De data van de Cyber Resilience Act: wat geldt, en vanaf wanneer
De verordening treedt niet in één keer in werking. Vier data, niet één — en die welke bijna niemand in de agenda heeft, is de eerste die een fabrikant aansprakelijk maakt.
1. Vier data, en waarom de wetgever ze heeft gescheiden
Verordening (EU) 2024/2847 is sinds 10 december 2024 van kracht, maar art. 71 spreidt de toepassing. Op 11 juni 2026 geldt het hoofdstuk over conformiteitsbeoordelingsinstanties: het zorgt dat aangemelde instanties bestaan voordat iemand er een nodig heeft. Op 11 september 2026 geldt art. 14 — het melden. Op 11 december 2027 geldt al het overige.
De volgorde is bewust. Autoriteiten willen het werkelijke verkeer aan kwetsbaarheden zien voordat ze productconformiteit eisen: eerst hoe u reageert, dan hoe u bouwt. Dat is de omkering van de volgorde waaraan bijna elke productrichtlijn heeft gewend, en daarom verrast deze kalender.
Voor een fabrikant betekent het dat de eerst geldende verplichting niet over het product gaat maar over de organisatie. Geen van de vier data verschuift met bedrijfsomvang, sector of omzet.
2. Wat geldt vanaf 11 september 2026 — en wat niet
Art. 14 geldt volledig: vroegtijdige waarschuwing binnen 24 uur, melding binnen 72 uur, eindverslag, gebruikersadvies en melding stroomopwaarts aan de beheerder van het onderdeel. Vijf afzonderlijke plichten, niet één, en ze gelden vanaf die dag voor elk product met digitale elementen dat de fabrikant op de Uniemarkt heeft.
Nog niet van toepassing: de essentiële eisen van bijlage I, de technische documentatie, de EU-conformiteitsverklaring en de CE-markering. Een product zonder CE-markering is op 11 september 2026 daarom niet in overtreding; dat wordt het pas als het na die datum een misbruikte kwetsbaarheid niet meldt.
3. Producten die al op de markt zijn krijgen geen respijt
De datum van het in de handel brengen telt niet mee. Een in 2021 geleverd product dat nog ondersteund wordt en waarvan een kwetsbaarheid actief wordt misbruikt, activeert de plicht precies zoals een product dat morgen wordt geleverd. Wat telt is het moment waarop de fabrikant kennis krijgt van het misbruik.
Dit is het gevolg dat het vaakst te laat wordt ontdekt, omdat het de intuïtie omkeert: u kunt ver van productconformiteit staan — geen markering, geen technisch dossier — en toch aansprakelijk zijn voor een melding die uitbleef. Conformiteit van het object en conformiteit van de meldplicht lopen op gescheiden klokken, en die van de melding start als eerste.
4. Wat op 11 december 2027 komt
Vanaf die datum geldt de rest van de verordening: de essentiële cyberbeveiligingseisen van bijlage I deel I, het proces voor het omgaan met kwetsbaarheden uit deel II, de technische documentatie van bijlage VII, de conformiteitsbeoordeling langs de route die de klasse van het product vraagt, de EU-verklaring en de CE-markering.
Vijftien maanden liggen tussen beide data, en dat is geen ruime marge: bij een belangrijk product van klasse II of een kritiek product loopt de route via een aangemelde instantie, en die agenda bepaalt de fabrikant niet. Wie in 2027 wil starten, rekent op marktcapaciteit die in 2027 schaars zal zijn.
5. De data die de verordening niet vastlegt
Drie belangrijke dingen hebben geen datum in de tekst en moeten per land worden gecontroleerd. De aanwijzing van het CSIRT dat fabrikantenmeldingen ontvangt volgt de nationale uitvoering. De operationele beschikbaarheid van het centraal meldingsplatform hangt af van ENISA en de bijbehorende handelingen. De geharmoniseerde normen die zelfbeoordeling werkbaar maken verschijnen geleidelijk, en niet alle zullen er op de toepassingsdatum zijn.
Dit is het deel van de kalender dat veroudert: de data van art. 71 staan in de tekst en verschuiven niet, deze wel. Een plan dat ze als vaststaand behandelt, plant op een zekerheid die er niet is.
6. Als u in meerdere lidstaten verkoopt
De data zijn in de hele Unie dezelfde: de verordening werkt rechtstreeks, zonder omzetting. Wat per land verschilt is wie de melding ontvangt — het aangewezen CSIRT — en in welke taal u indient.
Dat betekent dat de kalender er één is, en het kanaal ook: art. 14, lid 7 stuurt de melding naar het CSIRT van de lidstaat waar u uw hoofdvestiging in de Unie hebt, en dat is er één. Inloggegevens, contactpersonen en kanaal moeten toch klaarstaan voor dat ene ingangspunt — en geen van die stappen is in vierentwintig uur geregeld.
Het is het enige punt waar een voor iedereen gelijke termijn zeer verschillende werklast oplevert. Beter vooraf in kaart gebracht dan op de dag dat het nodig is.
Deze pagina geeft onze lezing van de rechtstekst weer en is geen juridisch advies.