De Cyber Resilience Act geldt pas eind 2027 volledig, en toch dient de eerste harde verplichting zich over een week al aan. Vanaf 11 september moeten fabrikanten van hard- en software actief misbruikte kwetsbaarheden binnen 24 uur melden. Voor MSP’s betekent dat sneller nieuws van leveranciers, nieuwe vragen van klanten en voor sommigen een verplichting die ze zelf nog niet zagen aankomen.
De CRA, voluit Verordening (EU) 2024/2847, is sinds 10 december 2024 van kracht en doet iets wat de EU nog nooit eerder deed: cybersecurity-eisen stellen aan producten in plaats van aan organisaties. Alles met een digitaal element dat met een netwerk kan praten valt eronder, van een router en een IP-camera tot een boekhoudpakket. Zulke producten krijgen een CE-markering voor beveiliging, en de fabrikant moet aantonen dat het product veilig is ontworpen, gedurende de ondersteuningsperiode gratis beveiligingsupdates krijgt, een stuklijst van softwarecomponenten (SBOM) heeft en dat kwetsbaarheden netjes worden afgehandeld. Die volledige set eisen gaat in op 11 december 2027.
Wat verandert er op 11 september?
Artikel 14 van de verordening trekt zich niets aan van die einddatum. Vanaf 11 september moet een fabrikant die ontdekt dat een kwetsbaarheid in zijn product actief wordt misbruikt, binnen 24 uur een vroegtijdige waarschuwing indienen, binnen 72 uur een uitgebreidere melding en binnen veertien dagen na de fix een eindrapport. Voor ernstige incidenten die de beveiliging van het product raken geldt hetzelfde ritme, met een eindrapport binnen een maand. De melding loopt via het Single Reporting Platform van ENISA en komt in Nederland terecht bij het NCSC als coördinerend CSIRT. Getroffen gebruikers moeten bovendien zonder onnodige vertraging worden geïnformeerd, inclusief de maatregelen die zij zelf kunnen nemen.
Twee dingen maken deze meldplicht groter dan hij lijkt. Ten eerste geldt hij ook voor producten die al jaren op de markt zijn, dus de firewall uit 2021 en het RMM-platform dat een MSP sinds 2019 draait. Ten tweede is het meldplatform begin september nog niet openbaar: ENISA mikt op livegang op de dag zelf, zonder API voor geautomatiseerde meldingen. Fabrikanten die de melding in hun incidentproces willen inbouwen, doen dat vooralsnog op basis van FAQ’s.
Voor de gemiddelde MSP is dit vooral goed nieuws aan de ontvangende kant. Leveranciers van RMM, EDR, back-up en netwerkapparatuur moeten vanaf nu binnen een etmaal naar de toezichthouder en naar hun klanten als er actief misbruik wordt vastgesteld. Het loont om per leverancier na te vragen hoe die kennisgeving eruit gaat zien.
Welke rol speelt een MSP in de keten?
De verordening kent drie rollen, en de meeste MSP’s vervullen er minstens twee. In het gros van de gevallen is een MSP distributeur: je levert producten van anderen door zonder er iets aan te veranderen. Die rol brengt zorgvuldigheidsplichten mee, meer niet. Een distributeur controleert of het product een CE-markering en documentatie heeft, stopt met leveren als hij weet dat een product niet voldoet en geeft kwetsbaarheden die hem ter ore komen door aan de fabrikant. De tweede rol vervult een MSP die producten rechtstreeks van buiten de EU betrekt. Dan word je importeur en moet je actief nagaan of de fabrikant zijn huiswerk heeft gedaan.
De derde rol is de interessante. Een MSP wordt fabrikant zodra het zelf een product met digitale elementen commercieel op de markt brengt. Dat kan eigen software zijn, een klantportaal met agent, een script dat als product wordt verkocht of een white-labelproduct onder eigen naam. Ook wie een ingrijpende wijziging aanbrengt in een bestaand product, een aangepaste firmware bijvoorbeeld, neemt de fabrikantrol over. Vanaf dat moment gelden alle eisen: beveiligde ontwikkeling, SBOM, minimaal vijf jaar ondersteuning, technische documentatie en de meldplicht van 11 september. Pure clouddiensten vallen buiten de CRA, tenzij de dienst onderdeel is van een product, zoals de cloudkant van een deurbel. Voor de MSP-dienstverlening zelf is de Cyberbeveiligingswet het kader, die sinds 15 augustus geldt.
Hoe zwaar de bewijslast weegt, hangt af van de productcategorie. De Europese Commissie schat dat zo’n 90 procent van alle producten in de standaardcategorie valt, waarvoor een zelfbeoordeling volstaat. Daarboven zitten de “belangrijke” producten in klasse I en II en de kritieke producten, en daar staat veel in wat MSP’s dagelijks uitrollen: wachtwoordmanagers, VPN’s, routers, switches, besturingssystemen, SIEM, malwarescanners, firewalls en hypervisors. Voor klasse II en kritieke producten is een externe keuringsinstantie of Europese certificering verplicht, wat leveranciers tijd en geld kost en wat je vroeg of laat aan de prijs gaat merken.
