De CRA, van "geldt dit voor ons?" tot een technisch dossier waar u achter kunt staan.
Het grootste deel van de Cyberweerbaarheidsverordening geldt vanaf 11 december 2027. De meldplicht van artikel 14 geldt sinds 11 september 2026. SkyQon neemt een fabrikant in de juiste volgorde door de vragen: geldt het, in welke klasse, wat ontbreekt, en wat moet er op papier. Gratis waar het gratis kan, tegen vaste prijs waar dat niet kan.
Geen juridisch advies. SkyQon certificeert geen producten, test ze niet en verklaart geen conformiteit: de fabrikant verklaart, en voor sommige klassen is een aangemelde instantie betrokken.
Drie data
De verordening is op 10 december 2024 in werking getreden en geldt volledig vanaf 11 december 2027 (art. 71, lid 2). Twee delen kwamen eerder: hoofdstuk IV over aangemelde instanties geldt sinds 11 juni 2026, en de meldplichten van artikel 14 sinds 11 september 2026.
Producten die vóór 11 december 2027 in de handel zijn gebracht, vallen alleen onder de overige verplichtingen als ze na die datum substantieel worden gewijzigd (art. 69, lid 2). De meldplicht van artikel 14 geldt hoe dan ook voor ze (art. 69, lid 3): een actief uitgebuite kwetsbaarheid in een product dat u jaren geleden leverde, start vandaag al een klok van 24 uur.
Toepassingsgebied
Wie eronder valt, in gewone woorden
De verordening geldt voor producten met digitale elementen die op de EU-markt worden aangeboden en waarvan het beoogde doel of het redelijkerwijs te verwachten gebruik een directe of indirecte dataverbinding met een apparaat of netwerk omvat (art. 2, lid 1). Een product met digitale elementen is software of hardware met de bijbehorende oplossingen voor gegevensverwerking op afstand, inclusief software- of hardwarecomponenten die afzonderlijk in de handel worden gebracht (art. 3, punt 1).
U bent de fabrikant als u zo'n product ontwikkelt of vervaardigt, of laat ontwerpen, ontwikkelen of vervaardigen, en het onder uw eigen naam of merk in de handel brengt, tegen betaling of kosteloos (art. 3, punt 13). Op de markt aanbieden is elke levering voor distributie of gebruik in het kader van een handelsactiviteit, tegen betaling of kosteloos (art. 3, punt 22). Software die u weggeeft als onderdeel van een handelsactiviteit telt mee.
De belangrijkste uitsluitingen
- Medische hulpmiddelen, medische hulpmiddelen voor in-vitrodiagnostiek en voertuigen die al onder eigen typegoedkeuringsregels van de Unie vallen (art. 2, lid 2).
- Luchtvaartproducten die zijn gecertificeerd onder de regels van de Unie voor de burgerluchtvaart (art. 2, lid 3); niet-gecertificeerde producten dicht bij de luchtvaart zijn een geval voor de gratis check.
- Uitrusting van zeeschepen onder de regels van de Unie voor uitrusting van zeeschepen (art. 2, lid 4).
- Producten die onder andere regels van de Unie met een gelijkwaardig beschermingsniveau vallen en bij gedelegeerde handeling zijn uitgezonderd (art. 2, lid 5). Zo'n handeling is niet vastgesteld (gecontroleerd op 12 november 2026).
- Reserveonderdelen die alleen worden gemaakt om identieke componenten te vervangen, volgens dezelfde specificaties (art. 2, lid 6).
- Producten die uitsluitend voor nationale veiligheid of defensie zijn ontwikkeld of gewijzigd, of die zijn ontworpen om gerubriceerde informatie te verwerken (art. 2, lid 7).
