Geldt de Cyber Resilience Act straks ook voor machines?

Wij zijn fabrikant van stand-alone machines die beschikken over een PLC-besturing met een touchscreenbediening. Geldt de Cyber Resilience Act straks ook voor deze machines?

Casus

Wij zijn fabrikant van stand-alone machines die beschikken over een PLC-besturing met een touchscreenbediening.
Door een lezing bij een branche-organisatie hebben we begrepen dat de nieuwe Machineverordening (EU) 2023/1230 per 20-1-2027 eist dat machines beschermd moeten zijn tegen hackers. Ook hebben we begrepen dat het vereist is dat we voor de besturingscomponenten gebruik gaan maken van componenten die aantoonbaar voldoen aan de Cyber Resilience Act.
Onze machines draaien stand‑alone en zijn niet voorzien van een internetverbinding, waardoor wij intern de conclusie hebben getrokken dat de machine zelf niet aan de CRA-verordening hoeft te voldoen. We zijn hier niet helemaal zeker van, daarom de volgende vraag.

Vraag

Geldt de Cyber Resilience Act straks ook voor machines?

Antwoord

De Cyber Resilience Act (EU) 2024/2847 (afgekort: CRA) is een Europese verordening die zich richt op het verbeteren van de beveiliging van digitale producten. De CRA is in Nederland opgenomen in de Verordening Cyberweerbaarheid.

De CRA is van toepassing op producten met digitale elementen. Dit is nauwkeurig gedefinieerd: het gaat om producten die bedoeld zijn om gegevens uit te wisselen met andere producten, apparaten of netwerken, of waarvan redelijkerwijs kan worden verwacht dat zij dit doen.

De CRA is op 10 december 2024 in werking getreden. De belangrijkste verplichtingen die door de Wet zijn ingevoerd, zullen van toepassing zijn vanaf 11 december 2027, terwijl de rapportageverplichtingen van toepassing zullen zijn vanaf 11 september 2026.

Veel bedrijven denken dat de Cyber Resilience Act alleen geldt voor kritieke infrastructuur, securityproducten of andere hoog-risico-systemen. Dat klopt niet. De CRA is van toepassing op alle producten met digitale elementen en connectiviteit.

Een belangrijk punt van verwarring is connectiviteit. Veel organisaties denken dat hun product niet onder de CRA valt omdat het bijvoorbeeld als stand‑alone systeem in een fabriek draait en geen internetverbinding heeft. Maar de wetgever kijkt niet alleen naar actieve connectiviteit, maar ook naar de mogelijkheid tot connectiviteit.

Als een product bijvoorbeeld beschikt over:

• een USB‑poort,
• een debug‑poort,
• een andere interface waarin een kabel, drive of extern apparaat kan worden aangesloten,

dan wordt dit al gezien als connectiviteit. In dat geval valt het product onder de Cyber Resilience Act en moet het voldoen aan de eisen van de Wet.

Conclusie

Uit bovenstaande uitleg wordt duidelijk dat een machine niet automatisch valt onder de CRA. Zodra een machine echter software, connectiviteit of mogelijkheden bevat voor gegevensuitwisseling, kan de machine wél binnen de reikwijdte van de CRA vallen. Daarbij is met name overweging (overweging) 53 van de CRA relevant. Zie hieronder in italics.

CRA Overweging (53)
Fabrikanten van producten die binnen het toepassingsgebied van Verordening (EU) 2023/1230 van het Europees Parlement en de Raad vallen en die ook producten met digitale elementen zijn in de zin van deze verordening, moeten zowel aan de essentiële cyberbeveiligingsvereisten van deze verordening (deze = CRA; toegevoegd door auteur) als aan de essentiële gezondheids- en veiligheidsvereisten van Verordening (EU) 2023/1230 voldoen.

De essentiële cyberbeveiligingsvereisten van deze verordening (deze = CRA; toegevoegd door auteur) en bepaalde essentiële vereisten van Verordening (EU) 2023/1230 kunnen wellicht betrekking hebben op soortgelijke cyberbeveiligingsrisico’s.

