De fabrikant houdt een ondersteuningsperiode van ten minste vijf jaar en zet de CE-markering (Conformité Européenne) op het product[3][4]. Actief uitgebuite kwetsbaarheden en ernstige incidenten gaan naar het ene meldplatform van het Agentschap van de Europese Unie voor cyberbeveiliging (ENISA)[5]. In Nederland wijst het wetsvoorstel de minister van Economische Zaken aan, met uitvoering door de Rijksinspectie Digitale Infrastructuur (RDI)[6].
Routers staan in bijlage III als belangrijk product[7]. Een eigen pagina over routers is er niet. Wat verbonden apparaten zijn, staat bij Wat er allemaal verbonden is. De gateway van de slimme meter staat in bijlage IV als kritiek product[8]. De meter zelf noemt de wet niet. Dat sluit aan op Slimme meter. Uitvoeringsverordening 2025/2392 beschrijft die productcategorieën technisch[9]. Sandro Amendola werkt bij het Duitse Bundesamt für Sicherheit in der Informationstechnik (BSI). De sprekerslijst van de 6G Summit Dresden 2026 van het Institute of Electrical and Electronics Engineers (IEEE) noemt hem, zonder talktitel[10]. Wat het netwerk als doelwit is, staat bij Het netwerk als doelwit. Daar staat ook de framing van het World Economic Forum (WEF) over een COVID-achtige cyber-pandemie[11]. Dat is oefening en taal, geen producteis zoals deze verordening. Een eigen pagina over de 5G-toolbox is er niet.
Verordening (EU) 2024/2847, de Cyber Resilience Act, is van toepassing met ingang van 11 december 2027. Dat staat in artikel 71, lid 2, van de tekst in het Publicatieblad van 20 november 2024.
«This Regulation shall apply from 11 December 2027.»
Artikel 71, lid 2, tweede alinea, maakt artikel 14 eerder van toepassing: vanaf 11 september 2026. Dat is de meldplicht voor actief uitgebuite kwetsbaarheden en ernstige incidenten. Dezelfde alinea laat hoofdstuk IV, de artikelen 35 tot en met 51, ingaan op 11 juni 2026.
«However, Article 14 shall apply from 11 September 2026 and Chapter IV (Articles 35 to 51) shall apply from 11 June 2026.»
Bijlage III, klasse I, punt 12, noemt routers, modems bedoeld voor de verbinding met internet, en switches als belangrijke producten met digitale elementen. Die categorie valt onder de zwaardere conformiteitsbeoordeling van artikel 32, lid 2. De wet noemt geen slimme meter in bijlage III.
«Routers, modems intended for the connection to the internet, and switches»
Bijlage IV, punt 2, noemt gateways van slimme meters in slimme meetsystemen als bedoeld in artikel 2, punt 23, van richtlijn (EU) 2019/944, plus andere apparaten voor geavanceerde beveiliging, waaronder veilig cryptoverwerken. Dat is een kritieke productcategorie. De wet noemt de meter zelf niet als aparte categorie.
«Smart meter gateways within smart metering systems as defined in Article 2, point (23) of Directive (EU) 2019/944 of the European Parliament and of the Council (1) and other devices for advanced security purposes, including for secure cryptoprocessing»
Artikel 64, lid 2, zet de hoogste bestuurlijke boete op 15 miljoen euro, of bij een onderneming 2,5 procent van de wereldwijde jaaromzet van het voorgaande boekjaar, als dat hoger is. Dat geldt bij schending van de essentiële eisen in bijlage I en van de artikelen 13 en 14. Lid 3 zet een lagere schaal tot 10 miljoen euro of 2 procent. Lid 4 tot 5 miljoen euro of 1 procent bij onjuiste informatie.
«Non-compliance with the essential cybersecurity requirements set out in Annex I and the obligations set out in Articles 13 and 14 shall be subject to administrative fines of up to EUR 15 000 000 or, if the offender is an undertaking, up to 2,5 % of the its total worldwide annual turnover for the preceding financial year, whichever is higher.»
De memorie van toelichting bij Kamerstuk 36 875, nr. 3, schrijft dat artikel 2.2 van het wetsvoorstel het toezicht en de handhaving van de CRA in Nederland belegt bij de minister van Economische Zaken, die die taken belegt bij markttoezichthouder RDI. Artikel 2.1 wijst dezelfde minister aan als aanmeldende autoriteit, uitvoering door de RDI. Dit is het wetsvoorstel, geen Staatsblad.
