Verordening cyberweerbaarheid III: importeurs, distributeurs, open source en contracten

Het juridisch kader

De verordening cyberweerbaarheid (Cyber Resilience Act), Verordening (EU) 2024/2847, legt het meeste gewicht bij de fabrikant. Maar ze geeft iedereen in de toeleveringsketen een rol, en haar regels over open source bepalen of een vrij project of het bedrijf dat het gebruikt de last draagt. De plichten in dit artikel gelden vanaf 11 december 2027 (artikel 71). Contracten die je vandaag tekent, lopen dan nog.

Deel I legt uit welke producten eronder vallen. Deel II behandelt de meldplicht die sinds 11 september 2026 geldt.

De rollen

Artikel 3 omschrijft:

• fabrikant: wie producten met digitale elementen ontwikkelt of vervaardigt, of laat ontwerpen, ontwikkelen of vervaardigen, en ze onder zijn naam of merk in de handel brengt, "tegen betaling, met een verdienmodel of gratis" (punt 13);
• gemachtigde vertegenwoordiger: een in de Unie gevestigde persoon met een schriftelijk mandaat van een fabrikant (punt 15);
• importeur: een in de Unie gevestigde persoon die een product in de handel brengt met de naam of het merk van iemand die buiten de Unie gevestigd is (punt 16);
• distributeur: elke andere persoon in de toeleveringsketen die een product in de Unie op de markt aanbiedt zonder de eigenschappen ervan te beïnvloeden (punt 17);
• opensourcesoftwaresteward: een rechtspersoon, geen fabrikant, die systematisch en duurzaam de ontwikkeling ondersteunt van specifieke vrije en opensourceproducten die voor handelsactiviteiten bestemd zijn, en hun levensvatbaarheid waarborgt (punt 14).

Gemachtigde vertegenwoordigers (artikel 18)

Een fabrikant kan bij schriftelijk mandaat een gemachtigde vertegenwoordiger aanstellen (artikel 18). De ontwerpplichten van artikel 13, leden 1 tot en met 11, het opstellen van de technische documentatie en het conform houden van de serieproductie kan hij niet uitbesteden. Het mandaat moet de vertegenwoordiger minstens toelaten de conformiteitsverklaring en de technische documentatie ten minste tien jaar of, als die langer is, de ondersteuningsperiode ter beschikking te houden, op verzoek informatie aan de autoriteiten te geven en met hen samen te werken.

Importeurs (artikel 19)

Importeurs brengen alleen producten in de handel die aan deel I van bijlage I voldoen, gemaakt door een fabrikant wiens processen aan deel II voldoen (artikel 19, lid 1). Vóór ze een product in de handel brengen, zorgen ze ervoor dat (artikel 19, lid 2):

• de fabrikant de juiste conformiteitsbeoordeling heeft uitgevoerd en de technische documentatie heeft opgesteld;
• het product de CE-markering draagt en vergezeld gaat van de EU-conformiteitsverklaring en de gebruikersinformatie van bijlage II, in een taal die gebruikers en autoriteiten gemakkelijk begrijpen;
• de fabrikant voldaan heeft aan de eisen over identificatie, contactgegevens en ondersteuningsperiode van artikel 13, leden 15, 16 en 19.

De importeur moet de stukken kunnen voorleggen die dat bewijzen. Verder moet hij:

• een product niet in de handel brengen als hij redenen heeft om aan te nemen dat het niet conform is, en de fabrikant en de markttoezichtautoriteiten verwittigen bij een significant cyberbeveiligingsrisico (artikel 19, lid 3);
• zijn eigen naam en contactgegevens op het product, de verpakking of een begeleidend document vermelden (artikel 19, lid 4);
• waar nodig corrigerende maatregelen nemen, het product uit de handel nemen of terugroepen, en de fabrikant zonder onnodige vertraging verwittigen van elke kwetsbaarheid (artikel 19, lid 5);
• de conformiteitsverklaring ten minste tien jaar of, als die langer is, de ondersteuningsperiode bewaren en ervoor zorgen dat de technische documentatie kan worden voorgelegd (artikel 19, lid 6);
• de autoriteiten en waar mogelijk de gebruikers informeren als de fabrikant zijn activiteiten stopzet (artikel 19, lid 8).

Distributeurs (artikel 20)

Distributeurs "betrachten de nodige zorgvuldigheid" (artikel 20, lid 1). Vóór ze een product op de markt aanbieden, gaan ze na of het de CE-markering draagt en of de fabrikant en de importeur voldaan hebben aan artikel 13, leden 15, 16, 18, 19 en 20, en artikel 19, lid 4, en hun alle nodige documenten hebben bezorgd (artikel 20, lid 2). Net als importeurs houden ze niet-conforme producten tegen, verwittigen ze de fabrikant zonder onnodige vertraging van kwetsbaarheden, alarmeren ze de autoriteiten bij een significant cyberbeveiligingsrisico en informeren ze autoriteiten en gebruikers als de fabrikant ermee ophoudt (artikel 20, leden 3 tot en met 6).

