De Cyber Resilience Act (EU 2024/2847) treedt gefaseerd in werking tussen 2025 en december 2027. Tegen dan moet elk product met digitale elementen (PDE) dat op de EU-markt wordt gebracht, voldoen aan essentiële cyberbeveiligingseisen. Voor een onderneming die deze producten aankoopt – zeker als ze onder NIS2 of DORA valt – wordt de clausule inzake wezenlijke tekortkoming in het leverancierscontract een cruciaal juridisch aandachtspunt. Dit artikel biedt een modelclausule 2026 en somt de valkuilen op die u moet vermijden.
Waarom deze clausule in 2026 centraal staat
Drie krachten komen samen:
- Art. 13 CRA verplicht fabrikanten om gedurende minstens 5 jaar gratis beveiligingsupdates te leveren en om actief uitgebuite kwetsbaarheden binnen 24 uur te melden aan ENISA en de nationale CSIRT's.
- Art. 21 NIS2 legt voor essentiële/belangrijke entiteiten controle op de toeleveringsketen op als risicobeheersmaatregel.
- Art. 28-30 DORA vereist verplichte contractclausules voor kritieke ICT-dienstverleners, waaronder beëindiging wegens tekortkoming.
Zonder duidelijke clausule inzake wezenlijke tekortkoming zit u klem tussen uw toezichthouder (die beheer van leveranciersrisico's eist) en uw leverancier (zonder expliciete gronden voor beëindiging). De clausule is de juridische hefboom die u slagkracht geeft.
Wezenlijke tekortkoming definiëren
Een wezenlijke tekortkoming is een inbreuk die ernstig genoeg is om het contract onmiddellijk en zonder opzegtermijn te beëindigen. Voor een digitaal product worden zes categorieën onderscheiden:
1. Niet-gepatchte kritieke kwetsbaarheid
De leverancier heeft geen beveiligingspatch geleverd binnen de contractuele termijnen (doorgaans 30 dagen voor CVSS ≥ 7, 7 dagen voor CVSS ≥ 9 + publieke exploit).
2. Niet-gemelde incidenten
De leverancier heeft een actief uitgebuite kwetsbaarheid die hem betreft niet binnen 24 uur gemeld (Art. 14 CRA).
3. Voortijdige stopzetting van de beveiligingsondersteuning
De leverancier stopt met het leveren van updates vóór het minimum van 5 jaar dat de CRA oplegt.
4. Onvolledige of niet-geleverde SBOM
De leverancier levert geen Software Bill of Materials in CycloneDX- of SPDX-formaat, bijgewerkt bij elke release. Zie onze SBOM CycloneDX-gids.
5. Ontbrekende of ingetrokken CE-markering
De CE-markering die de conformiteit met de CRA bevestigt, ontbreekt bij levering of wordt na verkoop ingetrokken.
6. Schending van de essentiële beveiligingseisen
Ontdekking van backdoors, niet-wijzigbare standaardwachtwoorden, ontbrekende of gebrekkige versleuteling, onversleutelde overdracht van persoonsgegevens – zie bijlage I van de CRA.
Model van clausule inzake wezenlijke tekortkoming (Engels + Frans)
⚠️ Disclaimer: indicatief model. Laat het vóór ondertekening valideren door een advocaat. Aanpasbaar naargelang de sector en de kriticiteit van het product.
Article X — Material Breach and Termination
X.1 The following constitute a "material breach" under this Agreement:
a) failure to deliver a security patch addressing a vulnerability with
public exploitation potential (published Proof of Concept, sandbox
exploit, or CISA KEV bulletin) within [7 / 14 / 30] days after an
upstream fix is available (depending on CVSS score);
b) failure to notify the Customer of an actively exploited vulnerability
affecting the delivered product, within 24 hours of discovery by the
Supplier, in accordance with Article 14 of Regulation (EU) 2024/2847
(Cyber Resilience Act);
c) unilateral cessation of security updates before the five (5) year term
referred to in Article 13 of said regulation, or the contractual term
if longer;
d) delivery of any release without a Software Bill of Materials (SBOM)
in CycloneDX 1.5+ or SPDX 2.3+ format, including SHA-256 component
hashes;
e) withdrawal, absence or suspension of the CE marking / EU declaration
of conformity to said regulation;
f) any substantial non-conformity with the essential requirements listed
in Annex I of said regulation, established by independent testing or a
notified body.
X.2 Upon material breach, the Customer may terminate this Agreement by
operation of law, without notice or compensation, after a [15]-day
calendar formal notice has remained ineffective (except for X.1.a
and X.1.b cases where termination is immediate).
X.3 The Supplier undertakes to cooperate during a transition period of
[3 / 6] months, providing data export, full SBOM, and source code
escrow access if applicable.
7 valkuilen om te vermijden
1. "Wezenlijk" vaag definiëren
"Elke ernstige tekortkoming" is onbruikbaar. Som de triggers expliciet op (CVSS, termijnen, ontbrekende deliverables).
2. De afstemming op NIS2/DORA vergeten
Als u een essentiële entiteit onder NIS2 bent of onder DORA valt, kan uw verzuim om de toezichthouder te informeren voortvloeien uit het verzuim van uw leverancier. De clausule moet een spiegelmelding door de leverancier bevatten, binnen termijnen die u toelaten om zelf te voldoen.
3. Termijnen die niet stroken met de keten
Als uw toezichthouder een melding binnen 24 uur eist (NIS2) en uw leverancier contractueel 72 uur heeft, haalt u de termijn wiskundig gezien niet.
4. Geen auditrecht
Zonder auditrecht (Art. 30 DORA voor financiële entiteiten) kunt u de aangegane verbintenissen niet controleren.
5. Geen exitstrategie
Een beëindigingsclausule is nutteloos zonder exitplan: recuperatie van gegevens, transitieondersteuning, broncode-escrow. Zie DORA Art. 28(7)(j).
6. Geen financieel mechanisme
Forfaitaire schadevergoedingen of een aansprakelijkheidsplafond moeten worden afgestemd op de kriticiteit van het product. Een tandeloze clausule schrikt niemand af.
7. Het territoriale toepassingsgebied vergeten
De CRA is van toepassing op elk product dat op de EU-markt wordt gebracht, ongeacht het land van de leverancier. De clausule moet uitdrukkelijk naar de EU-verordening verwijzen, niet naar een lokaal equivalent.
Plaats in uw complianceprogramma
De clausule inzake wezenlijke tekortkoming is één bouwsteen van de 8 verplichte clausules die beschreven worden in CRA: 8 contractclausules. Ze sluit aan bij:
- In kaart brengen van leveranciers (CMDB)
- Kriticiteitsanalyse (CIF DORA / NIS2-risico)
- Continue opvolging van SBOM's
- Exitplan
Start een gratis proefperiode van ResiPlan – bibliotheek met CRA-clausules, klaar voor gebruik.