De Cyber Resilience Act (CRA, Verordening (EU) 2024/2847) is op 10 december 2024 in werking getreden en wordt volledig van toepassing op 11 december 2027. De verordening legt fabrikanten van producten met digitale elementen (PDE) — hardware ÉN software — strengere cyberbeveiligingsverplichtingen op, met sancties tot €15M of 2,5% van de wereldwijde jaaromzet. Voor elke organisatie die deze producten aankoopt, integreert of doorverkoopt, betekent dit: uw leverancierscontracten moeten opnieuw worden onderhandeld om deze nieuwe verplichtingen over te dragen en te documenteren.
Dit artikel beschrijft de 8 clausules die u vanaf 2026 systematisch moet opnemen, met voorbeeldformuleringen en de afstemming op NIS2 en DORA.
Toepassingsgebied: welke producten en welke leveranciers vallen eronder?
De CRA is van toepassing op producten met digitale elementen (PDE) die op de Europese markt worden gebracht. Dit omvat:
- Hardware: IoT-sensoren, routers, bewakingscamera's, verbonden medische hulpmiddelen, intelligente industriële apparatuur
- Software: commerciële SaaS-toepassingen, commercieel verspreide opensourcebibliotheken, firmware, besturingssystemen, ingebedde componenten
- Hybride producten: gecombineerde hardware- en softwaresystemen (verbonden voertuigen, smarthomeapparaten, verbonden liften)
De CRA onderscheidt drie categorieën:
| Categorie | Voorbeelden | Beoordelingsprocedure |
|---|---|---|
| Niet-kritiek (90%) | Consumentenapps, verbonden speelgoed | Zelfbeoordeling door de fabrikant |
| Belangrijk (klasse I) | VPN, wachtwoordbeheerders, browsers | Zelfbeoordeling + geharmoniseerde normen |
| Belangrijk (klasse II) | Besturingssystemen, firewalls, hypervisors | Aangemelde instantie verplicht |
| Kritiek | HSM's, beveiligde slimme meters, industriële routers | EU-certificering verplicht (EUCC-schema) |
Voor meer achtergrond over de toepasselijke cyberkaders kunt u onze gidsen raadplegen: NIS2: essentiële versus belangrijke entiteiten en DORA 2026.
De 8 verplichte contractclausules
Clausule 1 — PDE-toepassingsgebied en classificatiecategorie
Doel: de leverancier verklaart uitdrukkelijk of zijn product onder het toepassingsgebied van de CRA valt en tot welke categorie het behoort.
Voorbeeldformulering:
"De Leverancier erkent dat het geleverde Product een 'product met digitale elementen' is in de zin van Verordening (EU) 2024/2847 en deelt het in als [niet-kritiek / belangrijk klasse I / belangrijk klasse II / kritiek]. Elke latere herindeling door de Europese Commissie wordt binnen 30 dagen aan de Klant meegedeeld en geeft aanleiding tot heronderhandeling van deze clausules."
Waarom dit belangrijk is: de categorie bepaalt de conformiteitsbeoordelingsprocedure en de aansprakelijkheidsniveaus. Zonder uitdrukkelijke verklaring weet de Klant niet welke bewijsstukken hij bij een audit moet opvragen.
Clausule 2 — Verplichtingen inzake "secure-by-design" en "secure-by-default"
Doel: de leverancier verbinden om de essentiële cyberbeveiligingseisen van Bijlage I van de CRA al vanaf het ontwerp na te leven.
Voorbeeldformulering:
"De Leverancier garandeert dat het Product is ontworpen, ontwikkeld en geproduceerd overeenkomstig de essentiële cyberbeveiligingseisen van Bijlage I van Verordening (EU) 2024/2847, waaronder: bescherming tegen onbevoegde toegang, bescherming van de vertrouwelijkheid en integriteit van verwerkte gegevens, beschikbaarheid van essentiële functies, minimalisering van aanvalsoppervlakken en afwezigheid van bekende exploiteerbare kwetsbaarheden bij levering."
