Voor wie
U ontwikkelt software, firmware, apps of verbonden apparaten en verkoopt ze in de EU. Sinds 11 september 2026 moet u actief misbruikte kwetsbaarheden en ernstige incidenten melden volgens de Cyber Resilience Act, vanaf 11 december 2027 gelden alle eisen aan uw producten. Complass begeleidt u per product van de classificatie tot de CE-markering en door de supportperiode heen.
Voor een actief misbruikte kwetsbaarheid blijven 24 uur tot de vroegtijdige waarschuwing, ook voor producten die al lang op de markt zijn. Dat lukt alleen met een ingeoefend proces.
Bibliotheken, open source en componenten van toeleveranciers: zonder actuele software-stuklijst is niet vast te stellen welk product door een nieuwe kwetsbaarheid wordt getroffen.
De Richtlijn radioapparatuur, de CRA, de Data Act en eventueel de AI-verordening grijpen in elkaar, met eigen termijnen en overgangsregelingen.
De Cyber Resilience Act geldt voor producten met digitale elementen die verbinding kunnen maken met een apparaat of netwerk, dus voor de meeste software en bijna alle verbonden apparaten. Uitgezonderd zijn onder meer medische hulpmiddelen en voertuigen met een eigen typegoedkeuring.
Normenkaders: CRA · Radioapparatuurrichtlijn (RED) · IEC 62443 voor fabrikanten · Data Act · AI-verordening
Weet u niet zeker welke normenkaders voor u gelden? Check Val ik eronder? starten
Kosten, inspanning en doorlooptijd: alleen adviseur, adviseur met Complass of eigen implementatie met Complass? Compliance-kostencalculator openen
AI in het product. Bevat uw product een AI-systeem, controleer dan de indeling volgens de AI-verordening. Is de AI een veiligheidscomponent van een product dat volgens het EU-recht een conformiteitsbeoordeling door een derde partij vereist, dan kan zij hoog risico zijn. Transparantieverplichtingen, bijvoorbeeld bij chatbots, gelden sinds 2 augustus 2026. Art. 6 AI-verordeningArticle 6 AI Act Classification rules for high-risk AI systems1. Irrespective of whether an AI system is placed on the market or put into service independently of the products referred to in points (a) and (b), that AI system shall be considered to be high-risk where both of the following conditions are fulfilled: - (a) the AI system is intended to be used as a safety component of a product, or the AI system is itself a product, covered by the Union harmonisation legislation …Origineel openen (EUR-Lex – consolidated version of 27.07.2026) ↗ Art. 50 AI-verordeningArticle 50 AI Act Transparency obligations for providers and deployers of certain AI systems1. Providers shall ensure that AI systems intended to interact directly with natural persons are designed and developed in such a way that the natural persons concerned are informed that they are interacting with an AI system, unless this is obvious from the point of view of a natural person who is reasonably well-informed, observant and circumspect, taking into account the circumstances and the context of use. This …Origineel openen (EUR-Lex – consolidated version of 27.07.2026) ↗
Algemene informatie, geen juridisch advies. Deze pagina vat de rechtslage vereenvoudigd samen en vervangt geen beoordeling van uw specifieke situatie. Bepalend is de tekst van de wetten en normen.
Standaardsoftware, apps en firmware: software-stuklijst, updates en meldingen gedurende de gehele supportperiode.
Smarthome-, IoT- en industriële apparaten met radio: nu de Richtlijn radioapparatuur, vanaf december 2027 de CRA.
Besturingen, gateways en netwerkcomponenten; routers en andere netwerkcomponenten gelden deels als belangrijk product met een strengere conformiteitsprocedure. IEC 62443-4-1 en 4-2 zijn een veelgebruikt kader.
Producten met ingebedde AI: indeling volgens de AI-verordening naast de CRA.
Classificatie, risicobeoordeling, eisen volgens bijlage I, technische documentatie en conformiteitsverklaring, gevoerd in fasen.
Meer over deze functieSoftware-stuklijsten (CycloneDX, SPDX) importeren, kwetsbaarheden en fabrikantmeldingen (CSAF) toewijzen en SBOM en VEX voor klanten en autoriteiten exporteren.
Meer over deze functieActief misbruikte kwetsbaarheid of ernstig incident: Complass toont de drie meldstappen met termijn en de vereiste gegevens.
Meer over deze functieEen eigen normenkader voor fabrikanten met sjablonen voor het ontwikkelproces, het dreigingsmodel en het PSIRT-proces, gekoppeld aan de CRA.
Het branchesjabloon «Fabrikanten» selecteert vooraf de CRA, de richtlijn radioapparatuur en kwetsbaarhedenbeheer met SBOM. De AI-verordening boekt u erbij als u die nodig hebt.
beschikbaar
vanaf 427 € per maand excl. btw in het pakket Start, grootte S, bij jaarlijkse betaling
beschikbaar
vanaf 79 € per maand excl. btw in het pakket Praktijk, grootte S, bij jaarlijkse betaling
Alle prijzen gelden voor bedrijven, niet voor consumenten. Ze zijn netto excl. btw bij jaarlijkse betaling; bij maandelijkse betaling geldt een toeslag van 15 %. Stand 16/10/2026. Enterprise en concerns op aanvraag.
Ja. Ook software die zelfstandig wordt verkocht, is een product met digitale elementen. Pure clouddiensten zonder productbinding vallen doorgaans niet onder de CRA, maar onder NIS2. Gegevensverwerking op afstand zonder welke een product zijn functie niet kan vervullen, hoort daarentegen wel bij het product.
U moet actief misbruikte kwetsbaarheden en ernstige beveiligingsincidenten melden via het gezamenlijke meldplatform, met een vroegtijdige waarschuwing binnen 24 uur. Dat geldt ook voor producten die u vóór deze datum in de handel hebt gebracht.
De normenreeks is geen verplichting, maar wordt voor industriële componenten vaak gevraagd. IEC 62443-4-1 beschrijft eisen aan een veilig ontwikkelproces, IEC 62443-4-2 technische beveiligingseisen aan componenten. Complass koppelt beide aan de eisen van de CRA.
Maak uw proefaccount zelf aan, desgewenst met een voorbeeldproject per kader. Wilt u Complass liever eerst zien, vraag dan een demo aan.
