Cyber Resilience Act: wat betekent de CRA voor vastgoed?

Hoeveel apparaten in een modern kantoor zijn eigenlijk verbonden met een netwerk? Denk aan toegangscontrole, camera's, klimaatinstallaties, sensoren, laadpalen, verlichting, liften, vergaderruimtes, routers, wifi en gebouwbeheersystemen. Wat vroeger losse installaties waren, is nu een samenhangend geheel van software, data en verbindingen.

We maken gebouwen steeds slimmer. Daarmee ontstaat een nieuwe vraag die weinig te maken heeft met stenen of vierkante meters: hoe digitaal veilig zijn al die systemen eigenlijk? En weet iemand welke digitale producten precies onderdeel zijn van het gebouw?

Op Europees niveau komt hier een nieuwe regeling bij: de Cyber Resilience Act, kortweg CRA. Dit artikel legt uit wat die wet inhoudt en waarom hij, ook al richt hij zich op producten en niet op gebouwen, steeds relevanter wordt voor vastgoed. Het is nadrukkelijk geen juridisch advies en geen bewering dat ieder gebouw onder alle verplichtingen valt.

Wat is de Cyber Resilience Act?

De Cyber Resilience Act is Europese regelgeving voor de cybersecurity van hardware- en softwareproducten met digitale elementen. De gedachte is simpel: digitale producten moeten niet alleen functioneren, maar ook veilig worden ontworpen, onderhouden en ondersteund. De CRA stelt daarom eisen gedurende de hele levenscyclus van een product.

De verordening legt verantwoordelijkheden bij fabrikanten. Zij moeten onder meer veilig ontwikkelen, kwetsbaarheden aanpakken en beveiligingsupdates beschikbaar stellen. Om die begrippen begrijpelijk te houden, hier een korte uitleg.

• Cybersecurity: digitale beveiliging.
• Kwetsbaarheid: een zwakke plek in software of hardware.
• Security-by-design: digitale veiligheid wordt al vanaf het ontwerp meegenomen.
• Security update: een software-update waarmee een veiligheidsprobleem wordt opgelost.
• Product met digitale elementen: hardware of software die direct of indirect digitaal verbonden kan zijn.
• CE-markering: een markering waarmee een fabrikant aangeeft dat een product aan toepasselijke Europese eisen voldoet.

De CRA richt zich dus op het product, niet op het gebouw waarin dat product terechtkomt. Toch is die scheiding minder scherp dan ze lijkt, en dat maakt de wet juist interessant voor vastgoed. Officiële informatie is te vinden bij de Europese Commissie en het Nederlandse NCSC.

Waarom is de CRA relevant voor vastgoed?

De CRA gaat over digitale producten. Moderne gebouwen bevatten steeds meer van die producten. Daardoor wordt de cyberweerbaarheid van technologie indirect steeds relevanter voor de kwaliteit en het beheer van vastgoed, ook al valt een gebouw als zodanig niet onder de wet.

Een gebouw bestond vroeger vooral uit steen, staal en installaties. Een modern gebouw bestaat steeds meer uit steen, installaties, software, sensoren, netwerken en data. Of eenvoudiger gezegd: een gebouw krijgt steeds meer een digitale laag. Een toegangsdeur kan digitaal zijn, een thermostaat verbonden, een camera hangt aan het netwerk en een laadpaal bevat software.

Daarmee ontstaat een vastgoedvraag die tot voor kort niet werd gesteld: wie weet eigenlijk welke digitale producten onderdeel zijn van het gebouw, en hoe veilig en actueel die producten zijn? Deze vraag raakt aan het bredere thema van cybersecurity in vastgoed, dat zich lang buiten het blikveld van de vastgoedmarkt bevond.

Meer verbonden technologie in een gebouw betekent niet vanzelf meer kwaliteit. Het betekent vooral meer digitale afhankelijkheid die iemand moet blijven beheren.

