NIS2 dwingt je om de cybersecurity van je leveranciers te beoordelen. De Cyber Resilience Act bepaalt wat die leveranciers straks moeten leveren. Twee wetten, één keten, en de meeste organisaties behandelen ze nog als losse compliance-trajecten in aparte mappen.
Dat is een gemiste kans. Want waar NIS2 je een verplichting oplegt die zwaar en bewerkelijk is — het beoordelen van je hele leveranciersketen — geeft de Cyber Resilience Act je het instrument om die verplichting een stuk lichter te maken. Wie de twee als één geheel ziet, doet minder werk en is beter beschermd.
Dit artikel legt uit hoe de Cyber Resilience Act en NIS2 op elkaar ingrijpen, welke deadlines nu al beginnen te tellen, en hoe je de CRA gebruikt als hefboom in je inkoop in plaats van als de zoveelste losse verplichting.
Twee wetten, twee kanten van dezelfde keten
De Europese cybersecurity-aanpak maakt een onderscheid dat je moet snappen voordat de rest logisch wordt: het verschil tussen gereguleerde entiteiten en gereguleerde producten.
NIS2: de organisatie
NIS2 — in Nederland geïmplementeerd als de Cyberbeveiligingswet — richt zich op organisaties die diensten leveren die vitaal zijn voor economie en samenleving. Essentiële en belangrijke entiteiten in sectoren als energie, transport, zorg, bankwezen, digitale infrastructuur en telecom, grofweg vanaf middelgrote organisaties. Het regelt hoe die organisaties hun cybersecurity beheren: risicomanagement, incidentmelding, en de bestuurlijke verantwoordelijkheid daarvoor. Dat NIS2 identity & access management tot een bestuurlijke prioriteit maakt, is daar een direct gevolg van.
Telecom is daarbij een bijzonder geval dat aandacht verdient. Aanbieders van openbare elektronische communicatienetwerken en -diensten staan in Annex I van de NIS2-richtlijn: de meest kritische categorie, met de zwaarste verplichtingen en het strengste toezicht. En anders dan in de meeste sectoren geldt voor telecom geen omvangsdrempel: ook kleinere aanbieders van openbare elektronische communicatie vallen onder de wet. Wie in telecom werkt, zit dus per definitie in het diepste deel van het NIS2-regime, niet aan de rand ervan.
CRA: het product
De Cyber Resilience Act regelt de andere kant: de aanbodzijde. Hij geldt voor iedereen die “producten met digitale elementen” op de Europese markt brengt: fabrikanten, importeurs en distributeurs. Dat is een brede categorie: elk hardware- of softwareproduct met een directe of indirecte dataverbinding, van een slimme camera tot een industriële router tot een besturingssysteem. De CRA verplicht die partijen om hun producten veilig te ontwerpen, kwetsbaarheden te beheren, een software bill of materials (SBOM) bij te houden, en beveiligingsupdates te leveren gedurende de levensduur.
Kort gezegd: de Cyber Resilience Act beveiligt het product, NIS2 beveiligt de organisatie die het gebruikt. En precies daar, op het raakvlak, wordt het interessant.
Waar ze elkaar raken: supply chain security
Beide wetten leggen nadruk op de beveiliging van de toeleveringsketen, vanuit tegengestelde richtingen. NIS2 verplicht jou als afnemer om de cybersecurity van je belangrijke leveranciers te beoordelen, dat is expliciet een van de vereiste risicomaatregelen. De CRA verplicht de fabrikant om in te staan voor de veiligheid van zijn product, inclusief de third-party-componenten erin, met een SBOM en een werkend kwetsbaarhedenproces.
Zie je wat hier gebeurt? De verplichting die NIS2 bij jou neerlegt — weten of je leveranciers veilig zijn — wordt aan de productkant ingevuld door de CRA. De twee wetten zijn ontworpen om in elkaar te grijpen. Het probleem is dat organisaties ze in aparte projecten stoppen en die koppeling missen.