«Het wetsvoorstel regelt in artikel 2.2 dat in Nederland het toezicht op en de handhaving van de regels in de CRA worden belegd bij de Minister van Economische Zaken, die deze taken belegt bij markttoezichthouder RDI.»
Medische hulpmiddelen en auto's vallen buiten deze wet[12]. Producten van vóór 11 december 2027 vallen er alleen onder bij een ingrijpende wijziging[13]. De meldplicht geldt wel voor die oude producten. De Eclipse Foundation en de Python Software Foundation waarschuwden in 2023 voor aansprakelijkheid van open source. Een Staatsblad van de Nederlandse uitvoeringswet is deze ronde niet gevonden. Het Kamerstuk is een wetsvoorstel[6].
Artikel 2, lid 2, sluit producten uit waarop drie andere Uniebesluiten van toepassing zijn: verordening 2017/745 over medische hulpmiddelen, verordening 2017/746 over in-vitrodiagnostiek, en verordening 2019/2144 over de algemene veiligheid van voertuigen. De wet noemt die uitsluiting, niet een aparte zin over slimme meters of routers.
«This Regulation does not apply to products with digital elements to which the following Union legal acts apply:»
Artikel 69, lid 2, zegt dat producten die vóór 11 december 2027 in de handel zijn gebracht alleen onder de eisen vallen als ze vanaf die datum ingrijpend worden gewijzigd. Lid 3 haalt artikel 14 daarvan uit: de meldplicht geldt wél voor alle producten in het toepassingsgebied die al eerder in de handel zijn.
«Products with digital elements that have been placed on the market before 11 December 2027 shall be subject to the requirements set out in this Regulation only if, from that date, those products are subject to a substantial modification.»
De sprekerslijst van de IEEE 6G Summit Dresden 2026 noemt Sandro Amendola als aangekondigde spreker. Zijn functie daar is Head of Standardization/Certification Department bij het Federal Office for Information Security (BSI). De lijst geeft geen talktitel.
«Sandro Amendola positie: Head of Standardization/Certification Department organisatie: Federal Office for Information Security (BSI)»
Het uitvoerende orgaan van de EU. Stelt wetten voor en ziet toe op de uitvoering; het AI Office van de Commissie handhaaft de regels voor algemene AI-modellen, en het in- en uitreissysteem EES draait onder haar leiding.
De Rijksinspectie Digitale Infrastructuur. Behartigt de Nederlandse belangen op de wereldradioconferentie en krijgt, volgens het kabinetsvoorstel, samen met de Autoriteit Persoonsgegevens een coördinerende rol bij het toezicht op de AI-verordening.
Het Bundesamt für Sicherheit in der Informationstechnik (BSI). Op het eigen kortprofiel schrijft het dat het informatiebeveiliging in de digitalisering vormgeeft door preventie, detectie en reactie, voor staat, economie en samenleving. Dezelfde alinea noemt het de cyberveiligheidsautoriteit van de Bond en vormgever van een veilige digitalisering in Duitsland.
Open-sourcestichting
«If the CRA is, in fact, implemented as written, it will have a chilling effect on open source software development as a global endeavour, with the net effect of undermining the EU’s own expressed goals for innovation, digital sovereignty, and future prosperity.»
Beheerder van Python en PyPI
«The PSF should not be liable for every application or device that happens to contain some Python code.»
Agentschap van de EU voor cyberbeveiliging
«Vulnerabilities in digital products are often exploited by threat actors to subvert or hamper critical services, such as healthcare, energy, transport or telecommunications.»
Leider van de BSI-afdeling Standardisierung, Zertifizierung und Prüfung
«Wir müssen als Wirtschaft und Staat gemeinsam an Standards für ein sicheres 5G/6G arbeiten.»
Gemeente Heerlen leidt van november 2025 tot voorjaar 2029 het project PULSE-TWIN in Heerlen-Noord, waarin een stadsmodel scenario’s moet simuleren voordat de gemeente ingrijpt.
Sinds de Energiewet moeten analoge en digitale eenrichtingsmeters worden vervangen, en meewerken is wettelijk verplicht. Wie niet kiest voor een slimme meter, krijgt een digitale meter.
In Nederland gebruikt bijna iedereen al een apparaat dat zelf gegevens naar internet stuurt.
Hoe meer data en sturing via één altijd-aan netwerk lopen, hoe groter de schade als dat netwerk zelf wordt binnengedrongen.