Van Smart Building naar cyberweerbaar gebouw

De vastgoedmarkt spreekt volop over Smart Buildings, IoT, AI, gebouwdata, slimme sensoren en automatisering. Maar meer verbonden technologie betekent ook meer digitale afhankelijkheid. Een Smart Building is daarom niet automatisch een digitaal goed gebouw.

De systemen in zo'n gebouw moeten ook veilig zijn, onderhouden worden, updates ontvangen, beheersbaar zijn en inzichtelijk zijn. Een gebouw wordt niet slimmer door alleen maar technologie toe te voegen. Het wordt slimmer wanneer die technologie veilig, beheersbaar en begrijpelijk wordt toegepast. Dat sluit aan bij het idee dat IT-infrastructuur het fundament van een Smart Building vormt.

Security-by-design, met een vastgoedmetafoor

Bij een gebouw denken we tijdens het ontwerp al na over brandveiligheid. We bouwen niet eerst het gebouw en bedenken daarna pas waar de nooduitgangen moeten komen. Digitale veiligheid zou volgens hetzelfde principe moeten werken.

Niet: gebouw bouwen, technologie installeren, later beveiliging regelen. Maar: ontwerpen, digitale infrastructuur bepalen, beveiliging meenemen, installeren, beheren en onderhouden. Digitale veiligheid hoort niet achteraf op een gebouw te worden geplakt, net zomin als een nooduitgang dat doet.

Een digitaal product stopt niet na oplevering

Dit is een fundamenteel verschil tussen traditionele bouwproducten en digitale producten. Een stalen ligger verandert na plaatsing niet meer. Een digitaal product wel: er kunnen kwetsbaarheden worden ontdekt, software-updates verschijnen, beveiligingsupdates nodig zijn en nieuwe dreigingen ontstaan.

Daarom is niet alleen belangrijk wat er is geïnstalleerd, maar ook wie het veilig houdt en hoe lang het wordt ondersteund. Het NCSC geeft aan dat de ondersteuningsperiode in beginsel de verwachte gebruiksduur van een product omvat, met een ondergrens, en dat beveiligingsupdates bij ontdekte kwetsbaarheden kosteloos beschikbaar moeten worden gesteld. Controleer de exacte voorwaarden altijd bij de officiële bron.

Een gebouw kan tientallen jaren meegaan. Digitale producten vaak veel korter. Dat creëert een spanningsveld: wat gebeurt er wanneer het gebouw nog 30 jaar meegaat, maar een digitaal systeem na enkele jaren niet meer wordt ondersteund? Dit raakt aan asset management, technisch beheer en de meerjarenplanning in het MJOP.

Wie is verantwoordelijk voor digitale veiligheid?

In een huurpand kan een digitaal systeem in beheer of eigendom zijn van de verhuurder, de huurder, de beheerder, een IT-leverancier, een installateur, een telecomprovider of een Smart Building-leverancier. Wie het systeem installeert is één vraag. Wie het daarna digitaal veilig houdt is een andere.

Denk aan updates, wachtwoorden, toegangsrechten, monitoring, incidenten, vervanging en ondersteuning. Deze digitale demarcatie wordt steeds belangrijker, en hangt nauw samen met de vraag wie verantwoordelijk is voor de IT-infrastructuur in een gebouw.

Deze verantwoordelijkheidsvraag speelt ook bij vastgoedtransacties. Bij een huur- of kooptransactie vragen we naar het energielabel, de installaties, het onderhoud, de technische staat en de servicekosten. Maar vragen we ook welke verbonden systemen aanwezig zijn, welke software daarop draait, of die systemen nog worden ondersteund en wie verantwoordelijk is bij een kwetsbaarheid? Dat zijn vragen die volgens IT-Label steeds relevanter worden bij digital due diligence.

CRA, NIS2 en het IT-label: wat is het verschil?

Deze begrippen worden gemakkelijk door elkaar gehaald, maar ze hebben verschillende functies. Kort samengevat: de CRA kijkt naar het product, NIS2 kijkt naar de organisatie en het IT-label maakt de digitale vastgoedlaag begrijpelijk. Ze kunnen elkaar raken, maar zijn niet hetzelfde.

