Cyber Resilience Act en SBOM: korte antwoorden
De vragen die fabrikanten het vaakst over de CRA stellen, elk in een paar zinnen beantwoord met de officiële bron.
Wat is de Cyber Resilience Act, en voor wie geldt hij?
De Cyber Resilience Act (CRA, Cyberweerbaarheidsverordening) is Verordening (EU) 2024/2847, de EU-wet met cyberbeveiligingseisen voor producten met digitale elementen. Hij geldt voor hardware met software en voor softwareproducten die op de EU-markt worden aangeboden, en de verplichtingen liggen vooral bij de fabrikanten, ongeacht hun omvang. Sectoren met eigen regels, zoals medische hulpmiddelen, motorvoertuigen en de burgerluchtvaart, zijn uitgezonderd, en pure software-as-a-service zonder product valt er in het algemeen buiten. De verordening is op 10 december 2024 in werking getreden.
De CRA-meldplicht in detail →
Bron: Verordening (EU) 2024/2847, EUR-Lex, Cyber Resilience Act, Europese Commissie
Wat houdt de CRA-meldplicht in?
Sinds 11 september 2026 moeten fabrikanten elke actief uitgebuite kwetsbaarheid in hun product en elk ernstig incident dat de beveiliging ervan raakt melden - ook voor producten die al op de markt zijn. Een vroegtijdige waarschuwing is verplicht binnen 24 uur nadat je ervan op de hoogte bent, een melding binnen 72 uur en een eindverslag uiterlijk 14 dagen nadat een correctie beschikbaar is (kwetsbaarheden) of binnen één maand na de melding (incidenten). Meldingen gaan via het centrale meldplatform van ENISA naar het coördinerende CSIRT en naar ENISA; het platform heeft geen API voor fabrikanten, dus elke melding wordt handmatig in de browser ingediend.
CRA-meldplicht: aanleiding, termijnen, ontvangers → Bekijk: De CRA-meldworkflow (4 min)
Bron: Verordening (EU) 2024/2847, artikel 14, EUR-Lex, ENISA
Hoe maak je een SBOM?
Genereer de SBOM automatisch in je build-pipeline in plaats van hem met de hand te schrijven. Gebruik een van de twee veelgebruikte machineleesbare formaten, CycloneDX of SPDX, en maak één SBOM per uitgebrachte versie. Voor de meeste ecosystemen bestaan generatoren, bijvoorbeeld Syft of cdxgen voor containers en bestandssystemen, de CycloneDX-plug-ins voor Maven, Gradle en npm, en de SPDX-uitvoer van het Yocto Project voor embedded Linux.
- Kies het formaat. CycloneDX of SPDX - beide zijn machineleesbaar.
- Genereer hem in CI. Draai de SBOM-generator voor je ecosysteem bij elke release-build.
- Bewaar één SBOM per release. Leg hem bij de release vast als onderdeel van de technische documentatie.
- Toets hem aan kwetsbaarheidsdata. Kernwatch controleert componenten met een package-identifier (purl) dagelijks bij betaalde abonnementen, wekelijks bij Free.
SBOM voor de CRA → Bekijk: Producten, releases en SBOM's (4 min) Bekijk: SBOM's uploaden vanuit CI met een API-sleutel (2 min)
Bron: CycloneDX, SPDX
Wanneer is een SBOM verplicht onder de CRA?
De SBOM hoort bij de CRA-eisen die vanaf 11 december 2027 gelden: vanaf dan hebben producten met digitale elementen CRA-conformiteit en CE-markering nodig om op de EU-markt te worden gebracht. Bijlage I vereist een SBOM in een gangbaar, machineleesbaar formaat die ten minste de afhankelijkheden op het hoogste niveau omvat. Hij maakt deel uit van de technische documentatie - je hoeft hem niet te publiceren, maar markttoezichtautoriteiten kunnen erom vragen. Omdat de meldplicht op 11 september 2026 is ingegaan, is een actuele SBOM ook de snelste manier om te zien of een uitgebuite kwetsbaarheid je producten raakt.
Wat de CRA van een SBOM verlangt →
Bron: Verordening (EU) 2024/2847, bijlage I, EUR-Lex
Wat doet een tool voor CRA-kwetsbaarheidsmeldingen?
Hij maakt van monitoringresultaten en termijnen taken. In Kernwatch wordt een bevinding op een lijst van actief uitgebuite kwetsbaarheden een taak in de actie-inbox om een meldzaak te openen, met een termijn van 24 uur nadat je ervan op de hoogte bent, en de vroegtijdige waarschuwing, de melding en het eindverslag worden opgesteld uit je product-, release- en beoordelingsgegevens zodat je ze kunt aftekenen. Je dient zelf in op het ENISA-platform en legt het referentienummer vast; als een nieuwere release de kwetsbare versie niet meer bevat, stelt Kernwatch de fixdatum voor waarmee de termijn van 14 dagen voor het eindverslag start. Taken verschijnen in elk abonnement; meldzaken en meldingen goedkeuren vraagt Starter of hoger.
Abonnementen en prijzen → Bekijk: De actie-inbox (6 min)