.png)
.png)
.png)
.png)
.png)
.png)
.png)
.png)
.png)
.png)
De CRA is al van kracht. Sinds 11 september 2026 moeten fabrikanten actief uitgebuite kwetsbaarheden melden, met een eerste melding binnen 24 uur. De rapportageverplichtingen gelden ook voor producten die al op de markt zijn. Vanaf 11 december 2027 gelden de volledige CRA-vereisten voor producten met digitale elementen die binnen de scope vallen: secure development, een SBOM, vulnerability handling en security-updates.
Compliance begint doorgaans met een gap report van een consultant. De fixes worden vervolgens overgedragen aan een developmentteam dat niet bij de assessment betrokken was, of moeten tussen feature work door worden uitgevoerd. Het rapport veroudert, de pipeline verandert niet en vóór elke audit moet het bewijs opnieuw handmatig worden opgebouwd.
Wij doen dit als één team. De engineers die uw product beoordelen, zijn dezelfde mensen die de fixes implementeren: security checks in uw pipeline, een SBOM bij elke build en een werkend disclosure-proces. Vanaf de eerste sprint hebt u één plan, één backlog en bewijs dat actueel blijft terwijl uw product verandert.
We bevestigen of de CRA op uw product van toepassing is, welke rol u hebt en in welke productcategorie het valt.
Code-, dependency- en secrets-scanning geïntegreerd in de pipeline die u al gebruikt.
Bij elke build wordt automatisch een software bill of materials gegenereerd in CycloneDX- of SPDX-formaat.
Een publiek kanaal voor vulnerability reports, duidelijke triageregels en een werkend patchproces.
Security checks geïntegreerd in uw bestaande QA, aangevuld met onafhankelijke penetration testing.
Eén team voor nieuwe kwetsbaarheden, patches, incidentmeldingen en documentatie na release.
.webp)
.svg)
.svg)
.webp)
De CRA is van toepassing op vrijwel alle producten met digitale elementen die op de EU-markt worden gebracht, waaronder standalone software. Pure SaaS valt doorgaans buiten de CRA, maar cloudfuncties die noodzakelijk zijn om een product te laten functioneren kunnen wel binnen de scope vallen. SaaS-aanbieders kunnen daarnaast onder NIS2 vallen. Tijdens de eerste dagen van de review bevestigen we hoe dit voor uw specifieke situatie zit.
Ja. De rapportageverplichtingen die in september 2026 ingingen, gelden ook voor producten die al op de markt zijn. De volledige CRA-vereisten gelden vanaf december 2027 voor producten die vanaf dat moment op de markt worden gebracht. Voor producten die al vóór die datum op de markt waren, kunnen de volledige vereisten van toepassing worden wanneer ze substantieel worden gewijzigd.
De meeste producten kunnen door de fabrikant zelf op conformiteit worden beoordeeld. Voor bepaalde categorieën van belangrijke en kritieke producten gelden strengere procedures en kan een beoordeling door een derde partij of notified body verplicht zijn. We bepalen welke route op uw product van toepassing is; Sigli geeft zelf geen certificaten uit.
De review duurt 2 weken. Remediation duurt doorgaans 6–12 weken en wordt rond uw releases gepland.
Ja. We beoordelen de bestaande code en pipeline zoals ze zijn. De remediation kan vervolgens worden uitgevoerd door uw eigen team, door Sigli of gezamenlijk.
U. Pipelineconfiguratie, SBOM’s, het risk register en de technische documentatie blijven in uw repositories en worden volledig aan uw team overgedragen.
.svg)
.svg)
.svg)
.svg)
.svg)
.svg)
.svg)
.svg)
.svg)
.svg)
.webp)
.webp)
