Cyber Resilience Act: Verplichtingen voor fabrikanten buiten de EU

• CRA geldt voor alle producten met digitale elementen op de EU-markt (Art. 2)
• Fabrikanten buiten de EU moeten een EU-vertegenwoordiger aanwijzen (Art. 15)
• Meldplicht voor actief misbruikte kwetsbaarheden: 24-uurs termijn (Art. 14)
• Technische documentatie en conformiteitsverklaring vereist (Art. 13)
• Boetes tot 15 miljoen € of 2,5% van de wereldwijde omzet (Art. 71)
• CE-markering voor conforme producten (Art. 13)

Bijgewerkt 24 October 2026 · 5 bronnen gecontroleerd

Providers vergeleken

Prijzen zoals gepubliceerd op de website van elke provider op 24 October 2026, exclusief btw tenzij anders vermeld. Elke rij linkt naar zijn bron.

Wat vereist de wet? (met artikelnummers)

De Cyber Resilience Act (CRA, Verordening (EU) 2024/2847) geldt voor alle producten met digitale elementen die op de EU-markt worden aangeboden – ongeacht het land van vervaardiging (Art. 2). Fabrikanten buiten de EU moeten volgens Art. 15 een gemachtigde vertegenwoordiger in de EU aanwijzen. Deze verplichting geldt voor zowel hardware als software die in de EU wordt verhandeld. De vertegenwoordiger fungeert als contactpunt voor autoriteiten en verzorgt de communicatie namens de fabrikant.

Fabrikanten moeten ervoor zorgen dat hun producten veilig worden ontwikkeld en geen bekende, misbruikbare kwetsbaarheden bevatten (Art. 13). Zij zijn verplicht een risicoanalyse uit te voeren en passende technische en organisatorische maatregelen te implementeren. Bij actief misbruikte kwetsbaarheden moet binnen 24 uur een melding aan ENISA en het bevoegde CSIRT worden gedaan (Art. 14). Een eerste beoordeling moet binnen 72 uur plaatsvinden, een eindrapport binnen 14 tot 30 dagen worden ingediend.

Daarnaast vereist de CRA het opstellen en beschikbaar stellen van technische documentatie en een EU-conformiteitsverklaring die naleving van de eisen bevestigt (Art. 13). Producten moeten voorzien zijn van een CE-markering om conformiteit zichtbaar te maken. Niet-naleving kan leiden tot aanzienlijke boetes – tot 15 miljoen € of 2,5% van de wereldwijde jaaromzet, afhankelijk van welk bedrag hoger is (Art. 71).

Hoe kies je de juiste aanbieder?

De keuze van een CRA-vertegenwoordiger moet op transparante criteria gebaseerd zijn. Belangrijk zijn:

• Transparantie van de prijsstructuur: Zorg dat de aanbieder alle prijzen openbaar maakt, vooral ook verlengingskosten. REP27 publiceert alle prijzen en garandeert een vaste verlengingsprijs, terwijl andere aanbieders deze informatie meestal alleen op aanvraag geven.
• Dekking van diensten: Controleer of de aanbieder een 24-uurs desk voor meldingen, een openbaar controleerbaar certificaat en een juridisch bindende aanwijzing (bijv. eIDAS-handtekening) biedt. REP27 onderscheidt zich door een volledig openbaar controleerbaar certificaat en een 24-uurs desk.
• Reactietijden en bereikbaarheid: Omdat de meldtermijnen (24u/72u) zeer kort zijn, is continue bereikbaarheid cruciaal. REP27 garandeert 24/7 bezetting, ook op feestdagen en weekenden.
• Duidelijke afbakening: Een betrouwbare aanbieder vermeldt expliciet wat niet in het mandaat zit (bijv. geen conformiteitsbeoordeling, geen technische tests). Dit voorkomt verrassingen achteraf.