De CRA kijkt vooral naar producten met digitale elementen die op de Europese markt worden gebracht. De NIS2-richtlijn, in Nederland uitgewerkt in de Cyberbeveiligingswet, kijkt naar de digitale weerbaarheid van organisaties en essentiële of belangrijke diensten. Het IT-label kijkt naar het digitale opleverniveau en de digitale kwaliteit van vastgoed. Meer over de organisatiekant leest u in ons artikel over de Cyberbeveiligingswet en de digitale gebouwlaag.

Belangrijk om te benadrukken: een IT-label bewijst niet dat een gebouw CRA-compliant is en is geen wettelijke CRA-certificering. De CRA en het IT-label hebben verschillende functies, maar raken aan dezelfde ontwikkeling: digitale kwaliteit wordt steeds minder vrijblijvend.

Belangrijke data van de Cyber Resilience Act

De invoering van de CRA verloopt in fasen. Organisaties en fabrikanten kunnen zich daardoor stapsgewijs voorbereiden, maar de eerste concrete verplichtingen komen sneller dichterbij dan vaak wordt gedacht.

1. 10 december 2024: de CRA is in werking getreden.
2. 11 september 2026: de meld- en rapportageverplichtingen voor fabrikanten gaan gelden.
3. 11 december 2027: de CRA wordt volledig van toepassing.

Deze data zijn afkomstig uit de officiële Europese informatie. Gebruik bij besluitvorming altijd de meest actuele officiële bronnen, zoals de Europese Commissie, het NCSC en de Rijksinspectie Digitale Infrastructuur, om ze te controleren.

Waarom dit nu relevant is

De datum van 11 september 2026 maakt dit onderwerp actueel. Vanaf dat moment gaan de meldverplichtingen gelden. Dat is een goed moment om de vastgoedsector een bredere vraag te stellen: weten wij eigenlijk welke digitaal verbonden producten onze gebouwen bevatten? En weten we wie verantwoordelijk is wanneer daarin een kwetsbaarheid wordt ontdekt?

Cybersecurity wordt onderdeel van vastgoedkwaliteit

Vroeger was cybersecurity vooral iets van de IT-afdeling. Maar wanneer gebouwen afhankelijk worden van digitale systemen, raakt cybersecurity ook aan bedrijfscontinuïteit, veiligheid, gebruikerservaring, beheer, onderhoud, verhuurbaarheid en toekomstbestendigheid.

Cybersecurity verschuift daarmee langzaam van een puur IT-vraagstuk naar een onderdeel van vastgoedkwaliteit. Dat betekent niet dat elke vastgoedprofessional cybersecurityspecialist moet worden. Juist andersom: complexe digitale informatie moet begrijpelijk worden gemaakt voor vastgoed. Dat sluit aan bij de gedachte dat digitale infrastructuur een waardedrijver van vastgoed wordt.

Een digitaal paspoort van een gebouw zou daarom niet alleen moeten aangeven welke technologie aanwezig is, maar ook inzicht kunnen geven in type systeem, leverancier, connectiviteit, beheer, verantwoordelijkheid, ondersteuning, levensduur en vervangbaarheid. Zo wordt zichtbaar wat nu nog onzichtbaar is.

Hoe digitaal weerbaar is jouw gebouw?

De vraag "voldoet mijn gebouw aan de CRA?" is juridisch te kort door de bocht, omdat de wet zich op producten richt. Betere vragen zijn: welke digitale producten zitten er eigenlijk in mijn gebouw, wie beheert ze, wie houdt ze veilig en hoe lang worden ze ondersteund? Onderstaande vragen helpen daarbij.

