CRA Assistent
Vragen over de Cyber Resilience Act
Vragen over de Cyber Resilience Act
Hallo, ik ben de CRA-assistent. Stel gerust uw vraag over de Cyber Resilience Act, over rollen en verplichtingen, of over het gebruik van CRA-Portal.
Op 21 oktober 2026 maakte het PHP-team twee kritieke kwetsbaarheden bekend, CVE-2026-109618 en CVE-2026-109619, beide met een CVSS-score van 9,2. Ze maken uitvoering van code op afstand mogelijk en raken elke versie vanaf PHP 5.4. Omdat de informatie vroegtijdig uitlekte, werd de beveiligingsupdate vervroegd naar diezelfde middag 16:00 uur.
In Nederland gingen onder meer DigiD, MijnOverheid, de Tweede Kamer, het NCSC zelf, Schiphol en zes ziekenhuizen uit voorzorg offline. Het Nationaal Cyber Security Centrum adviseerde per systeem dat PHP gebruikt en vanaf internet bereikbaar is te beoordelen of extra maatregelen nodig waren, tot en met het uitschakelen van dat systeem.
Dit is geen artikel over PHP. Het is een uitgewerkt voorbeeld van wat de Cyber Resilience Act in zo’n situatie van een fabrikant verwacht, omdat dit het soort gebeurtenis is waar die verordening voor geschreven is.
Zit dit onderdeel in mijn product, en zo ja, in welke versie?
Dat klinkt eenvoudig en is het zelden. PHP zit niet alleen in websites. Het zit in beheerinterfaces van apparatuur, in installatiescripts, in verouderde modules die ooit zijn meegeleverd en waar niemand meer naar omkijkt. Wie die vraag niet binnen een uur kan beantwoorden, heeft geen probleem met PHP maar met zijn eigen overzicht.
De Cyber Resilience Act lost dat niet voor u op, maar hij maakt het wel verplicht om het overzicht te hebben. De softwarestuklijst, de SBOM, bestaat precies hiervoor: niet als document voor de auditor, maar als het antwoord op de vraag die u op een woensdagmiddag ineens moet geven.
Sinds 11 september 2026 geldt de meldplicht. Het onderscheid dat die dag het belangrijkst is:
Een actief uitgebuite kwetsbaarheid in uw product meldt u binnen 24 uur als vroegtijdige waarschuwing, binnen 72 uur met een inhoudelijke melding, en daarna volgt een eindrapport. Dat geldt ook wanneer de kwetsbaarheid niet in uw eigen code zit maar in een onderdeel dat u meelevert.
Een bekende maar nog niet uitgebuite kwetsbaarheid valt niet onder die klok van 24 uur. Daar geldt de gewone omgang met kwetsbaarheden: beoordelen, patchen zonder onnodige vertraging, en uw gebruikers informeren als zij zelf iets moeten doen.
Op 21 oktober betekende dat voor de meeste fabrikanten: geen melding binnen 24 uur, wel onmiddellijk beoordelen en patchen. Dat onderscheid verkeerd inschatten kost twee kanten op. Te laat melden is een overtreding. Alles melden wat langskomt maakt uw meldingen waardeloos en kost u onnodig de aandacht van uw toezichthouder.
De drie stappen die het verschil maakten, waren geen van drieën technisch ingewikkeld.
Eerst vaststellen of het u raakt, en dat meten in plaats van aannemen. Niet in de documentatie kijken maar op de machine: draait er een PHP-proces, handelt de webserver ergens PHP-bestanden af, welke versie precies. Dat kost een paar minuten en levert een antwoord op dat u kunt onderbouwen.
Vervolgens, als het u raakt, de afweging tussen beschikbaar blijven en blootgesteld blijven. De partijen die hun dienst tijdelijk uitzetten namen geen paniekbesluit; zij volgden het advies van het NCSC om per systeem te wegen of uitschakelen verstandig was, in afwachting van de patch.
En ten slotte het vastleggen. Wat u die dag hebt vastgesteld, wanneer, en op grond waarvan, is precies wat u later nodig hebt. Zowel voor een eventuele melding als voor de vraag van een klant of u geraakt bent.
PHP 7.4 krijgt voor deze kwetsbaarheden geen patch. Die versie is sinds november 2022 uit onderhoud. Wie daarop draait had op 21 oktober geen keuze tussen patchen en wachten, maar tussen migreren en uit blijven.
Dat is geen incident maar een voorspelbare uitkomst. Onder de CRA is een onderdeel waarvoor geen beveiligingsupdates meer verschijnen een risico dat u moet beheren en kunnen verantwoorden, en niet iets dat u overkomt. De ondersteuningstermijn van wat u meelevert hoort in uw stuklijst te staan, met de datum waarop die afloopt.
CRA-Portal is gebouwd rond dezelfde drie dingen die deze dag beslisten: weten wat er in uw product zit, de meldroute geregeld en getest hebben voordat u hem nodig heeft, en kunnen aantonen wat u wanneer hebt gedaan.
Bekijk de meldplicht als u wilt weten wat er vanaf 11 september 2026 van u wordt verwacht, of de bewijsketen voor de vastlegging eromheen.