Cyber Resilience Act

Klanten die producten voor de Europese markt bouwen vragen ons hoe de Cyber Resilience Act software raakt waarin onze componenten zijn ingebed. Deze pagina zet uiteen waar de verordening staat, welke verplichtingen bij ons liggen en welke bij u, en wat wij leveren zodat u uw eigen dossier voor gepaste zorgvuldigheid kunt afronden.

Waar de CRA vandaag staat

Verordening (EU) 2024/2847 is op 10 december 2024 in werking getreden, maar de verplichtingen komen gefaseerd:

• 11 juni 2026. De regels voor het aanmelden van conformiteitsbeoordelingsinstanties worden van kracht, waarmee de beoordelingsinfrastructuur pas gaat bestaan.
• 11 september 2026. Fabrikanten moeten actief misbruikte kwetsbaarheden en ernstige incidenten melden bij ENISA en het bevoegde CSIRT, met een vroegtijdige waarschuwing binnen 24 uur, een uitgebreidere melding binnen 72 uur en een eindverslag zodra een corrigerende maatregel beschikbaar is.
• 11 december 2027. De essentiële cyberbeveiligingseisen, de eisen voor het omgaan met kwetsbaarheden, de technische documentatie, de EU-conformiteitsverklaring en de CE-markering gelden onverkort.

Tot december 2027 draagt geen enkel product op de markt een CRA-conformiteitsverklaring, omdat het kader dat die afgeeft nog wordt opgezet. Elke leverancier die vandaag beweert een afgeronde CRA-conformiteitsbeoordeling te hebben, beschrijft iets wat nog niet bestaat. Wat wij nu wel kunnen doen, en daarvoor is deze pagina bedoeld, is u het bewijsmateriaal geven dat uw eigen beoordeling nodig heeft.

Vallen de eSeGeCe-componenten binnen het toepassingsgebied?

Ja. Een commercieel geleverde softwarebibliotheek is zelf een product met digitale elementen, dus de eSeGeCe-componenten vallen binnen het toepassingsgebied van de verordening en wij zijn de fabrikant ervan. Dat staat los van uw eigen verplichtingen voor het product dat u in de handel brengt.

Productclassificatie

De eSeGeCe-componentbibliotheken staan niet in bijlage III of bijlage IV van de verordening. Het zijn geen besturingssystemen, hypervisors, containerruntimes, firewalls, inbraakdetectiesystemen, VPN's, systemen voor identiteitsbeheer, wachtwoordmanagers, opstartbeheerders, publiekesleutelinfrastructuren, netwerkbeheersystemen of enige andere belangrijke of kritieke klasse.

Zij vallen daarom in de standaardcategorie, waarin conformiteit door de fabrikant wordt vastgesteld via de interne controleprocedure van module A en niet door een aangemelde instantie. Voor uw dossier betekent dit dat het integreren van onze componenten uw product niet op zichzelf in een hogere conformiteitsbeoordelingsklasse trekt. Hoe uw eigen product wordt ingedeeld hangt af van wat het doet.

Wie waarvoor verantwoordelijk is

U bent de fabrikant van het product dat u op de EU-markt brengt, en de CE-markering en conformiteitsverklaring voor dat product zijn van u. Twee artikelen regelen de verhouding tussen ons:

• Artikel 13(5). U moet gepaste zorgvuldigheid betrachten bij het integreren van componenten van derden, zodat die de cyberbeveiliging van uw product niet in gevaar brengen. Het onderstaande is wat wij daarvoor leveren.
• Artikel 13(6). Vindt u een kwetsbaarheid in een component die u hebt geïntegreerd, dan moet u die melden aan wie de component onderhoudt. Voor onze code is dat kanaal beschreven in ons beleid voor het melden van kwetsbaarheden.

Wat wij leveren voor uw gepaste zorgvuldigheid

• Volledige broncode. Elke licentie bevat de volledige Delphi- en C++ Builder-broncode van de componenten die u gebruikt. U wordt niet gevraagd op een binair bestand te vertrouwen, u kunt alles wat u uitlevert nakijken, auditen, instrumenteren en opnieuw bouwen. Voor een beoordeling volgens bijlage I is dit het sterkste bewijs dat een componentleverancier kan bieden, en de meeste commerciële componentleveranciers bieden het niet.
• Een SBOM op verzoek. Bijlage I deel II punt 1 verplicht ons een stuklijst op te stellen die ten minste de afhankelijkheden op het hoogste niveau dekt en die in onze technische documentatie te bewaren, publicatie is niet vereist. Wij houden de onze bij in CycloneDX-formaat voor elke release en verstrekken hem op verzoek, zodat hij rechtstreeks in uw inventaris kan worden opgenomen. Vraag hem aan via onze beveiligingspagina.
• Een beleid voor gecoördineerde openbaarmaking van kwetsbaarheden. Gepubliceerd, met één aanspreekpunt, streeftijden voor ontvangstbevestiging en beoordeling, en een openbaarmakingstermijn, zoals bijlage I deel II punt 5 vereist.
• Een gedocumenteerde wijzigingsgeschiedenis. Elke release bevat een historiebestand met wat er is veranderd, inclusief beveiligingsrelevante wijzigingen, zodat u een schriftelijk spoor hebt van wat wanneer is opgelost.
• Een ondersteuningsperiode. Beveiligingsoplossingen voor een hoofdversie blijven ten minste vijf jaar na uitgave beschikbaar, wat voldoet aan het minimum van artikel 13(8).

Standaard veilig

Bijlage I deel I verlangt dat een product met een veilige standaardconfiguratie wordt geleverd, dat het zich beschermt tegen denial of service en dat het aanvalsoppervlak zo klein mogelijk is. Dat werk is al zichtbaar in het product. Recente releases zorgden ervoor dat de WebSocket-server binnenkomende controleframes in snelheid begrenst, dat hij het aantal gelijktijdige verbindingen begrenst in plaats van een onbeperkt aantal te accepteren, dat de HTTP/2-server een maximale grootte voor de verzoekinhoud kreeg en dat de browserbronnen die een MCP-server mogen aanroepen werden beperkt. Transportbeveiliging is beschikbaar via OpenSSL of, op Windows, via SChannel zonder enige externe bibliotheek om uit te leveren. Deze standaardinstellingen zijn aangescherpt omdat het de juiste standaardinstellingen zijn, niet omdat een deadline dat vereiste.

Wat wij voorbereiden

Met het oog op bovenstaande termijnen werken wij aan de technische documentatie uit bijlage VII, de EU-conformiteitsverklaring uit bijlage V, de CE-markering voor zover die op ons van toepassing is, de informatie en instructies voor gebruikers uit bijlage II, en het interne proces voor de meldingsplichten uit artikel 14 die in september 2026 beginnen. Wij publiceren de resultaten hier zodra ze klaar zijn. De geharmoniseerde normen bij de verordening worden nog opgesteld en wij sluiten daarop aan zodra ze beschikbaar zijn.

Leveranciersvragenlijsten

Heeft uw complianceteam een leveranciersbeoordelingsformulier, een componentvragenlijst of een SBOM-verzoek, stuur het dan via ons contactformulier onder vermelding van product, editie en versie die u gebruikt, en wij vullen het in met de specifieke antwoorden voor uw build.

Opmerking

Deze pagina wordt verstrekt ter ondersteuning van uw eigen beoordeling. Het is informatie over onze producten en onze werkwijze, geen juridisch advies over uw verplichtingen op grond van de verordening.