Drie gevallen die de tekst niet in één regel beslist: opensourcesoftware die buiten een handelsactiviteit wordt geleverd valt er niet onder, gemonetariseerde of commercieel ondersteunde opensource kan er wel onder vallen, en een stichting kan onder de lichtere regeling voor beheerders van opensourcesoftware vallen (overwegingen 17 tot en met 19, art. 3, punt 14, art. 24); een importeur of distributeur die onder eigen naam verkoopt, wordt de fabrikant (art. 21); en een product dat na 11 december 2027 substantieel wordt gewijzigd, geldt als opnieuw in de handel gebracht (art. 3, punt 30, art. 69, lid 2). De gratis check beantwoordt die gevallen met "onduidelijk, laten we praten" en het artikel, niet met een gok.
Het traject, op volgorde
Elke stap beantwoordt de vraag die de volgende nodig heeft. Begin waar u staat; de eerste twee zijn gratis en vragen geen account.
- 1. Gratis check van toepassingsgebied en klasseEen paar vragen per product: uw rol, de uitsluitingen, wat het product is, of het commercieel wordt geleverd, de categorie van bijlage III of bijlage IV, uw bedrijfsgrootte, de normen die u toepast en wanneer het product op de markt kwam. U krijgt de toepasselijke artikelen en een kandidaatklasse, of "onduidelijk" met de reden. Start de check.
- 2. Gratis meldings-zelfcheckTwaalf vragen over de artikel 14-procedure, meteen op de pagina beoordeeld: wie kennis krijgt, wie meldt, welk CSIRT, welk bewijs u bewaart. Doe de zelfcheck.
- 3. De 24-uurs meldingskitDe geoefende artikel 14-procedure, de vijf meldingssjablonen, gebruikersberichten in vier talen en een oefenscript van 90 minuten, in één week ingevoerd. Introductieprijs € 99. Bekijk de kit.
- 4. De add-on Incident ReportingDe klokken van 24 uur, 72 uur en het eindrapport lopen in het dashboard, met vooraf ingevulde concepten en een meldingsregister dat alleen kan worden aangevuld. U dient in; SkyQon houdt de tijd en het record bij. Bekijk Incident Reporting.
- 5. CRA Toepasselijkheids- en Gap-assessment, € 3.500Een schriftelijke conclusie over toepasselijkheid en classificatie per product met de artikelen erbij, een lijst van tekortkomingen ten opzichte van bijlage I, deel I en deel II, en de plichten van artikel 13, een plan in volgorde van prioriteit, en een ondertekend rapport in uw bewijsketen. Bekijk het assessment.
- 6. CRA Implementatiesprint, vanaf € 5.000Het skelet van de technische documentatie, de gebruikersinformatie, het concept van de verklaring die u ondertekent, de SBOM en het proces voor de behandeling van kwetsbaarheden, het openbaarmakingsbeleid en de security.txt, bewijs van veilige updates en de ondersteuningsperiode. Offerte aan het einde van het assessment. Bekijk de sprint.
- 7. CRA Product Evidence in het dashboardHet productregister, de gap-analyse per product met bewijsbestanden, het ondertekende productbewijsrapport, de SBOM-vergelijking, het logboek van het kwetsbaarhedenbeheer, bewijs van veilige updates en de documentconcepten, als add-on vanaf Pro, met Incident Reporting inbegrepen. Bekijk de zeven modules.
Diensten
Twee diensten met vaste scope
Geleverd door het team dat SkyQons eigen artikel 14-procedure schreef en oefende. Beide eindigen in bewijs dat u houdt; geen van beide in een certificaat.
De add-on
In het dashboard
CRA Product Evidence houdt de beoordeling en de sprint bij als een levend dossier in plaats van een map: zeven modules en één ondertekend rapport per product, op dezelfde bewijsketen als uw NIS2-werk.
Zo werkt het, in vier stappen
- 1. Registreren en indelenVoeg elk product toe, leg uw rol vast en beantwoord de vragen voor de indeling. De klasse en de artikelen erachter worden bij het product bewaard.
- 2. De SBOM uploadenEén CycloneDX- of SPDX-bestand per versie. SkyQon vergelijkt de componenten elke dag met OSV.dev en de NVD, en voegt CISA KEV en EPSS aan elke treffer toe.