1. Welke verbonden digitale systemen zijn aanwezig?
2. Welke systemen zijn verbonden met internet of het interne netwerk?
3. Wie zijn de leveranciers?
4. Wie beheert de systemen?
5. Wie installeert beveiligingsupdates?
6. Hoe lang worden de producten ondersteund?
7. Wat gebeurt er wanneer de ondersteuning stopt?
8. Wie is verantwoordelijk bij een kwetsbaarheid?
9. Is duidelijk welke systemen met elkaar communiceren?
10. Is deze informatie centraal vastgelegd?

Kunt u meerdere vragen niet beantwoorden, dan is dat misschien wel de belangrijkste uitkomst van deze checklist. Het inzicht dat de informatie ontbreekt, is vaak waardevoller dan de individuele antwoorden.

Veelgestelde vragen

Wat is de Cyber Resilience Act?

De Cyber Resilience Act (CRA) is Europese regelgeving voor de cybersecurity van hardware- en softwareproducten met digitale elementen. De wet verplicht fabrikanten onder meer tot veilige ontwikkeling en het aanpakken van kwetsbaarheden gedurende de levenscyclus van een product.

Wanneer gaat de CRA in?

De CRA is op 10 december 2024 in werking getreden. De meld- en rapportageverplichtingen gaan gelden op 11 september 2026 en de verordening wordt volledig van toepassing op 11 december 2027. Controleer deze data altijd bij officiële bronnen.

Geldt de CRA voor vastgoed?

De CRA richt zich op producten met digitale elementen, niet rechtstreeks op gebouwen. Omdat moderne gebouwen steeds meer van die producten bevatten, wordt inzicht in cybersecurity en levensduur wel steeds relevanter voor vastgoed.

Welke producten vallen onder de CRA?

Onder de CRA vallen hardware- en softwareproducten met digitale elementen die op de Europese markt worden gebracht en direct of indirect verbonden kunnen zijn. Denk aan software, routers, camera's, sensoren en andere verbonden apparatuur.

Wat betekent de CRA voor Smart Buildings?

Een Smart Building bevat veel verbonden systemen die onder de CRA kunnen vallen. Dat maakt het belangrijk om te weten welke systemen aanwezig zijn, wie ze beheert en hoe lang ze beveiligingsupdates blijven ontvangen.

Wat is security-by-design?

Security-by-design betekent dat digitale veiligheid al vanaf het ontwerp wordt meegenomen, in plaats van achteraf toegevoegd. Vergelijk het met brandveiligheid: nooduitgangen bedenk je tijdens het ontwerp, niet pas na de bouw.

Wat is het verschil tussen CRA en NIS2?

De CRA kijkt naar producten met digitale elementen. NIS2, in Nederland de Cyberbeveiligingswet, kijkt naar de digitale weerbaarheid van organisaties en diensten. De kaders kunnen elkaar raken, maar hebben een verschillend vertrekpunt.

Welke rol kan het IT-label spelen bij cybersecurity in vastgoed?

Het IT-label is geen CRA-certificering en geen bewijs van compliance. Het maakt het digitale opleverniveau en de digitale infrastructuur van vastgoed inzichtelijk, waaronder onderwerpen als connectiviteit, redundantie en cybersecurity, en helpt de juiste vragen eerder in het proces te stellen.

Zo zet u de volgende stap

We maken gebouwen slimmer, meer verbonden, meer datagedreven en meer geautomatiseerd. Daardoor moeten we ze ook veiliger, transparanter en beter beheersbaar maken. De toekomst van vastgoed gaat niet alleen over hoeveel technologie een gebouw heeft, maar ook over hoe veilig en toekomstbestendig die technologie is.

Begin daarom niet met de wet, maar met inzicht. Breng in kaart welke verbonden systemen uw gebouw bevat, wie ze beheert en hoe lang ze worden ondersteund. Wilt u die digitale werkelijkheid vertaald zien naar begrijpelijke vastgoedtaal en een helder opleverniveau, bekijk dan hoe het IT-label werkt en welke informatie een classificatie oplevert. Zo maakt u zichtbaar wat nu nog onzichtbaar is.