Cyber Resilience Act: nieuwe ENISA-richtlijnen voor SBOM's en veilige updates
ENISA publiceerde technische adviezen over software bills of materials (22 oktober) en veilige updatemechanismen (4 november) voor CRA-fabrikanten.
Het EU-agentschap voor cyberbeveiliging (ENISA) publiceerde op 22 oktober 2026 een Technical Advisory for Software Bill of Materials en op 4 november 2026 een Technical Advisory on Secure Update Mechanisms. Beide zijn geschreven voor fabrikanten onder de Cyber Resilience Act (CRA), vooral kleine en middelgrote. Het zijn richtlijnen, geen wet, en ze geven geen vermoeden van conformiteit.
Wat er verandert
De CRA vereist een SBOM in een gangbaar, machineleesbaar formaat dat ten minste de afhankelijkheden op het hoogste niveau dekt, en een markttoezichtautoriteit kan erom vragen (bijlage I, deel II en bijlage VII). Beveiligingsupdates moeten veilig, zonder vertraging en kosteloos worden verspreid, waar mogelijk los van functionele updates. ENISA laat nu zien hoe dat in de praktijk werkt:
- SBOM's: gebruik CycloneDX of SPDX, maak bij elke build een SBOM en valideer, onderteken, bewaar en onderhoud die. Bewaar bewijs voor audits en verzoeken van toezichthouders, en leg de hiaten in je SBOM-dekking vast.
- Updates: onderteken de metadata van updates en bescherm de sleutels, accepteer updates alleen van vertrouwde bronnen via versleutelde verbindingen en weiger verouderde of herhaalde metadata. Installeer beveiligingsupdates waar mogelijk standaard automatisch en publiceer bij elke fix een duidelijk advies.
Belangrijke data
- 11 september 2026: melden van actief uitgebuite kwetsbaarheden en ernstige incidenten via het Single Reporting Platform van ENISA geldt al. Gezamenlijke EU-verklaringen over kritieke PHP-kwetsbaarheden (21 oktober) en over incidenten met koelsystemen (4 november) herinnerden fabrikanten daaraan.
- 11 december 2027: de CRA geldt volledig, inclusief SBOM's, veilige updates en een ondersteuningsperiode van ten minste vijf jaar, tenzij het product naar verwachting korter in gebruik is (artikel 13, lid 8).
Meer over melden: Cyber Resilience Act: melden is live.
Wat je nu doet
Breng je producten binnen het toepassingsgebied in kaart, maak per release een SBOM en controleer wie een update mag ondertekenen en hoe apparaten die verifiëren. Dazr Compliance bundelt dit in één CRA-module: productclassificatie, SBOM-upload in CycloneDX of SPDX JSON met controle op bekende kwetsbaarheden, meldklokken voor artikel 14 en technische documentatie volgens bijlage VII.
Bronnen
- ENISA: Technical Advisory for Software Bill of Materials (22 October 2026)
- ENISA: Technical Advisory on Secure Update Mechanisms (4 November 2026)
- Regulation (EU) 2024/2847 (Cyber Resilience Act), Articles 13 and 71, Annexes I and VII
- European Commission: Joint statement on critical PHP vulnerabilities (21 October 2026)
- European Commission: Joint statement on cyber incidents in refrigeration systems across the EU (4 November 2026)
Ter informatie, geen juridisch advies. Laatst bijgewerkt op 7 november 2026.
Ook beschikbaar in: English, Italiano, Deutsch, Français, Español, Polski, Português, Română, Čeština, Slovenčina, Dansk, Svenska, Norsk bokmål