Door Tom Janssens · Oprichter, Easy Cyber Protection · Laatst nagekeken 10 september 2026 · Hoe wij dit schrijven

Geldt de Cyber Resilience Act voor wat ik verkoop?

De Cyber Resilience Act is een Europese wet over producten, niet over bedrijven. Dat is precies wat de meeste mensen fout hebben. De wet vraagt nooit hoeveel mensen u in dienst hebt. Ze vraagt wat u verkoopt. Deze gids loopt de check met u door in klare taal, zodat u vandaag ja of nee kunt zeggen.

De twee vragen die het bepalen

Loop ze allebei af. U hebt alleen een pen nodig.

1. Heeft wat u verkoopt digitale elementen?

Twee dingen moeten samen kloppen. Het is een software- of hardwareproduct, en het normale of te verwachten gebruik omvat een dataverbinding met een toestel of een netwerk. Een app telt mee. Een machine met een sturing die met andere apparatuur praat, telt mee. Een deurbel met een wifichip telt mee. Een stalen beugel zonder elektronica niet. Artikel 2(1) trekt hier de lijn.

2. Verkoopt u het onder uw eigen naam of logo?

Staat uw naam of uw logo op de doos, dan noemt de wet u de fabrikant. Wie de code geschreven heeft of wie de behuizing gemaakt heeft, doet niet ter zake. Twee artikels doen dat werk, dus noem het juiste. Artikel 3(13) geldt als u het product voor u liet maken. Artikel 21 geldt als u een afgewerkt product koopt en het onder uw eigen naam of logo doorverkoopt, en het legt u dezelfde fabrikantenplichten op.

Twee keer ja betekent dat u in scope zit. Een keer nee betekent dat u niet de fabrikant van dat product bent. Doe de check per product, niet per bedrijf.

U kocht het bij iemand anders en zette er uw naam op

Dit is het geval dat mensen over het hoofd zien. U hebt het niet ontworpen. U hebt er geen regel code voor geschreven. U koopt het, u drukt uw logo erop, u verkoopt het. Onder deze wet maakt dat u de fabrikant. Dit is de exacte tekst:

"manufacturer" means a natural or legal person who develops or manufactures products with digital elements or has products with digital elements designed, developed or manufactured, and markets them under its name or trademark, whether for payment, monetisation or free of charge.

Verordening (EU) 2024/2847, artikel 3(13). Dit is de Engelse tekst uit het Publicatieblad, want dat is de tekst die wij gecontroleerd hebben. In gewone woorden: laat u een product maken en verkoopt u het onder uw eigen naam of merk, dan bent u de fabrikant, betalend of gratis.

Het middelste deel van die zin is wat u te pakken krijgt. Een product voor u laten maken en het daarna onder uw eigen naam verkopen, zet u in hetzelfde vakje als het bedrijf dat het gebouwd heeft. Het laatste stuk telt ook. Het gratis weggeven helpt u er niet uit. Koopt u in plaats daarvan een afgewerkt product bij een leverancier en verkoopt u het door met uw eigen logo erop, dan doet artikel 21 hetzelfde werk: een invoerder of distributeur die een product onder zijn eigen naam of merk op de markt brengt, wordt als de fabrikant beschouwd en draagt de plichten van artikel 13 en artikel 14.

Een valkuil die het benoemen waard is

Sommige artikels zeggen dat eigen merk onder artikel 22 valt. Dat klopt niet. Artikel 22 gaat over iemand die een product substantieel wijzigt en het daarna verkoopt. Uw logo zetten op een product dat u niet gewijzigd hebt, is artikel 3(13) als u het voor u liet maken, en artikel 21 als u het afgewerkt kocht en doorverkocht. Hoe dan ook is het niet artikel 22. Citeert een leverancier of een adviseur hiervoor artikel 22, dan hebben ze het verkeerde artikel beet.

Waar het stopt

De wet heeft grenzen. Dit zijn de twee die het meest tellen:

→ U verkoopt het onder het merk van de maker. Hun naam staat erop, dus de fabrikantenplicht is de hunne. U kunt nog steeds plichten hebben als invoerder of als distributeur, maar u bent niet de fabrikant.
→ Wat u verkoopt heeft geen software en geen verbinding. Een handgereedschap, een zak schroeven, een gedrukt bord. Er zijn geen digitale elementen, dus deze wet raakt het niet.

