De Cyber Resilience Act komt eraan, en het product is er nog niet klaar voor.

Het moment

Bij de CRA begint het meestal in de productontwikkeling of bij de kwaliteitsafdeling die de CE-markering beheert. Een distributeur vraagt naar de CRA-conformiteit van jullie apparaten, een grote klant wil weten hoe lang jullie beveiligingsupdates leveren, of de engineeringmanager rekent uit dat de eisen van december 2027 betekenen dat de volgende productgeneratie nú anders ontworpen moet worden. Dan blijkt dat het team sterk is in het product en dun in security, en dat de meldplicht van september 2026 al een werkend proces vraagt voordat de rest van de verordening geldt.

Wat de CRA van je vraagt

De verordening (EU 2024/2847) geldt voor fabrikanten, importeurs en distributeurs van producten met digitale elementen die in de EU op de markt komen: hardware met software erin, losse software, en alles daartussen. De kern is security-by-design: risico's beoordeeld, geen bekende kwetsbaarheden bij levering, veilige standaardinstellingen, updates gedurende de ondersteuningsperiode, en een proces om kwetsbaarheden te ontvangen, te verhelpen en te melden. Sinds de inwerkingtreding op 10 december 2024 lopen twee termijnen: vanaf 11 september 2026 moeten fabrikanten actief misbruikte kwetsbaarheden en ernstige incidenten melden (vroegtijdige waarschuwing binnen 24 uur, melding binnen 72 uur, eindrapport erna), en vanaf 11 december 2027 gelden alle eisen, inclusief de conformiteitsbeoordeling en de CE-markering. Welke productcategorie en welke beoordelingsroute voor jullie gelden is een vraag voor de normen en de notified body; wij komen in beeld als duidelijk is dat er iemand moet zijn die het trekt.

Wat er nu moet gebeuren

1. Productportfolio en classificatie. Welke producten vallen eronder, in welke categorie, en welke beoordelingsroute hoort daarbij. Werk voor een product security lead met de kwaliteits- en compliance-afdeling.
2. Het meldproces vóór september 2026. Een manier om kwetsbaarheden te ontvangen (ook van onderzoekers), te beoordelen en binnen de termijnen te melden. Een security officer of product security lead, samen met support en engineering.
3. Security-by-design in de ontwikkeling. Dreigingsmodellen, veilige standaardinstellingen, een software bill of materials, veilige updatemechanismen. Een security architect of AppSec-engineer die in het ontwikkelteam meedraait.
4. De ondersteuningsperiode en updates. Hoe lang leveren jullie updates, en hoe komen die veilig bij het product. Engineering met een security engineer die het proces borgt.
5. Technische documentatie en conformiteit. Het dossier dat bij de CE-markering hoort, en voor sommige categorieën de beoordeling door een derde partij. Compliance-specialist met de product security lead.

Wie dit trekt

Fabrikanten zoeken hier een product security lead die het programma opzet en de brug slaat tussen engineering, kwaliteit en directie, een security architect of AppSec-engineer voor het ontwerp- en ontwikkelwerk, een firmware- of embedded-security-engineer als het om apparaten gaat, of een compliance-specialist voor de documentatie en de CE-route. Welke van die rollen het bij jou wordt hangt af van het product en het team; daar beginnen we mee in de intake. Zoek je iemand voor vast, dan is dat gewoon werving & selectie; tijdelijk is het interim. Allebei doen we al jaren.

Interim: binnen twee dagen, en wat het kost

Snel betekent bij ons niet slordig. We beginnen met een echte intake: welke producten, welke termijn, wat ligt er al, wie moet deze persoon meekrijgen. Daarna zoeken we in een netwerk van interimmers die we meestal al jaren kennen, en zo heb je bij een interim-opdracht binnen twee dagen je eerste kandidaat op gesprek. Zoek je iemand voor vast, dan werkt het anders en duurt het langer. De beste vaste kandidaten zijn zelden actief op zoek: ze zitten ergens goed en komen alleen in beweging voor de juiste argumenten, van iemand die hen kent en weet wat hen drijft. Dat is precies ons werk, en het levert de beste match op, maar niet in twee dagen. Interimmers zijn ondernemers: commerciëler, flexibeler naar beide kanten, en daardoor sneller voor te stellen vanuit het netwerk dat we actief onderhouden. Hebben we niemand die écht past, dan zeggen we dat, en bij product security komt dat eerlijk gezegd vaker voor dan bij een CISO-rol, want het is een smaller vak. Het tarief van de professional en onze marge zie je altijd apart, en die marge is nooit meer dan € 15 per uur bij een fulltime opdracht. Contracteren kan rechtstreeks met de zzp'er of via je eigen broker, waarbij wij alleen onze marge factureren, of volledig via Gruzzy met één factuur. Wie er nu beschikbaar is, en in welke tariefband, staat anoniem bij de beschikbare interimmers.

Zzp, en de Wet DBA

Een CRA-programma opzetten, een meldproces inrichten of een productgeneratie veilig ontwerpen is een opdracht met een kop en een staart: er is een resultaat, de professional bepaalt zelf hoe het werk gebeurt, en er is geen gezagsverhouding zoals bij een werknemer. Dat is wat de Belastingdienst wil zien sinds de handhaving op schijnzelfstandigheid in 2025 weer is begonnen, en dus past zzp hier goed, met een modelovereenkomst. Is het werk in werkelijkheid een functie, bijvoorbeeld een product security engineer die vast in het ontwikkelteam meedraait, dan zeggen we dat. Meestal is dat een vaste rol via werving; wil je echt tijdelijk iemand in dienst, dan kan detachering, al is dat niet onze kern. We adviseren hier graag over, vóór je tekent.