De compliance-handshake: CRA als hefboom in je inkoop
Hier zit de praktische winst. Onder NIS2 moet je je leveranciers beoordelen. Dat kun je op twee manieren doen: elke leverancier afzonderlijk uitvragen, auditen en op je woord geloven — of je inkoopbeleid zo inrichten dat het producten eist die aantoonbaar aan de Cyber Resilience Act voldoen.
Die tweede route is de “compliance-handshake”. Een CRA-conform product draagt een CE-markering die staat voor gestandaardiseerde productbeveiliging. In plaats van elke leverancier vanaf nul te onderzoeken, leun je op dat gestandaardiseerde bewijs. Je NIS2-leveranciersbeoordeling wordt daarmee een stuk lichter, en tegelijk objectiever. Je vraagt niet meer “vertel me dat je veilig bent”, maar “toon je conformiteit”.
Dat maakt de Cyber Resilience Act een inkoopinstrument, geen compliance-last. En het sluit naadloos aan op een bredere les: dat goede IAM- en security-inkoop niet bij de Magic Quadrant begint maar bij heldere, toetsbare eisen. CRA-conformiteit is precies zo’n eis. Wie het nu in zijn inkoopvoorwaarden zet, bouwt zijn NIS2-keten op een fundament dat zichzelf bewijst — en voorkomt dat een EU-label een vinkje wordt zonder inhoud.
De tijdlijn die je nu al raakt
De Cyber Resilience Act voelt als iets voor later, maar de eerste deadlines zijn dichtbij. De wet trad op 10 december 2024 in werking, met een gefaseerde invoering.
De datum die het eerst telt is 11 september 2026. Vanaf dan moeten fabrikanten actief misbruikte kwetsbaarheden en ernstige incidenten in hun producten melden. De volledige verplichtingen — secure-by-design, SBOM, conformiteitsbeoordeling, CE-markering — gaan in op 11 december 2027. De regels voor het aanwijzen van instanties die conformiteiten beoordelen gelden al sinds juni 2026.
Voor jou als afnemer betekent dit dat de markt vanaf eind 2027 vol CRA-conforme producten staat, maar dat de leveranciers die er nu al op anticiperen je beste keuze zijn. Wie wacht tot 2027 om CRA in zijn inkoop op te nemen, loopt achter de feiten aan; wie het nu inbouwt, stuurt de markt en zijn eigen keten de goede kant op.
Incident- en kwetsbaarheidsmelding: stem de twee op elkaar af
Een concreet raakvlak dat vaak wordt onderschat: beide wetten kennen meldplichten met strakke termijnen, en die overlappen. Onder de CRA geldt voor fabrikanten een vroege waarschuwing binnen 24 uur, een volledige melding binnen 72 uur, en een eindrapport binnen 14 dagen nadat een corrigerende maatregel beschikbaar is. NIS2 kent voor entiteiten een vergelijkbaar ritme van 24-uurs vroege waarschuwing en opvolgende meldingen.
Als jij zowel een NIS2-entiteit bent áls producten met digitale elementen op de markt brengt — denk aan een organisatie die eigen software of slimme apparatuur levert — val je onder beide regimes tegelijk. Dan is het zonde om twee gescheiden meldprocessen in te richten. Eén incident response-proces dat beide meldplichten bedient, scheelt werk en voorkomt dat je in de chaos van een echt incident de verkeerde of geen melding doet. Dit is bij uitstek het soort raakvlak dat op governance stukloopt en niet op techniek: de techniek voor melden is er, maar wie welke melding doet onder welke wet, is zelden belegd.