Een webshop is distributeur als hij het product van een ander ongewijzigd verkoopt. Overweging 20 voegt eraan toe dat software louter hosten in open repository's, ook via pakketbeheerders, geen aanbieden op de markt is.

Wanneer je zelf fabrikant wordt

Twee regels maken van anderen een fabrikant, met de volle plichten van de artikelen 13 en 14:

• een importeur of distributeur die een product onder zijn eigen naam of merk in de handel brengt, of een ingrijpende wijziging uitvoert aan een product dat al op de markt is (artikel 21);
• ieder ander die een ingrijpende wijziging uitvoert en het product op de markt aanbiedt, voor het getroffen deel of, als de wijziging de cyberbeveiliging van het hele product raakt, voor het hele product (artikel 22).

White label is het schoolvoorbeeld. Een Belgisch merk dat een in Azië gemaakte camera onder zijn eigen logo verkoopt, is de fabrikant, niet de importeur.

Traceerbaarheid (artikel 23)

Elke marktdeelnemer moet op verzoek kunnen zeggen wie hem een product leverde en, voor zover beschikbaar, aan wie hij het leverde, tot tien jaar na elke levering (artikel 23).

Open source

De CRA geldt alleen voor producten die "in het kader van een handelsactiviteit" worden aangeboden (artikel 3, punt 22). De overwegingen 15 tot en met 20 leggen uit wat dat betekent voor vrije en opensourcesoftware:

• opensourcesoftware waar de fabrikant geen geld mee verdient, wordt niet in het kader van een handelsactiviteit geleverd (overweging 18);
• een opensourcecomponent dat bedoeld is om door anderen te worden ingebouwd, wordt alleen op de markt aangeboden als de oorspronkelijke fabrikant er geld mee verdient (overweging 18);
• financiële steun of bijdragen van bedrijven maken de activiteit op zich niet commercieel, en regelmatige releases evenmin (overweging 18);
• wie code bijdraagt aan projecten die niet onder zijn verantwoordelijkheid vallen, valt er niet onder (overweging 18);
• voorbeelden van een verdienmodel zijn betaalde technische ondersteuning die meer dan de kosten dekt, of persoonsgegevens als voorwaarde voor gebruik voor andere doelen dan beveiliging, compatibiliteit of interoperabiliteit (overweging 15).

Opensourcesoftwarestewards krijgen een licht regime (artikel 24). Ze hebben een gedocumenteerd, verifieerbaar cyberbeveiligingsbeleid dat veilige ontwikkeling, een goede aanpak van kwetsbaarheden en vrijwillige meldingen bevordert, en werken samen met de markttoezichtautoriteiten. Ze melden actief uitgebuite kwetsbaarheden onder artikel 14, lid 1, voor zover ze bij de ontwikkeling betrokken zijn, en ernstige incidenten onder artikel 14, leden 3 en 8, als hun eigen ontwikkelinfrastructuur getroffen is (artikel 24, lid 3). Stewards kunnen onder de CRA geen boete krijgen (artikel 64, lid 10, b)) en mogen geen CE-markering aanbrengen (overweging 19). Overweging 19 noemt stichtingen en entiteiten die in een zakelijke context opensourcesoftware ontwikkelen en publiceren als voorbeelden.

Het bedrijf dat open source in zijn product inbouwt, blijft de fabrikant van het hele product. Het moet zorgvuldig te werk gaan bij componenten van derden, ook bij opensourcecomponenten die niet in het kader van een handelsactiviteit zijn aangeboden (artikel 13, lid 5), kwetsbaarheden die het erin vindt aan de beheerder melden en waar passend zijn oplossingen delen (artikel 13, lid 6). De Commissie kan vrijwillige programma's voor veiligheidsattestering van opensourcesoftware opzetten om die zorgvuldigheid te ondersteunen (artikel 25). Opensourceproducten in een categorie van bijlage III mogen zelfbeoordeling gebruiken als hun technische documentatie openbaar is (artikel 32, lid 5).

Boetes

Inbreuken op de artikelen 18 tot en met 23 kunnen leiden tot boetes tot 10 miljoen euro of 2% van de wereldwijde jaaromzet, als dat hoger is (artikel 64, lid 3). Importeurs en distributeurs die onder artikel 21 als fabrikant gelden, riskeren het plafond van de fabrikant: 15 miljoen euro of 2,5% (artikel 64, lid 2).

In de praktijk

Een Vlaamse webshop verkoopt slimme stekkers van een Chinese fabrikant zonder vestiging in de Unie. De webshop voert ze zelf in en is dus importeur. Hij controleert de conformiteitsbeoordeling, de CE-markering, de conformiteitsverklaring, gebruikersinformatie in een taal die zijn klanten gemakkelijk begrijpen en de vermelde ondersteuningsperiode, en zet zijn eigen contactgegevens op de doos. Bestelt hij een versie met zijn eigen merk op de stekker, dan wordt hij de fabrikant.