De klokken

Drie data. Zet ze nu in de agenda.

11 juni 2026 Hoofdstuk IV (artikelen 35 tot 51) geldt al. Dat hoofdstuk gaat over de instanties die conformiteit beoordelen, dus meestal niet uw zorg. Het staat hier zodat u ziet dat de wet in fases aangaat.

11 september 2026 Artikel 14 start. De meldplicht is vanaf die dag actief.

11 december 2027 De rest van de wet start. Ontwerpregels, technische documentatie, CE-markering (het merkteken dat zegt dat een product aan de EU-regels voldoet), beveiligingsupdates.

Zodra de plicht actief is, lopen deze deadlines. De eerste twee starten wanneer u het weet. De laatste twee starten later, en elke rij zegt vanaf wat.

Binnen 24 uur Een vroege waarschuwing, geteld vanaf het moment dat u het weet. Een kort bericht dat er iets mis is. U moet het volledige verhaal nog niet hebben.

Binnen 72 uur De uitgebreide melding, ook geteld vanaf het moment dat u het weet. Wat het is, wat u tot nu toe weet, wat u eraan doet.

Binnen 14 dagen Het eindrapport bij een kwetsbaarheid, geteld vanaf de dag dat een oplossing of een tijdelijke maatregel beschikbaar is.

Binnen een maand Het eindrapport bij een ernstig incident. Dit telt vanaf de melding van 72 uur, niet vanaf een oplossing.

Twee dingen starten de klok. Een kwetsbaarheid in uw product die iemand actief misbruikt, of een ernstig incident dat de beveiliging van uw product raakt. Een bug die niemand aanvalt, start ze niet.

U dient één keer in, via het gemeenschappelijke meldplatform dat onder de verordening is opgezet. Artikel 14(7) stuurt de melding naar het CSIRT dat optreedt als coördinator voor het land waar uw bedrijf zijn hoofdvestiging in de EU heeft, en tegelijk naar ENISA. Een CSIRT is het nationale team dat cyberincidenten behandelt. ENISA is het cyberbeveiligingsagentschap van de EU. Voor een Belgisch bedrijf is het CSIRT normaal het CCB, het Centrum voor Cybersecurity België. Is het platform niet bereikbaar wanneer u het nodig hebt, neem dan rechtstreeks contact op met het CSIRT en noteer het tijdstip van dat contact, want de klok stopt niet voor een tool die nog niet klaar is.

Oude producten tellen mee. Artikel 69(3) zegt dat de meldplicht van artikel 14 ook geldt voor producten die u vóór 11 december 2027 op de markt bracht, niet alleen voor nieuwe. De lijst die u deze week maakt, moet dus ook bevatten wat u vorig jaar verkocht.

Wat gebeurt er als u het mist

De plicht van artikel 14 niet nakomen kan tot 15 miljoen euro kosten, of 2,5 procent van de wereldwijde jaaromzet, welk bedrag het hoogste is. Dat is artikel 64(2).

Er is één uitzondering voor de kleinste bedrijven, en ze is smaller dan ze klinkt. Artikel 64(10)(a) zegt dat een fabrikant die een micro- of kleine onderneming is, niet beboet kan worden voor het missen van de deadline van 24 uur. Klein betekent hier minder dan 50 medewerkers, met een omzet of balanstotaal van hoogstens 10 miljoen euro. Micro betekent minder dan 10 medewerkers en 2 miljoen euro. Artikel 3(19) haalt die cijfers uit Aanbeveling 2003/361/EG. Lees dat twee keer. De boete voor te laat zijn is weg. De meldplicht niet. U moet nog altijd melden, en elk ander deel van artikel 14 geldt onverkort voor u. Eén detail als u dit zelf natrekt. Zoals eerst gepubliceerd zei artikel 64(10) "by way of derogation from paragraphs 3 to 9", waardoor de boete van artikel 64(2) buiten schot bleef. Een rectificatie van 2 juli 2025 maakte daarvan "paragraphs 2 to 9", en dat is wat de uitzondering de boete hierboven laat raken. Verschillende gratis kopieën van de verordening online tonen nog altijd de niet-gecorrigeerde tekst.