Daarom kan de naleving van de essentiële cyberbeveiligingsvereisten van deze verordening de naleving van de essentiële vereisten met betrekking tot bepaalde cyberbeveiligingsrisico’s zoals vastgesteld in Verordening (EU) 2023/1230 vergemakkelijken, en met name de vereisten met betrekking tot de bescherming tegen corruptie en met betrekking tot de veiligheid en betrouwbaarheid van de besturingssystemen als beschreven in de punten 1.1.9 en 1.2.1 van bijlage III bij die verordening.

Dergelijke synergieën moeten door de fabrikant worden aangetoond, bijvoorbeeld door na een risicobeoordeling van die cyberbeveiligingsrisico’s, indien beschikbaar, geharmoniseerde normen of andere technische specificaties toe te passen die betrekking hebben op relevante essentiële cyberbeveiligingsvereisten.

De fabrikant moet ook de in deze verordening (deze = CRA; toegevoegd door auteur) en in Verordening (EU) 2023/1230 beschreven toepasselijke conformiteitsbeoordelingsprocedures volgen.

De Commissie en de Europese normalisatieorganisaties moeten bij de voorbereidende werkzaamheden ter ondersteuning van de uitvoering van deze verordening en van Verordening (EU) 2023/1230 en de daarmee verband houdende normalisatieprocessen consistentie bevorderen in de wijze waarop de cyberbeveiligingsrisico’s moeten worden beoordeeld en in de wijze waarop die risico’s moeten worden afgedekt door geharmoniseerde normen met betrekking tot de relevante essentiële vereisten.

De Commissie en de Europese normalisatieorganisaties moeten deze verordening met name in aanmerking nemen bij de voorbereiding en ontwikkeling van geharmoniseerde normen om de uitvoering van Verordening (EU) 2023/1230 te vergemakkelijken, met name wat betreft de cyberbeveiligingsaspecten die verband houden met de bescherming tegen corruptie en de veiligheid en betrouwbaarheid van de besturingssystemen als beschreven in de punten 1.1.9 en 1.2.1 van bijlage III bij die verordening. De Commissie moet richtsnoeren opstellen ter ondersteuning van fabrikanten die onder deze verordening vallen en die ook onder Verordening (EU) 2023/1230 vallen, met name om het aantonen van overeenstemming met de relevante essentiële vereisten van deze verordening en van Verordening (EU) 2023/1230 te vergemakkelijken.

Deze maakt duidelijk dat wanneer een product al onder sectorspecifieke wetgeving valt, zoals de Machineverordening, de fabrikant aan beide regelgevingskaders moet voldoen voor zover deze van toepassing zijn. In de praktijk betekent dit dat beide kaders op elkaar moeten worden afgestemd en elkaar aanvullen, in plaats van dat het ene het andere vervangt.

Momenteel zijn de geharmoniseerde normen onder de CRA nog in ontwikkeling en hebben de Europese autoriteiten het certificeringsschema voor producten die als kritisch worden geclassificeerd nog niet definitief vastgesteld. Machines vallen momenteel niet onder categorieën waarvoor een verplichte conformiteitsbeoordeling door een derde partij vereist is. De verwachting is dat eigen beoordeling door de fabrikant voldoende blijft.

Desondanks is de impact op de bestaande conformiteitsprocessen aanzienlijk. Cybersecurity-gerelateerd bewijsmateriaal moet worden geïntegreerd in de technische documentatie die de conformiteitsbeoordeling, CE-markering en blijvende toegang tot de Europese markt ondersteunt.

TIP: Kijk ook eens op de volgende links:
• https://digital-strategy.ec.europa.eu/en/policies/cybersecurity
• https://www.rdi.nl/onderwerpen/draadloze-apparatuur/handel-en-apparatuur/cra
• https://www.rdi.nl/documenten/2025/09/19/gids-cyber-resilience-act
• https://mikrocentrum.nl/nl/mikrocentrum/nieuws/mikrocentrum-lanceert-modulair-cursusprogramma-rondom-de-cyber-resilience-act-cra/
• https://mikrocentrum.nl/nl/blog/veelgemaakte-misverstanden-over-de-eu-cyber-resilience-act

Deze vraag is beantwoord door FUSACON B.V. website: https://www.fusacon.nl