CRA Assistent
Vragen over de Cyber Resilience Act
Vragen over de Cyber Resilience Act
Hallo, ik ben de CRA-assistent. Stel gerust uw vraag over de Cyber Resilience Act, over rollen en verplichtingen, of over het gebruik van CRA-Portal.
Blijf op de hoogte van de laatste ontwikkelingen rondom de Cyber Resilience Act.
Op 21 oktober 2026 maakte het PHP-team twee kritieke kwetsbaarheden bekend, CVE-2026-109618 en CVE-2026-109619, beide met een CVSS-score van 9,2. Ze maken uitvoering van code op afstand mogelijk en raken elke versie vanaf PHP 5.4. In Nederland gingen onder meer DigiD, MijnOverheid, de Tweede Kamer, het NCSC zelf, Schiphol en zes ziekenhuizen uit voorzorg offline. Voor fabrikanten draait het om twee vragen. Zit dit onderdeel in mijn product, en in welke versie? En moet ik melden? Een actief uitgebuite kwetsbaarheid meldt u binnen 24 uur, ook wanneer die niet in uw eigen code zit maar in een onderdeel dat u meelevert; een bekende maar nog niet uitgebuite kwetsbaarheid valt niet onder die klok. Wie op PHP 7.4 draait had die dag geen keuze tussen patchen en wachten: die versie is sinds november 2022 uit onderhoud en krijgt geen patch.
In de nacht van 11 op 12 oktober 2026 zetten aanvallers de koelinstallaties van naar schatting 250 tot 350 Franse supermarkten in een permanente ontdooistand, met temperaturen die richting 50 graden liepen. Getroffen waren onder meer Intermarché, Netto, Coopérative U, Leclerc, Carrefour Market en Monoprix. Eén winkel in de Elzas meldde ruim 220.000 euro schade; landelijk loopt het verlies in de miljoenen. De regelpanelen van de Deense fabrikant Danfoss zijn via internet bereikbaar zodat onderhoudspartijen op afstand kunnen bijstellen, en de getroffen units draaiden verouderde firmware. CISA waarschuwde in mei 2025 al voor een authenticatie-bypass in de AK-SM 8xxA-serie (CVE-2025-41450). Een koelregelaar lijkt een onbeduidend kastje, maar het is een product met digitale elementen: de CRA stelt eisen aan veilige standaardinstellingen, aan authenticatie bij toegang op afstand, aan een ondersteuningsperiode met beveiligingsupdates en aan het melden van actief misbruikte kwetsbaarheden. Dit incident laat zien wat het kost als die basis ontbreekt: niet een datalek, maar dagen omzet, bedorven voorraad en stilstand.
Sinds 11 september 2026 is het Single Reporting Platform van ENISA in gebruik, op portal.cra-srp.enisa.europa.eu. Er is een handleiding voor gemachtigden, een instructievideo en een begrippenlijst bij de invulvelden. Een koppeling via een API is er niet: registreren en melden gaat handmatig. Let op twee verschillende eindrapport-termijnen: bij een kwetsbaarheid uiterlijk veertien dagen nadat een oplossing beschikbaar is, bij een ernstig incident binnen een maand na de melding van 72 uur. Voor open-source stewards begint de meldplicht pas op 11 december 2027, en vrijwillig melden is op het platform nog niet mogelijk.
De meld- en rapportageplicht van de CRA voor incidenten en kwetsbaarheden geldt vanaf 11 september 2026 via het ENISA Single Reporting Platform. ENISA heeft FAQ's, een tweepagina-factsheet en stapsgewijze handleidingen gepubliceerd voor registratie en het indienen van meldingen. Daarnaast bracht ENISA de Secure by Design and Default Playbook uit — 22 praktische playbooks voor de hele levenscyclus van een product — en publiceerden internationale partners de 2026-minimumelementen voor een Software Bill of Materials (SBOM).
De Europese Commissie heeft haar officiële richtlijnen voor de uitvoering van de Cyber Resilience Act gepubliceerd. Deze verduidelijken de reikwijdte — waaronder oplossingen voor gegevensverwerking op afstand en vrije en opensource-software — wat een 'substantiële wijziging' is, hoe ondersteuningsperioden gelden, en de verplichtingen voor rapportage en risicobeoordeling. De richtlijnen bevatten 67 praktische voorbeelden, use-cases en stroomschema's, speciaal voor mkb en micro-ondernemingen.
ENISA heeft de FAQ over het CRA Single Reporting Platform geactualiseerd, met de datavelden die fabrikanten onder artikel 14 moeten aanleveren bij het melden van incidenten. Daarnaast loopt tot 10 juli 2026 een openbare consultatie over een conceptadvies voor veilige update-mechanismen voor het mkb.
De OpenSSF heeft namens haar community feedback ingediend op twee EU-consultaties: de revisie van de Cybersecurity Act en wijzigingen in de NIS2-richtlijn. Ook werd input geleverd op het ENISA 'Secure by Design'-handboek voor het mkb.
ENISA heeft een concepthandleiding gepubliceerd om mkb-bedrijven te helpen security vanaf het ontwerp in te bedden in hun producten. De handleiding biedt praktische stappen voor engineering-, product- en releaseprocessen.
De CRA is op 10 december 2024 in werking getreden. Fabrikanten, importeurs en distributeurs van producten met digitale elementen moeten voldoen aan de nieuwe cyberbeveiligingseisen vóór 11 december 2027.
De CRA-regelgeving is nog volop in ontwikkeling. Neem contact op voor de laatste inzichten.
Onze specialisten helpen u graag verder met uw compliance-traject.