Wat u deze week doet

Dit kost een uur, en het is meer waard dan om het even welk beleidsdocument dat u in de plaats zou kunnen schrijven.

Lijst elk product op dat u verkoopt met software erin, of dat met iets verbindt. Neem ook op wat u inkoopt en van uw eigen naam voorziet.
Beantwoord per lijn de tweede vraag. Staat uw naam erop, of die van de maker?
Noem één persoon die de melding zou versturen. Schrijf zijn naam en zijn telefoonnummer naast de lijst.
Stel die persoon één vraag. Als we het op een vrijdag om vier uur te weten kwamen, wat zou u dan doen in de volgende 24 uur? Komt er geen antwoord, dan hebt u het gat gevonden.
Vraag uw leveranciers hoe zij u zullen verwittigen van een kwetsbaarheid in het onderdeel dat ze u verkopen, en hoe snel. U kunt niet binnen 24 uur melden wat u pas na drie weken hoort.

Een lijst, een naam, en één eerlijk antwoord. Dat is het hele werk voor deze week.

Bouwt of assembleert u fysieke producten, dan komt de productiekant aan bod in cybersecurity voor productie, dat ook uitlegt hoe NIS2 u classificeert. NIS2 en deze wet staan los van elkaar: bekijk daarvoor wie moet voldoen aan NIS2.

FAQ

Wij verkopen alleen software, geen hardware. Zitten wij in scope?

Ja, als u het onder uw eigen naam verkoopt en het verbindt met een toestel of een netwerk. Artikel 2(1) dekt producten met digitale elementen, en software op zich is er daar één van.

Wij geven onze app gratis weg. Verandert dat iets?

Nee. Artikel 3(13) eindigt in de Engelse tekst met de woorden "whether for payment, monetisation or free of charge". De definitie dekt dus zowel betalend als gratis. Gratis haalt u niet uit scope.

Wij zijn met vijf. Zijn wij te klein hiervoor?

Nee. Artikel 2 bepaalt de scope via het product, en bevat geen enkele drempel voor personeel of omzet. Omvang verandert wel twee dingen, maar geen van beide is een vrijstelling. Artikel 33(5) laat een micro- of kleine onderneming een vereenvoudigd formaat gebruiken voor de technische documentatie, en artikel 64(10)(a) beschermt ze tegen een boete voor het missen van de deadline van 24 uur. Die bescherming tegen de boete werkt alleen doordat een rectificatie van 2 juli 2025 artikel 64(10) corrigeerde; gratis kopieën van de wet tonen nog de oude tekst, en daaronder bleef de boete gewoon staan. De meldplicht blijft hoe dan ook.

Vervangt dit NIS2?

Nee. Het zijn twee aparte wetten. NIS2 gaat over hoe uw organisatie gerund wordt en heeft wel omvangsdrempels. De Cyber Resilience Act gaat over de producten die u op de markt brengt. U kunt onder beide vallen, onder één, of onder geen van beide.

Wij verkopen dat product al twee jaar niet meer. Telt het nog mee?

Voor melden wel. Artikel 69(3) laat de plicht van artikel 14 ook gelden voor producten die vóór 11 december 2027 op de markt gebracht zijn. De andere plichten uit de wet komen pas terug op een oud product als u het na die datum substantieel wijzigt, onder artikel 69(2).

Onze leverancier zegt dat artikel 22 onze eigenmerkproducten dekt. Klopt dat?

Nee. Artikel 22 gaat over iemand die een substantiële wijziging aan een product uitvoert en het daarna aanbiedt. Een ongewijzigd product onder uw eigen naam of merk verkopen is artikel 3(13) als u het voor u liet maken, of artikel 21 als u de invoerder of distributeur bent. Het is een veelgemaakte verwarring en ze wijst u naar de verkeerde verplichtingen.

Verder lezen

Niet zeker welke van uw producten in scope zitten?

Easy Cyber Protection helpt kleine bedrijven en hun IT-partners om de saaie kant van compliance op orde te krijgen, in het Nederlands, Frans en Engels.

Bekijk hoe het werkt