Afstemming op NIS2: deze eis voedt de NIS2-maatregel "beveiliging bij de aanschaf en het onderhoud van informatiesystemen" (Art. 21.2.e).
Clausule 3 — CE-markering en conformiteitsverklaring
Doel: de formele conformiteitsdocumentatie verkrijgen om conformiteit doorheen de keten aan te tonen.
Voorbeeldformulering:
"De Leverancier bezorgt, uiterlijk bij levering van het Product: (i) een EU-conformiteitsverklaring overeenkomstig Bijlage V van de Verordening; (ii) op verzoek de technische documentatie van Bijlage VII; (iii) het bewijs van de zichtbare CE-markering op het Product of de verpakking ervan. Elke ingrijpende wijziging van het Product waardoor de Verklaring achterhaald raakt, leidt tot een nieuwe conformiteitsbeoordeling op kosten van de Leverancier."
Waarde bij een audit: bij een inspectie door een markttoezichtautoriteit bepaalt de snelheid waarmee uw leveranciers deze documenten aanleveren of u uw eigen zorgvuldigheid kunt aantonen.
Clausule 4 — Kwetsbaarheidsbeheer en SBOM
Doel: permanente toegang tot de Software Bill of Materials (SBOM) en een proces voor gecoördineerde openbaarmaking.
Voorbeeldformulering:
"De Leverancier onderhoudt en bezorgt de Klant: (i) een Software Bill of Materials (SBOM) in CycloneDX- of SPDX-formaat, bijgewerkt bij elke versie van het Product, die alle softwarecomponenten omvat, opensource inbegrepen; (ii) een gepubliceerd beleid voor gecoördineerde openbaarmaking van kwetsbaarheden (CVD) met een contactpunt voor beveiliging (security.txt); (iii) een verbintenis om voor elke kritieke kwetsbaarheid (CVSS ≥ 7.0) binnen 30 dagen na ontdekking patches te publiceren; (iv) een proactief meldingssysteem voor nieuwe kwetsbaarheden die SBOM-componenten treffen."
Tooling in ResiPlan: onze module voor AI-contractanalyse detecteert automatisch of deze SBOM-clausules in het ingediende contract aanwezig zijn.
Clausule 5 — Ondersteuningsperiode voor beveiliging
Doel: de minimale duur van de beveiligingsondersteuning opleggen, een cruciale ondergrens in de CRA.
Voorbeeldformulering:
"De Leverancier verbindt zich ertoe kosteloos beveiligingsupdates en patches voor kwetsbaarheden te leveren gedurende minstens de langste van de volgende periodes: (i) vijf (5) jaar vanaf het in de handel brengen van het Product; (ii) de verwachte levensduur van het Product zoals vermeld in de documentatie; (iii) vijftien (15) jaar indien het Product is ingedeeld als 'belangrijk klasse II' of 'kritiek'. Elke voortijdige beëindiging van de ondersteuning brengt de aansprakelijkheid van de Leverancier in het gedrang wegens niet-naleving van de essentiële CRA-eisen."
Klassieke valkuil: SaaS-aanbieders koppelen de ondersteuningsduur vaak aan de looptijd van het actieve abonnement. De CRA vereist ondersteuning voor exploiteerbare kwetsbaarheden ook na het verstrijken van het contract, binnen de wettelijke termijn.
Clausule 6 — Melding van incidenten en actief uitgebuite kwetsbaarheden aan ENISA
Doel: de meldingsplicht aan ENISA doortrekken naar de leverancier.
Voorbeeldformulering:
"De Leverancier meldt de Klant, gelijktijdig met de melding aan ENISA, elk significant incident of elke actief uitgebuite kwetsbaarheid die het Product treft, binnen de volgende termijnen: (i) vroegtijdige waarschuwing binnen 24 uur na kennisname; (ii) incidentmelding binnen 72 uur; (iii) eindverslag binnen 14 dagen na het einde van het incident. Elke melding bevat: technische beschrijving, toepasselijke CVE/CVSS, waargenomen exploitatievectoren en beschikbare herstelmaatregelen."
