodig heeft op het moment dat een afnemer of een toezichthouder ernaar vraagt.
Vier situaties waarin het gat tussen wat er staat en wat de verordening vraagt in de praktijk het grootst blijkt.
Voor software die u zelf draait, is een update een handeling. Voor software die bij klanten op apparaten staat, is het een keten die u ingericht moet hebben voordat u hem nodig heeft. Dat is bijna altijd het langstlopende onderdeel van een CRA-traject.
Er komt een signaal binnen over een component, en dan moet iemand vaststellen of uw product die gebruikt, in welke versie, en of de kwetsbare functie bij u wordt aangeroepen. Met een actueel overzicht is dat minuten werk; zonder wordt het een rondje bellen dat niet in 24 uur past.
U brengt jaarlijks een nieuwe versie uit en ondersteunt de vorige een half jaar. Vijf jaar updates leveren betekent dan dat u uw versiebeleid moet herzien, niet dat u harder moet patchen.
Nog voordat de verplichting volledig geldt, vragen afnemers in hun voorwaarden om een componentoverzicht en om afspraken over updates. Wie dat pas bij de eerste uitvraag moet maken, is dagen kwijt en komt zwak voor de dag.
Eerst de vraag welke van uw producten onder de verordening vallen en in welke categorie ze terechtkomen, want daar hangt af of een zelfbeoordeling volstaat. We kijken ook of u fabrikant, importeur of distributeur bent; die rollen hebben elk andere plichten en dat onderscheid bepaalt de helft van de scope.
We lopen de essentiele eisen langs tegen wat er nu is: welke componenten zitten erin, hoe worden kwetsbaarheden nu opgemerkt, hoe komt een update bij de klant, en wat is er vastgelegd. Het resultaat is een lijst met gaten, gesorteerd op hoe lang het duurt om ze te dichten en niet op hoe erg ze klinken.
We werken in tweewekelijkse sprints en beginnen bij het componentoverzicht, want daar leunt de rest op. Daarna de signaalbronnen en de beoordeling, dan het meldproces, dan de uitlevering. Uw eigen ontwikkelaars werken mee; dit is proceswerk en dat kan niet naast de organisatie blijven staan.
Een tabletop-oefening met een realistische melding: een kwetsbaarheid in een component die u gebruikt, actief misbruikt, gemeld op een vrijdagmiddag. We meten hoe lang het duurt voordat er een onderbouwd oordeel ligt, en waar het vastliep. Dat is waardevoller dan welke procesbeschrijving ook.
De technische documentatie ordenen we zo dat ze bijgehouden wordt waar het werk gebeurt. Daarna een overdracht aan uw team en, als u dat wil, een periode waarin wij meekijken bij de eerste echte meldingen.
Wat productverantwoordelijken, CTO’s en compliance-officers ons vragen voordat zo’n traject begint.
Een kennismaking van een half uur, vrijblijvend. Vertel wat u maakt en aan wie u het levert, dan zeggen we waar het gat waarschijnlijk zit en wat er als eerste moet — ook als we uiteindelijk niet samenwerken.
Appfront gebruikt cookies en vergelijkbare technieken voor een goede werking van de website, voor analyse en voor marketing. Je kiest zelf wat je toestaat. Lees meer in ons privacybeleid.