- 3. Afhandelen wat gevonden wordtBeoordeel elke treffer, leg vast waarom die u wel of niet raakt, houd het ontvangstlogboek bij en publiceer beveiligingsadviezen. Een actief misbruikte treffer stelt voor de termijn van artikel 14 te starten; een mens beslist.
- 4. De bewijsstukken bewarenMarkeer elke eis uit bijlage I als aanwezig, gedeeltelijk of gepland, met bestanden erbij, maak de conceptdocumenten aan en verzegel een ondertekend rapport per product.
De zeven modules
- Productregister. Elk product met digitale elementen, zijn rol (fabrikant, eigen merk, importeur), zijn klasse (standaard, belangrijk van klasse I of II, kritiek), de conformiteitsroute, de ondersteuningsperiode en het meldkanaal. De classificatie past dezelfde geciteerde regels toe als de gratis check en wordt per product opgeslagen.
- Gap-analyse per product. Elke eis uit bijlage I, deel I en deel II, en elke verplichting uit artikel 13 met een status (aanwezig, gedeeltelijk, gepland, of niet van toepassing met de schriftelijke motivering die artikel 13, lid 4, vraagt), een eigenaar, een vervaldatum, bewijsbestanden (pdf, afbeeldingen, tekst) en de volledige historiek.
- Ondertekend rapport CRA Product Evidence. Per product en periode: de statussen, de hashes van het bewijs en de classificatie, op uw bestaande hash-geketende bewijsketen en verifieerbaar op de publieke verificatiepagina zoals elk SkyQon-rapport. Het NIS2-bewijsrapport krijgt een sectie per product. De regels zijn door de fabrikant verklaard en door SkyQon vastgelegd, nooit door SkyQon geverifieerd.
- SBOM. Upload een CycloneDX- of SPDX-bestand (JSON) per productversie, historiek bewaard. Componenten worden dagelijks vergeleken met OSV.dev en de NVD en verrijkt met CISA KEV en FIRST EPSS; waarschuwingen voor kwetsbare en actief misbruikte componenten. Alleen pakketidentificaties verlaten het platform. Een actief misbruikte match biedt met één klik de start van de meldklok van artikel 14 aan; een mens beslist, niets start vanzelf.
- Kwetsbaarhedenbeheer. Het vastgelegde beleid voor gecoördineerde openbaarmaking van kwetsbaarheden, een security.txt-controle, een ontvangst- en herstellogboek met een tijdstempel per fase (ontvangen, getrieerd, fix in uitvoering, opgelost, advies gepubliceerd), en beveiligingsadviezen opgesteld en geëxporteerd als Markdown of HTML.
- Veilige updates. Per product: het updatemechanisme, of beveiligingsupdates apart en gratis zijn, de beschikbaarheidsperiode (artikel 13, lid 9, tien jaar), de code-ondertekeningsidentiteit (een certificaat uitgegeven via Private CA Management of een certificaat dat u uploadt) en de TLS-houding van het update-eindpunt.
- Documentgenerator. De technische documentatie van bijlage VII (met de vereenvoudigde kmo-opmaak, gemarkeerd als een formaat dat de Commissie onder artikel 33, lid 5, nog niet heeft aangenomen: elk element blijft vereist), de gebruikersinformatie van bijlage II en het concept van de EU-conformiteitsverklaring van bijlage V, gegenereerd uit het register, bewerkbaar, geëxporteerd als Word met de banner "CONCEPT: de fabrikant ondertekent; SkyQon verklaart geen conformiteit". Versies bewaard.
Begin met de gratis check van toepassingsgebied en klasse, oefen het melden met de kit, krijg het antwoord op papier via de beoordeling, dicht de gaten in de sprint, en bewaar het record in de add-on. Vraag naar de add-on.
Integraties
Werkt met
De SBOM-formaten en kwetsbaarheidsbronnen die de add-on leest, en de tools waarnaar de rest van SkyQon stuurt.