Afstemming op NIS2: de CRA-termijnen weerspiegelen de NIS2-termijnen (zie onze gids over incidentmelding onder NIS2). Dezelfde formulering in beide regimes gebruiken vereenvoudigt de operationele werking.
Clausule 7 — Auditrechten en bewijs van conformiteit
Doel: de CRA-conformiteit van de leverancier controleren en auditen.
Voorbeeldformulering:
"De Klant heeft, rechtstreeks of via een gemandateerde externe auditor, het recht: (i) jaarlijks de naleving van de CRA-verplichtingen door de Leverancier te auditen, met een vooropzeg van 30 dagen; (ii) de technische CRA-documentatie (Bijlage VII) op te vragen binnen 15 werkdagen; (iii) in voorkomend geval de beoordelingsverslagen van de aangemelde instantie te eisen; (iv) de kritieke onderaannemers van de Leverancier onder dezelfde voorwaarden te auditen. De auditkosten blijven ten laste van de Klant, tenzij een aanzienlijke non-conformiteit wordt vastgesteld; in dat geval worden ze doorgerekend aan de Leverancier."
Clausule 8 — Aansprakelijkheid en CRA-vrijwaring
Doel: de sancties die voortvloeien uit de non-conformiteit van de leverancier op hem afwentelen.
Voorbeeldformulering:
"De Leverancier vrijwaart de Klant volledig voor elke schade, administratieve geldboete, herstelkost of operationeel verlies die voortvloeit uit: (i) de non-conformiteit van het Product met de eisen van Verordening (EU) 2024/2847; (ii) het ontbreken, de vertraging of de ontoereikendheid van beveiligingsupdates; (iii) een laattijdige of onvolledige melding van een incident of kwetsbaarheid. Deze vrijwaring wordt niet begrensd door de algemene aansprakelijkheidsbeperkingen van dit contract."
Waarom deze clausule belangrijk is: CRA-boetes (tot €15M of 2,5% van de wereldwijde jaaromzet) overstijgen de gangbare contractuele aansprakelijkheidsplafonds. Zonder specifieke clausule blijft het risico bij de klant-integrator.
Afstemming op NIS2 en DORA: vermijd overbodige clausules
Veel van deze clausules overlappen met NIS2 (toeleveringsketen, Art. 21.2.d) en DORA (ICT-derde partijen, Art. 28-30). Onze aanbeveling:
| Type contract | Prioritaire clausules |
|---|---|
| Leverancier van IoT-hardware | CRA 1-8 + ISO 22301 RTO/RPO |
| Kritieke SaaS-aanbieder (NIS2-entiteit) | NIS2 volledig + CRA 4-6 (SBOM, ondersteuning, melding) |
| Kritieke ICT-aanbieder (financiële entiteit) | DORA Art. 28 volledig + CRA 2-5 |
| Fabrikant van verbonden medische hulpmiddelen | CRA 1-8 + MDR + GDPR |
Hoe ResiPlan deze 8 clausules automatisch detecteert
Onze module voor AI-contractanalyse scant elk leverancierscontract en:
- Identificeert de 8 verwachte CRA-clausules op basis van het producttype
- Extraheert de contractpassages die met elke clausule overeenstemmen
- Classificeert elke clausule: conform / gedeeltelijk / niet-conform / afwezig
- Berekent een specifieke CRA-conformiteitsscore (0-100)
- Levert een geprioriteerde lijst van ontbrekende clausules om te heronderhandelen
In combinatie met de modules voor DORA, NIS2, ISO 22301 en GDPR verkrijgt u een rapport over meerdere kaders in minder dan 2 minuten per contract.