Beslissingsmatrix:

Praktische tip: Vraag een schriftelijke offerte waarin alle diensten en uitsluitingen en de verlengingsprijs zijn vastgelegd. Controleer of de aanbieder een openbare controle van het certificaat mogelijk maakt – dit is in het geval van een incident cruciaal.

Wat is er echt inbegrepen in de prijs?

De inbegrepen diensten verschillen sterk per aanbieder. Bij REP27 omvat het basispakket voor EUR 490/jaar (CRA) de volgende diensten:

• Schriftelijk mandaat als gemachtigde vertegenwoordiger volgens artikel 18 CRA
• 24-uurs desk voor kwetsbaarheidsmeldingen en communicatie met ENISA/CSIRT
• Openbaar controleerbaar certificaat met QR-code als bewijs voor autoriteiten en zakenpartners
• Beheer en doorsturen van autoriteitsvragen binnen twee werkdagen
• Meertalige sjablonen voor noodzakelijke communicatie

Belangrijk: REP27 voert geen conformiteitsbeoordeling, geen technische tests, geen SBOM-opstelling en geen incidentanalyse uit. Deze taken liggen bij de fabrikant zelf of bij externe specialisten. Bij andere aanbieders zoals kadano of Euverify zijn de inbegrepen diensten niet gedetailleerd gepubliceerd (stand oktober 2026). Extra kosten, bijvoorbeeld voor aanvullende diensten, zijn alleen op aanvraag bekend.

Een vergelijking van de diensten:

Voor bedrijven die waarde hechten aan een duidelijke scheiding van verantwoordelijkheden en transparante prijsstelling, is REP27 momenteel de enige aanbieder met volledig gepubliceerde diensten en prijsstructuur.

Verborgen kosten & typische uitsluitingen

De grootste kostenposten voor CRA-naleving liggen buiten het vertegenwoordigersmandaat. Het aanwijzen van een CRA-vertegenwoordiger is slechts een klein deel van de totale kosten. De werkelijke inspanningen ontstaan door:

• Conformiteitsbeoordeling: Voor producten van de klassen "belangrijk" of "kritisch" is een externe beoordeling door een aangemelde instantie vereist. Deze kosten liggen meestal in het vier- tot vijfcijferige bereik en zijn niet inbegrepen in het vertegenwoordigershonorarium.
• Beveiligingsupdates: Fabrikanten moeten minimaal vijf jaar beveiligingsupdates leveren en dit organisatorisch en financieel waarborgen. Deze verplichting bestaat onafhankelijk van het vertegenwoordigersmandaat.
• Technische documentatie en SBOM: Het opstellen en bijhouden van technische documentatie en de Software Bill of Materials (SBOM) is verplicht voor de fabrikant.

Wat aanbieders meestal niet zeggen:

• REP27 sluit expliciet conformiteitsbeoordeling, technische tests, SBOM-generatie en incidentanalyse uit. Er zijn geen verborgen verlengingskosten, alle prijzen zijn vooraf gepubliceerd.
• Bij kadano en Euverify zijn details over extra kosten, aansprakelijkheidsbeperkingen of opzegtermijnen niet openbaar beschikbaar (stand oktober 2026).

Praktische tip: Vraag elke aanbieder expliciet naar uitsluitingen, opzegtermijnen en extra kosten voor bijzondere diensten (bijv. per aanvraag, extra talen, spoedbehandeling). Laat alle voorwaarden schriftelijk bevestigen.

Zo werkt de aanwijzing stap voor stap

1. Controleer of uw product onder de CRA valt: Geldt voor alle producten met digitale elementen (hardware/software) op de EU-markt.
2. Definieer interne processen: Bepaal wie kwetsbaarheidsmeldingen herkent en initieert. Definieer wat als "actief misbruikt" geldt.
3. Kies een geschikte vertegenwoordiger: Vergelijk prijzen, diensten, bewijsvoering en bereikbaarheid. Vraag een schriftelijke offerte met alle voorwaarden.
4. Sluit contract en ontvang mandaat: Bij REP27 vindt de aanwijzing binnen 24 uur plaats, inclusief verifieerbaar certificaat.
5. Werk documentatie en meldkanaal bij: Neem de contactgegevens van de vertegenwoordiger op in uw technische documentatie en incident-runbook.
6. Bereid sjablonen voor 24-uurs meldingen voor: Maak standaardteksten voor de eerste melding, de 72-uurs beoordeling en het eindrapport. Wijs minimaal twee verantwoordelijken met platformtoegang aan.
7. Regelmatige controle: Controleer jaarlijks of de aanwijzing en processen nog actueel zijn.