Wat een NIS2-organisatie nu zou moeten doen
Drie dingen, en geen ervan kan wachten tot 2027. Neem CRA-conformiteit op in je inkoopvoorwaarden en je leverancierscontracten, zodat je NIS2-leveranciersbeoordeling straks op gestandaardiseerd bewijs leunt in plaats van op vragenlijsten. Breng in kaart of je zelf onder de CRA valt, lever je producten met digitale elementen, dan ben je niet alleen afnemer maar ook fabrikant in de zin van de wet. En koppel je incident- en kwetsbaarhedenmelding voor NIS2 en CRA in één proces, voordat een echt incident je dwingt het ter plekke uit te vinden.
Tot slot
De Cyber Resilience Act en NIS2 zijn geen twee aparte verplichtingen die je netjes naast elkaar afvinkt. Ze zijn twee helften van dezelfde gedachte: de producten veilig maken én de organisaties die ze gebruiken. NIS2 legt de last van ketenbeoordeling bij jou; de CRA geeft je het instrument om die last te dragen. Wie ze samen leest, doet minder dubbel werk en staat sterker.
De organisaties die dit nu al combineren, gebruiken de CRA als hefboom in hun inkoop in plaats van als de zoveelste deadline. Dat is het verschil tussen compliance ondergaan en compliance laten werken.
Veelgestelde vragen
Wat is het verschil tussen de Cyber Resilience Act en NIS2?
De Cyber Resilience Act regelt de beveiliging van producten met digitale elementen en geldt voor fabrikanten, importeurs en distributeurs. NIS2 regelt de cybersecurity van organisaties (essentiële en belangrijke entiteiten) en geldt voor de afnemers en gebruikers van die producten. Kort gezegd: de CRA beveiligt het product, NIS2 beveiligt de organisatie.
Vallen wij onder de Cyber Resilience Act of onder NIS2?
Dat hoeft geen of-vraag te zijn. Als je een essentiële of belangrijke entiteit bent, val je onder NIS2. Als je daarnaast producten met digitale elementen — software of verbonden hardware — op de EU-markt brengt, val je óók onder de CRA. Organisaties die beide doen, moeten aan beide regimes voldoen en kunnen hun processen het beste op elkaar afstemmen.
Wanneer gaat de Cyber Resilience Act in?
De CRA trad op 10 december 2024 in werking. De meldplicht voor actief misbruikte kwetsbaarheden en ernstige incidenten geldt vanaf 11 september 2026. De volledige verplichtingen, waaronder secure-by-design, SBOM en CE-markering, zijn van toepassing vanaf 11 december 2027.
Hoe helpt de Cyber Resilience Act bij NIS2-compliance?
Via de zogenoemde compliance-handshake. NIS2 verplicht je om de beveiliging van je leveranciers te beoordelen. Door in je inkoopbeleid CRA-conforme producten te eisen, leun je op gestandaardiseerd, geverifieerd bewijs van productbeveiliging in plaats van elke leverancier afzonderlijk te onderzoeken. Dat maakt je NIS2-leveranciersbeoordeling lichter en objectiever.
Wat is een SBOM en waarom is die relevant?
Een SBOM (software bill of materials) is een gestructureerde inventaris van alle componenten in een softwareproduct, inclusief third-party- en open source-onderdelen — waarbij de governance van een open source-component net zo goed een ketenrisico is als een kwetsbaarheid erin. De CRA verplicht fabrikanten er een bij te houden. Voor afnemers is de SBOM waardevol omdat je bij een kwetsbaarheid in een component direct kunt zien welke producten geraakt worden — essentieel voor zowel kwetsbaarhedenbeheer als je NIS2-ketenrisico.
Moeten we nu al iets doen, of kan dit wachten tot 2027?
Nu al. De eerste meldplicht geldt vanaf september 2026, en belangrijker: je inkoop- en contractbeleid wil je nú aanpassen zodat nieuwe leveranciers en producten CRA-conformiteit gaan aantonen. Wie wacht tot 2027 bouwt zijn NIS2-keten ondertussen op leveranciers die nog niet getoetst zijn.
