Voor wie de CRA geldt
De CRA richt zich op fabrikanten, importeurs en distributeurs van producten met digitale elementen die in de EU op de markt worden aangeboden. De Europese Commissie schrijft dat producten die niet op de markt worden aangeboden niet onder de CRA vallen, en dat open source onder voorwaarden wel meetelt.
Of jouw product eronder valt, hangt af van wat je maakt en hoe je het aanbiedt. Wij zijn geen juristen: lees de uitleg van de Commissie en vraag zo nodig juridisch advies.
Wat de CRA van fabrikanten vraagt
De Commissie noemt onder meer een risicobeoordeling voor cyberbeveiliging, en een meldplicht voor kwetsbaarheden en ernstige incidenten: een vroege waarschuwing binnen 24 uur en een hoofdmelding binnen 72 uur. De verordening vraagt ook dat je de onderdelen in je product bijhoudt, onder meer met een softwarestuklijst (SBOM).
Welk bewijs uit je code en CI helpt
Een controle maakt je niet compliant, maar de vragen zijn te beantwoorden met bewijs:
- Welke onderdelen een bekende kwetsbaarheid hebben, uit je lockfiles
- Of er geheimen in je code of geschiedenis staan
- Of er getest is voor een release: we lezen het bewijs uit je eigen CI
- Of beschreven is hoe je met kwetsbaarheden omgaat en hoe je herstelt na een storing
Wat wij niet doen
We beoordelen je product niet voor een CE-markering, we doen geen conformiteitsbeoordeling en we melden niets bij een toezichthouder. We leveren ook geen SBOM. Je krijgt bevindingen met bewijs; wat je ermee doet, bepaal je zelf.