- CycloneDX
- SPDX
- OSV.dev
- NVD
- CISA KEV
- FIRST EPSS
- Slack
- Microsoft Teams
- PagerDuty
- n8n
- Webhooks
- Splunk
- Microsoft Sentinel
- Jira (via e-mail)
- ServiceNow (via e-mail)
- HaloPSA
- Vanta
- Drata
- AWS Certificate Manager
- Cloudflare
- Amazon Route 53
- Azure DNS
- EJBCA
- Microsoft AD CS
- HashiCorp Vault
- AWS Private CA
- Elke OIDC- of SAML-provider, zoals Okta of Microsoft Entra ID
- SCIM
Elke verbinding in deze lijst bestaat vandaag in SkyQon. Productnamen behoren toe aan hun eigenaars.
Gezegd voordat u begint
Wat SkyQon niet doet
- Certificeren, testen of verklaren. De fabrikant stelt de EU-conformiteitsverklaring op (art. 28) en brengt de CE-markering aan (art. 30). Voor belangrijke producten zonder toegepaste geharmoniseerde normen en voor producten van klasse II is een aangemelde instantie betrokken (art. 32). SkyQon levert bewijs en documenten; het voert geen conformiteitsbeoordeling uit.
- Uw meldingen indienen. De kit en de add-on houden de procedure, de klokken en het record bij. U dient zelf in op het centrale meldingsplatform van ENISA.
- Juridisch advies geven. Geen juridisch advies. Betwiste vragen over het toepassingsgebied horen bij uw juridisch adviseur; onze schriftelijke conclusies citeren de artikelen zodat dat gesprek kort is.
Veelgestelde vragen
Geldt de CRA voor software die wij weggeven?
Dat kan. Op de markt aanbieden is elke levering in het kader van een handelsactiviteit, tegen betaling of kosteloos (art. 3, punt 22). Gratis software die als onderdeel van een handelsactiviteit wordt geleverd valt eronder; opensourcesoftware die daarbuiten wordt geleverd niet, en de overwegingen 17 tot en met 19 trekken die grens. De gratis check markeert dit als een geval om door te spreken.
In welke klasse valt ons product?
De meeste producten vallen in de standaardcategorie en de fabrikant beoordeelt ze zelf (art. 32, lid 1). Producten in bijlage III zijn belangrijk, klasse I of klasse II (art. 7); producten in bijlage IV zijn kritiek (art. 8). Uitvoeringsverordening (EU) 2025/2392 geeft de technische beschrijvingen van elke categorie. Het inbouwen van een genoemde component plaatst het product dat hem bevat niet vanzelf in die categorie.
Kunnen we een belangrijk product van klasse I zelf beoordelen?
Alleen door geharmoniseerde normen, gemeenschappelijke specificaties of een Europese cyberbeveiligingscertificeringsregeling toe te passen die de eisen dekken (art. 32, lid 2). Er is nog geen geharmoniseerde norm voor de CRA in het Publicatieblad opgenomen (gecontroleerd op 12 november 2026), dus vandaag heeft een product van klasse I een aangemelde instantie nodig. Een product van klasse II altijd (art. 32, lid 3).
Moeten we melden voor een product dat ouder is dan de verordening?
Ja, onder artikel 14. Producten die vóór 11 december 2027 in de handel zijn gebracht, vallen alleen onder de overige verplichtingen als ze na die datum substantieel worden gewijzigd (art. 69, lid 2), maar de meldplichten gelden voor ze sinds 11 september 2026 (art. 69, lid 3).
Worden kleine bedrijven anders behandeld?
Op twee plaatsen. Micro- en kleine ondernemingen zijn vrijgesteld van boetes voor het missen van de termijn van 24 uur voor de vroegtijdige waarschuwing (art. 64, lid 10, onder a)), en zij mogen een vereenvoudigd formulier voor de technische documentatie gebruiken zodra de Commissie het vaststelt (art. 33, lid 5). Dat formulier is nog niet vastgesteld, en elk element van bijlage VII blijft vereist.
Officiële tekst: Regulation (EU) 2024/2847 · Lees de volledige CRA-gids
Begin met de gratis check
Tien minuten per product, de artikelen erbij, en een duidelijk "onduidelijk" waar de tekst niet beslist. Boek daarna het assessment als u het antwoord op papier wilt.