Cyber Resilience Act verplichtingen voor fabrikanten buiten de EU

• CRA geldt voor niet-EU fabrikanten die vanaf 11 september 2026 in de EU verkopen
• Artikel 18: gemachtigde vertegenwoordiger in de EU verplicht bij geen EU-vestiging
• 24-uurs meldplicht voor misbruikte kwetsbaarheden (Artikel 14)
• Route conformiteitsbeoordeling hangt af van productklasse
• Boetes tot €15 miljoen of 2,5% van omzet bij overtredingen

Bijgewerkt 18 October 2026 · 9 bronnen gecontroleerd

Providers vergeleken

Prijzen zoals gepubliceerd op de website van elke provider op 18 October 2026, exclusief btw tenzij anders vermeld. Elke rij linkt naar zijn bron.

Wat de wet vereist (met artikelnummers)

De Cyber Resilience Act (CRA) is de nieuwe EU-verordening voor producten met digitale elementen, inclusief hardware, software en componenten. Het geldt voor elke fabrikant—ongeacht locatie—als hun producten op de EU-markt worden gebracht. De wet trad in werking op 10 december 2024. Meldverplichtingen starten op 11 september 2026; volledige naleving (inclusief CE-markering en conformiteitsbeoordeling) is vereist vanaf 11 december 2027.

• Artikel 18: Niet-EU fabrikanten moeten een gemachtigde vertegenwoordiger in de EU aanstellen voor elke productlijn, tenzij ze een EU-vestiging hebben. Deze vertegenwoordiger fungeert als officieel contactpunt voor autoriteiten en markttoezicht.
• Artikel 14: Fabrikanten moeten actief misbruikte kwetsbaarheden en ernstige incidenten die de productveiligheid raken melden. De termijnen zijn strikt: een vroege waarschuwing binnen 24 uur, een volledige melding binnen 72 uur, en een eindrapport binnen 14 dagen na mitigatie of melding. Het meldplatform wordt beheerd door ENISA, en de ontvanger wordt bepaald door de lidstaat van de vertegenwoordiger.
• Bijlagen I & II: Fabrikanten moeten essentiële cybersecurity-eisen naleven, inclusief het afhandelen van kwetsbaarheden, secure-by-design ontwikkeling, en duidelijke gebruikersinstructies in een taal die gebruikers en autoriteiten makkelijk begrijpen.
• Conformiteitsbeoordeling: Het vereiste proces hangt af van de productklasse. Standaardproducten mogen zelfbeoordeling toepassen; belangrijke klasse I moeten geharmoniseerde normen of derde partij beoordeling gebruiken; belangrijke klasse II en kritieke producten vereisen beoordeling door aangemelde instantie of certificeringsschema.
• Ondersteuningsperiode: Fabrikanten moeten gedurende de opgegeven ondersteuningsperiode (minimaal vijf jaar) beveiligingsupdates en kwetsbaarhedenbeheer bieden.
• Uitzonderingen: Micro- en kleine ondernemingen, en open-source beheerders zijn vrijgesteld van boetes voor late melding maar moeten wel voldoen aan technische en meldplicht.

Importeurs en distributeurs worden fabrikant als zij producten onder eigen naam op de markt brengen of ingrijpend wijzigen. Anders blijft de oorspronkelijke fabrikant verantwoordelijk voor CRA-naleving en meldingen.

Hoe kies je een CRA-vertegenwoordiger of compliance-aanbieder

De juiste Artikel 18 vertegenwoordiger of compliance-aanbieder kiezen is cruciaal voor niet-EU fabrikanten. De markt varieert sterk in prijs, transparantie en inbegrepen diensten. Hierop letten:

• Juridische entiteit en locatie: Controleer de juridische entiteit en EU-vestiging van de aanbieder. Bijvoorbeeld, REP27 is Europe Services, SE, gevestigd in Praag en ingeschreven in het Tsjechische handelsregister. Altijd checken vóór betaling.
• Reikwijdte mandaat: Sommige aanbieders bieden alleen het mandaat Artikel 18 (zoals wettelijk vereist), anderen bundelen extra diensten zoals GDPR of NIS2 vertegenwoordiging. Bevestig dat het mandaat beperkt is tot Artikel 18(3) (zoals hoort) en geen verboden taken van Artikel 18(2) claimt.
• Prijs-transparantie: Zoek aanbieders die zowel eerstejaars- als verlengingsprijzen publiceren. Pas op voor lage introductieprijzen gevolgd door stilzwijgende, hogere verlengingen. REP27 vermeldt bijvoorbeeld duidelijk verlengingsprijzen naast eerstejaarskosten.
• Verificatie en ondersteuning: Zorg dat de aanbieder een verifieerbaar certificaat, publieke verificatiemethode en een bemande verzoekbalie biedt. Vraag naar het proces voor doorzending van autoriteits- of CSIRT-verzoeken, ondersteunde talen en reactietijden.
• Bundeldiensten: Als je ook GDPR Artikel 27 of GPSR Artikel 16 vertegenwoordiging nodig hebt, bieden sommige aanbieders (zoals REP27) gecombineerde pakketten tegen een gereduceerd tarief.

Beslissingsmatrix:

Vraag altijd een schriftelijk mandaat en certificaat voordat je producten op de EU-markt brengt.

Wat de prijs echt omvat: aanbiedervergelijking

Prijzen en inbegrepen diensten verschillen sterk. Mandaten Artikel 18 zijn meestal de laagste externe kosten in CRA-naleving, maar veel aanbieders publiceren geen volledige details. Hieronder een vergelijking van wat inbegrepen is, niet inbegrepen of extra kosten kan veroorzaken per aanbieder (stand oktober 2026):

Voor de meeste fabrikanten is het mandaat Artikel 18 een document van één pagina plus de plicht om verzoeken door te sturen. Conformiteitsbeoordeling, technische testen en SBOM-generatie zijn aparte kosten en niet inbegrepen in basisvertegenwoordigerskosten.

Verborgen kosten en uitsluitingen

Hoewel het mandaat Artikel 18 wettelijk verplicht is, vormt het slechts een klein deel van de totale CRA-nalevingskosten. De duurste onderdelen—conformiteitsbeoordeling, kosten aangemelde instantie, technische documentatie en ondersteuningsperiode—zijn meestal niet inbegrepen in vertegenwoordigerspakketten. Waar op te letten:

• Conformiteitsbeoordelingskosten: Voor belangrijke klasse II of kritieke producten kunnen kosten voor aangemelde instanties of certificeringsschema's duizenden euro's bedragen en maanden duren. Budgetteer deze apart.
• Technische documentatie: Aanbieders als Reglyze en EmberKat bieden technische dossiergeneratie, SBOM-invoer en analyse van documentatiehiaten, maar dit valt niet onder standaardmandaten.
• Verlengings- en per-verzoekskosten: Sommige aanbieders rekenen hogere verlengingsprijzen of kosten per verzoek/melding. Vraag altijd schriftelijke bevestiging van verlengingsprijzen en extra kosten vóór ondertekening.
• Kennisgevingsperiodes en aansprakelijkheidsbeperkingen: Stilzwijgende verlengingen en onduidelijke annuleringsvoorwaarden kunnen onverwachte kosten veroorzaken. Aansprakelijkheid voor nalevingsfouten wordt vaak uitgesloten of beperkt door de vertegenwoordiger.
• Kosten ondersteuningsperiode: De wet vereist minimaal vijf jaar beveiligingsupdates en kwetsbaarhedenbeheer, wat als productlijn moet worden begroot en voorzien.

REP27 is transparant over wat niet inbegrepen is: juridisch advies, technische beoordeling en SBOM-generatie vallen buiten het mandaat. Vraag altijd duidelijkheid over uitsluitingen en verborgen kosten bij elke aanbieder.