Hoe ver is de markt?
Op die vraag bestaat nog geen Nederlands onderzoek van betekenis, en het beste internationale beeld komt van de Linux Foundation en OpenSSF. Hun CRA Awareness and Readiness Report 2026, gebaseerd op 843 respondenten uit de mondiale softwaresector, laat een sector zien die een jaar na de eerste peiling nauwelijks is opgeschoven. Twee derde van de respondenten kent de wet niet of nauwelijks, tegen 62 procent een jaar eerder; in Noord-Amerika ligt dat op 72 procent. Van de organisaties die de wet wél kennen, weet vier op de tien nog steeds niet of hij op hen van toepassing is, en slechts 34 procent noemt december 2027 correct als datum. Het aandeel fabrikanten dat voor alle producten een SBOM maakt bleef steken op 32 procent. Van de fabrikanten verwacht 41 procent op tijd volledig te voldoen.
Een kanttekening hoort erbij: de steekproef is wereldwijd en leunt op de open-sourcegemeenschap, dus over de Nederlandse leverancier van een MKB-boekhoudpakket zegt dit hooguit indirect iets. Ook de normen zijn nog in aanbouw. De Commissie vroeg CEN, CENELEC en ETSI in april 2025 om 41 geharmoniseerde normen en medio 2026 is daar nog geen definitieve van gepubliceerd. Zonder die normen kunnen fabrikanten in klasse I geen zelfbeoordeling doen. De Commissie publiceerde in juli wel uitgebreide richtsnoeren, en de RDI, de Nederlandse markttoezichthouder, heeft een Nederlandstalige gids die rollen en termijnen op een rij zet.
Wat moeten MSP’s nu regelen?
Het begint met een eerlijke inventarisatie van de eigen rol per product. Alles wat een MSP zelf bouwt en verkoopt, ook een intern ontwikkeld portaal dat klanten gebruiken, gaat op een lijst met de vraag of het commercieel op de markt wordt gebracht. Zo ja, dan ligt er tot december 2027 een project: beveiligde ontwikkelprocessen, een SBOM per release, een vastgestelde ondersteuningsperiode, technische documentatie en, per direct, een intern proces dat een actief misbruikte kwetsbaarheid binnen 24 uur bij het NCSC en ENISA krijgt. Kleine softwareteams lopen hier het grootste risico, omdat zij zelden iemand hebben die de meldklok bewaakt.
Voor het leveranciersportfolio is een vragenlijst het meest praktische instrument. Welke ondersteuningsperiode geeft de fabrikant per product en waar staat die vermeld? Is er een SBOM beschikbaar en in welk formaat? Hoe worden klanten geïnformeerd bij een actief misbruikte kwetsbaarheid? In welke categorie plaatst de fabrikant het product en wie voert de conformiteitsbeoordeling uit? Wat gebeurt er met producten die na 11 december 2027 nog in de catalogus staan zonder CE-markering voor beveiliging? Leveranciers die daar in het najaar van 2026 nog geen antwoord op hebben, vertellen daarmee ook iets over hun voorbereiding.
Richting klanten biedt de CRA een argument dat MSP’s al jaren zoeken. De ondersteuningsperiode wordt een wettelijk vastgelegde einddatum die de fabrikant zelf moet publiceren. Een firewall waarvan de support afloopt, is na die datum een product zonder beveiligingsupdates, waardoor serieus nagedacht moet worden over vervanging. Ook de SBOM verandert de dienstverlening: wie per klant weet welke componenten in welke producten zitten, kan bij de volgende Log4j binnen een uur zeggen wie geraakt is. De RDI kan boetes opleggen tot 15 miljoen euro of 2,5 procent van de wereldwijde omzet, al zit het risico voor de meeste MSP’s eerder in de keten dan in de eigen boete: een leverancier die op 12 december 2027 niet meer mag leveren, laat een gat in het portfolio achter dat de MSP weer moet zien te vullen.
Bronnen:
Europese Commissie, samenvatting van de Cyber Resilience Act; Europese Commissie over de meldplicht en het Single Reporting Platform; RDI, Gids Cyber Resilience Act versie 2.0; NCSC over de CRA en de meldplicht per 11 september 2026; Linux Foundation en OpenSSF, 2026 CRA Awareness and Readiness Report; Linux Foundation, vergelijking van de CRA-peilingen 2025 en 2026; Freshfields over de meldplicht per 11 september 2026; Rijksoverheid over de inwerkingtreding van de Cyberbeveiligingswet.