Een systeemintegrator koopt routers, zet er zijn eigen firmware met beheer op afstand op en verkoopt ze aan kmo's. Die firmware vervangen verandert wellicht de beveiliging van het product als geheel. Onder artikel 21 of 22 neemt de integrator dan de plichten van de fabrikant over.

Een softwarebedrijf publiceert een logbibliotheek onder een opensourcelicentie in een publieke repository en verdient er niets aan. Dat is geen handelsactiviteit. Hetzelfde bedrijf verkoopt een monitoringtoestel waarin de bibliotheek zit. Voor dat toestel is het de fabrikant en moet het kwetsbaarheden in de bibliotheek als deel van zijn product aanpakken.

Een stichting host en stuurt een veelgebruikte opensourcewebserver, met betalende leden uit de industrie. Ze kan een opensourcesoftwaresteward zijn. Ze heeft een cyberbeveiligingsbeleid nodig en werkt samen met de autoriteiten, maar ze kan geen boete krijgen.

Praktische stappen

1. Bepaal per productlijn je rol: fabrikant, importeur, distributeur of gemachtigde vertegenwoordiger.
2. Kijk je white-label- en eigenmerkdeals na: die maken je fabrikant.
3. Maak een checklist voor de ontvangst van goederen die je invoert of verdeelt, op basis van artikel 19, lid 2, en artikel 20, lid 2.
4. Bewaar gegevens over leveranciers en klanten tien jaar.
5. Noteer voor elk opensourcecomponent de herkomst, de licentie, de beheerder en hoe je de kwetsbaarheden ervan opvolgt.

Bedingen om toe te voegen

• Leverings- en productieovereenkomsten: de leverancier garandeert conformiteit met bijlage I, vermeldt de productklasse en de conformiteitsroute, legt de technische documentatie op verzoek aan de autoriteiten voor, verbindt zich tot een ondersteuningsperiode en kosteloze beveiligingsupdates, deelt zijn softwarestuklijst en verwittigt je tijdig van kwetsbaarheden en incidenten voor je eigen meldingen. Zie productie- en leveringsovereenkomsten.
• Distributie- en wederverkoopovereenkomsten: geen eigen merk en geen firmwarewijzigingen zonder toestemming, de plicht om veiligheidsberichten aan klanten door te geven, medewerking bij terugroepingen en een verkoopregister van tien jaar. Zie distributie- en wederverkoopovereenkomsten.
• Mandaten voor een gemachtigde vertegenwoordiger: de minimale taken van artikel 18, lid 3, schriftelijk.
• Softwarelicenties en ontwikkelingscontracten: wie de fabrikant is, wie meldt en wie welk component onderhoudt. Zie licentieovereenkomsten en software beschermen.

Veelgestelde vragen

We verkopen alleen door. Moeten we de technische documentatie lezen?

Nee. Een distributeur controleert de CE-markering en de documenten van artikel 20, lid 2. De importeur moet ervoor zorgen dat de technische documentatie is opgesteld en aan de autoriteiten kan worden bezorgd.

Is onze code in een publieke repository zetten "in de handel brengen"?

Niet op zich. Hosten in open repository's is geen aanbieden op de markt (overweging 20), en open source zonder verdienmodel wordt niet in het kader van een handelsactiviteit geleverd (overweging 18).

Kunnen we de CRA-plichten contractueel bij onze leverancier leggen?

Je kunt kosten, informatie en medewerking verdelen en verhaal afspreken. Je eigen wettelijke rol kun je niet wegcontracteren: de importeur, distributeur of fabrikant blijft verantwoordelijk tegenover de autoriteiten.

Geldt de CRA voor producten die we vandaag invoeren?

De productregels gelden vanaf 11 december 2027 voor producten die vanaf die datum in de handel komen. Exemplaren die eerder in de handel kwamen, vallen er alleen onder als ze ingrijpend worden gewijzigd, maar de meldplicht van artikel 14 geldt nu al voor de fabrikant.

Hoe dit samenhangt

De CRA verschuift risico langs de toeleveringsketen, en contracten bepalen wie het draagt. Ons team handelscontracten toetst en schrijft leverings-, distributie- en licentieovereenkomsten met de CRA-rollen in het achterhoofd. Contractreview legt een reeks contracten naast onze clausulebibliotheek, Document Studio bereidt de wijzigingen voor, en het register van rechten en verplichtingen volgt ondersteuningsperiodes, meldplichten en bewaartermijnen op.

In één oogopslag

Aangehaalde bepalingen: Verordening (EU) 2024/2847, artikelen 3, 13, leden 5 en 6, 18 tot en met 25, 32, lid 5, 64, leden 2, 3 en 10, en 71; overwegingen 15, 18, 19 en 20.

Belangrijke data: meldplicht voor fabrikanten sinds 11 september 2026; plichten van importeurs, distributeurs, gemachtigde vertegenwoordigers en opensourcesoftwarestewards vanaf 11 december 2027.

De reeks: deel I, producten en klassen en deel II, kwetsbaarheden en meldingen. Verwant: open source na de EU-opensourcestrategie, productie- en leveringsovereenkomsten, distributie- en wederverkoopovereenkomsten en licentieovereenkomsten.