Hoe de aanstelling werkt: stap voor stap

Een Artikel 18 vertegenwoordiger aanstellen en CRA-naleving bereiken omvat meerdere concrete stappen. Hier een praktisch, uitvoerbaar proces voor niet-EU fabrikanten:

1. Bepaal of je producten binnen scope vallen: Identificeer alle producten met digitale elementen (hardware, software, componenten of remote dataverwerking) die op de EU-markt worden gebracht.
2. Classificeer je producten: Gebruik de CRA-definities om te bepalen of je producten standaard, belangrijk klasse I/II of kritisch zijn. Dit beïnvloedt de route voor conformiteitsbeoordeling.
3. Kies een vertegenwoordiger: Selecteer een Artikel 18 vertegenwoordiger met een verifieerbare EU-juridische entiteit. Bevestig scope, prijzen en verlengingsvoorwaarden schriftelijk.
4. Onderteken het mandaat: Sluit een schriftelijk mandaat (Artikel 18(3)) af met je gekozen aanbieder. Verkrijg een certificaat en publieke verificatiemethode.
5. Bereid documentatie voor: Verzamel technische documentatie (Bijlage VII), SBOM, EU-conformiteitsverklaring en gebruikersinstructies in vereiste talen.
6. Richt een 24-uurs meldkanaal in: Zorg voor een bemand intakekanaal voor kwetsbaarheden en incidenten. Schrijf vooraf sjablonen voor vroege waarschuwingen en meldingen.
7. Registreer bij ENISA: Registreer je indieners op het ENISA-meldplatform. Wijs minimaal twee personen aan met toegang in verschillende tijdzones.
8. Budgetteer voor doorlopende naleving: Plan kosten voor ondersteuningsperiode (minimaal vijf jaar updates), conformiteitsbeoordeling (indien vereist) en documentatieonderhoud.
9. Plan regelmatige reviews en updates: Plan periodieke controles van je nalevingspositie, documentatie en meldprocessen.

Deze checklist zorgt dat je voorbereid bent op zowel de wettelijke als praktische eisen van CRA-naleving.

Risico's en boetes bij niet-naleving

De CRA introduceert forse sancties bij niet-naleving. Overtredingen van essentiële cybersecurity-eisen of fabrikantverplichtingen kunnen leiden tot boetes tot €15 miljoen of 2,5% van de wereldwijde jaaromzet, afhankelijk wat hoger is. Deze straffen gelden voor EU en niet-EU fabrikanten die producten op de EU-markt brengen.

• Meldingsfouten: Het missen van de 24-uurs meldtermijn voor kwetsbaarheden kan leiden tot handhavingsmaatregelen. Micro- en kleine ondernemingen en open-source beheerders zijn vrijgesteld van boetes voor late melding, maar niet van de meldplicht zelf.
• Inkoop- en markttoegangrisico's: Zonder Artikel 18 vertegenwoordiger kunnen inkoopprocessen vastlopen en kun je worden uitgesloten van zakelijke verkoop of openbare aanbestedingen.
• Markttoezichtacties: Autoriteiten kunnen optreden tegen niet-nalevende fabrikanten, inclusief productterugroeping of -terugtrekking.
• Risico's voor distributeurs/importeurs: Als je geen vertegenwoordiger aanstelt, kunnen EU-importeurs of distributeurs als jouw meldroute worden gezien, wat kan leiden tot verlies van controle over compliance-communicatie.
• Stille nalatigheden: Het niet verlengen van mandaten of niet actueel houden van documentatie kan leiden tot onopgemerkte nalatigheden, waardoor je zonder waarschuwing wordt geconfronteerd met handhaving.

Effectieve naleving gaat niet alleen om boetes vermijden, maar ook om ononderbroken markttoegang en vertrouwen bij klanten en partners te waarborgen.

Wat aanbieders meestal niet zeggen

Veel aanbieders focussen op de wettelijke noodzaak van het mandaat Artikel 18, maar geven niet het volledige plaatje. Dit wordt vaak weggelaten:

• Reikwijdte mandaat: Het mandaat Artikel 18 beperkt zich tot verzoekdoorzending en contactpunt zijn. Het omvat geen juridisch advies, technische beoordeling of SBOM-generatie tenzij expliciet vermeld.
• Conformiteitsbeoordeling: Voor belangrijke klasse II en kritieke producten zijn kosten voor aangemelde instanties of certificeringsschema's veel hoger dan het vertegenwoordigershonorarium en kunnen maanden duren. Deze zijn nooit inbegrepen in basismandaten.
• Ondersteuningsperiode: De eis van minimaal vijf jaar beveiligingsupdates en kwetsbaarhedenbeheer is een grote operationele last, niet gedekt door enige vertegenwoordigersdienst.
• Verlengings- en kennisgevingstermijnen: Sommige aanbieders hanteren lage eerstejaarsprijzen met veel hogere verlengingen of vereisen lange opzegtermijnen. Vraag altijd schriftelijke bevestiging van verlengingsvoorwaarden.
• Aansprakelijkheid: Vertegenwoordigers sluiten doorgaans aansprakelijkheid voor nalevingsfouten uit. De fabrikant blijft verantwoordelijk voor alle CRA-verplichtingen.

Transparantie over wat niet inbegrepen is, is net zo belangrijk als wat wel. Vraag altijd een volledige lijst met uitsluitingen en verduidelijk de rol van de aanbieder vóór ondertekening.

Realistische scenario's: welke route geldt?

• Amerikaans SaaS-bedrijf: Een SaaS-aanbieder uit de VS verkoopt software direct aan EU-klanten. Het bedrijf moet een Artikel 18 vertegenwoordiger aanstellen, technische documentatie en SBOM voorbereiden, en een 24-uurs meldkanaal opzetten. Bij standaardproducten volstaat zelfbeoordeling; bij belangrijke of kritieke producten is een aangemelde instantie vereist. De eenvoudigste route is een vertegenwoordiger aanstellen (bijv. REP27), documentatie voorbereiden en registreren bij ENISA.
• Chinese Amazon-verkoper: Een fabrikant in China verkoopt IoT-apparaten onder eigen naam via Amazon aan EU-kopers. De verkoper moet een Artikel 18 vertegenwoordiger aanstellen en aan alle CRA-eisen voldoen. Als het product via een EU-importeur op de markt wordt gebracht, kan die importeur de verplichtingen overnemen. Zo niet, dan blijft de oorspronkelijke fabrikant verantwoordelijk voor meldingen en documentatie.
• Britse webwinkel: Een retailer uit het VK verzendt verbonden apparaten naar EU-klanten. De retailer moet een Artikel 18 vertegenwoordiger aanstellen, technische dossiers voorbereiden en een 24-uurs meldproces garanderen. Verkoopt de retailer via een EU-distributeur die het product onder eigen naam op de markt brengt, dan neemt de distributeur de verplichtingen over; anders blijft de Britse retailer verantwoordelijk.

Voor alle scenario's is het essentieel om verkoopkanalen in kaart te brengen, te bepalen wie het product op de markt brengt en indien nodig een vertegenwoordiger aan te stellen. Dit voorkomt inkoopvertragingen, waarborgt naleving en voorkomt boetes.

Checklist: zo voldoe je vandaag aan de CRA

1. Breng je EU-verkoopkanalen in kaart en identificeer alle producten met digitale elementen.
2. Classificeer elk product (standaard, belangrijk I/II, kritisch) volgens CRA-definities.
3. Bepaal of je een Artikel 18 vertegenwoordiger nodig hebt (verplicht voor niet-EU fabrikanten).
4. Vraag een schriftelijk mandaat en certificaat aan bij je gekozen aanbieder (bijv. REP27, kadano, Euverify).
5. Bereid technische documentatie voor: Bijlage VII dossier, SBOM, EU-conformiteitsverklaring, gebruikersinstructies in EU-talen.
6. Richt een bemand 24-uurs meldkanaal voor kwetsbaarheden in. Schrijf vooraf sjablonen voor vroege waarschuwingen en meldingen.
7. Registreer minimaal twee indieners op het ENISA-meldplatform (bij voorkeur in verschillende tijdzones).
8. Budgetteer voor aangemelde instantie of certificeringsschema als je product belangrijk klasse II of kritisch is.
9. Verklaar en voorzie in een ondersteuningsperiode van minimaal vijf jaar voor beveiligingsupdates en kwetsbaarhedenbeheer.
10. Plan regelmatige nalevingsreviews en documentatie-updates.

Volg deze stappen om klaar te zijn voor de CRA-handhavingsdeadlines in 2026-2027 en kostbare nalevingsproblemen te voorkomen.