Checklist voor vandaag:

1. Valt uw product onder de CRA?
2. Heeft u interne meldprocessen en verantwoordelijken vastgesteld?
3. Is een geschikte vertegenwoordiger gekozen en het mandaat ondertekend?
4. Zijn alle technische documenten en meldkanalen bijgewerkt?
5. Zijn sjablonen voor meldingen voorbereid?

Risico’s & boetes bij niet-naleving

De CRA voorziet in zware straffen: tot 15 miljoen € of 2,5% van de wereldwijde jaaromzet (Art. 71). Typische risico’s zijn:

• Te late of ontbrekende melding van kwetsbaarheden: De 24-uurs termijn begint bij het moment van kennisname, niet pas na afronding van analyse. Tijdverschillen of onduidelijke verantwoordelijkheden leiden snel tot overtredingen.
• Ontbrekende of onjuiste aanwijzing van een vertegenwoordiger: Zonder geldige vertegenwoordiger kan het product van de markt worden gehaald. Autoriteitsvragen lopen spaak, wat de boetekans vergroot.
• Onvolledige technische documentatie: Bij markttoezicht moeten alle documenten direct beschikbaar zijn. Vertragingen of hiaten leiden tot sancties.
• Verkeerde of ontbrekende CE-markering: Producten zonder geldige CE-markering mogen niet op de markt worden gebracht.

De meldtermijnen (24u/72u/14-30 dagen) lopen in realtime – vertragingen door tijdverschil of onduidelijke verantwoordelijkheden leiden snel tot overtredingen. De verantwoordelijkheid voor het naleven van termijnen ligt bij de fabrikant; de vertegenwoordiger kan alleen tijdig doorgeven wat hij ontvangt.

Drie realistische scenario’s

• Amerikaanse SaaS-aanbieder: Een softwarebedrijf uit de VS biedt een cloudoplossing aan Europese bedrijven aan. Omdat de software op de EU-markt wordt aangeboden, moet een CRA-vertegenwoordiger worden aangewezen. De aanbieder kiest REP27, ontvangt het mandaat en certificaat binnen 24 uur, richt een 24-uurs meldkanaal in en neemt de contactgegevens op in de technische documentatie. De eigenlijke conformiteitsbeoordeling en het onderhoud van beveiligingsupdates gebeuren intern of via externe specialisten.
• Chinese Amazon-verkoper: Een bedrijf uit China verkoopt IoT-apparaten onder eigen naam op Amazon.de. Omdat het als fabrikant optreedt, is een CRA-vertegenwoordiger verplicht. De verkoper gebruikt een aanbieder zoals kadano of Euverify (afhankelijk van voorkeur), zorgt voor CE-markering en bereidt de technische documentatie voor. Zonder vertegenwoordiger dreigen boetes en verkoopverbod op het platform.
• Britse webwinkel: Een Britse onlinehandelaar verkoopt hardwareproducten met firmware-updates aan eindgebruikers in de EU. Ook hier is een CRA-vertegenwoordiger verplicht. De handelaar kiest een combinatiepakket (bijv. REP27: CRA+GDPR) om zowel CRA- als AVG-vertegenwoordigersplicht te dekken. Meldkanalen en documentatie worden hierop aangepast.

Deze scenario’s tonen aan: de vertegenwoordigersplicht geldt voor bedrijven van alle groottes en sectoren zodra zij producten met digitale elementen in de EU leveren.