Een CRA-oefening inkopen: scope, toetsdoel en bewijs

Nu de meldplicht van de Cyber Resilience Act sinds 11 september 2026 geldt, willen veel fabrikanten hun meldproces laten toetsen in een oefening. Inkoop vraagt een paar offertes op – en krijgt drie verschillende producten terug: een workshop van een dagdeel, een simulatie van twee dagen en een audit met een oefenonderdeel. Prijzen en prestaties zijn nauwelijks te vergelijken.

Dat ligt meestal niet aan de aanbieders, maar aan de uitvraag. Zonder heldere scope, toetsdoel en gewenste opbrengst vult elke partij de vraag anders in. Met de drie keuzes hieronder zet u als CISO – samen met inkoop of L&D – een uitvraag neer die vergelijkbare offertes oplevert en een bruikbaar resultaat.

1. Scope: wat oefent u precies?

Het CRA-meldproces loopt van het eerste signaal tot het eindrapport. Een oefening hoeft niet alles te omvatten. Maak deze keuzes:

• Welk product of welke productlijn is de basis van het scenario? Een echt product maakt de oefening concreter dan een fictief.
• Welk type gebeurtenis: een actief uitgebuite kwetsbaarheid, een ernstig incident, of beide na elkaar?
• Welk deel van het proces: het meldbesluit binnen 24 uur, de 72-uursmelding, het informeren van gebruikers of de opschaling naar het crisisteam?
• Welke raakvlakken: leveranciers van softwarecomponenten, distributeurs in andere lidstaten, parallelle meldplichten zoals onder NIS2?
• Wie doet mee – en wie bewust niet?

Benoem ook wat buiten de opdracht valt. Een crisisoefening is geen juridisch advies over de uitleg van de CRA en geen technische beveiligingstest van uw producten. Hebt u die nodig, koop ze dan apart in.

2. Toetsdoel: wat wilt u na afloop weten?

Een oefening zonder toetsdoel eindigt vaak met ‘leerzaam’ en weinig vervolg. Formuleer twee tot vier toetsdoelen als controleerbare uitspraken, bijvoorbeeld:

• De meldverantwoordelijke of diens vervanger neemt binnen de oefentijd een vastgelegd meldbesluit.
• Het moment van kennisname is navolgbaar geregistreerd.
• De gegevens voor de vroegtijdige waarschuwing zijn beschikbaar, of de ontbrekende gegevens zijn benoemd.
• De directie is volgens de afgesproken criteria geïnformeerd.

Toetsdoelen gaan niet over slagen of zakken. Ze maken zichtbaar waar het proces standhoudt en waar niet. Precies die helderheid is wat u inkoopt.

3. Bewijs: wat hebt u na afloop in handen?

Spreek vooraf af welke documenten u na de oefening ontvangt. Zinvol zijn:

• Tijdlijn van de oefening met de werkelijke beslismomenten
• Observaties per toetsdoel – feitelijk, zonder beoordeling van individuele deelnemers
• Verbeterlijst met voorstellen voor eigenaren en prioriteiten
• Scenariomateriaal, zodat u de oefening later zelf kunt herhalen

Die documentatie is intern waardevol: ze laat de directie zien dat het meldproces niet alleen beschreven, maar ook beproefd is. Welke formele bewijswaarde een oefening heeft richting toezichthouder of klanten, stemt u af met uw juridische afdeling.

Vijf vragen voor aanbieders

1. Hoe stemt u het scenario af op onze producten en organisatie, en hoeveel voorbereidingstijd vraagt dat van ons team?
2. Wie faciliteert, en welke ervaring is er met crisisteams en besluitvorming onder tijdsdruk?
3. Hoe gaat u om met vertrouwelijke productinformatie in het scenario?
4. Welke documenten ontvangen wij na afloop, en in welke vorm?
5. Hoe scheidt u organisatorische observaties van juridische beoordeling?

De uitvraag in één zin

Met deze drie keuzes wordt uw uitvraag kort en scherp: “Wij willen het meldbesluit binnen het CRA-proces voor één productlijn toetsen met PSIRT, juridische zaken en directie in een tabletop-oefening van een dagdeel, en ontvangen graag een tijdlijn, observaties per toetsdoel en een verbeterlijst.” Op zo’n uitvraag krijgt u offertes die u naast elkaar kunt leggen.

Welke overdracht u het beste eerst toetst, leest u in CRA-tabletop: welke overdracht moet u eerst toetsen?. Een voorbeeld van toetsen in de keten vindt u in Derde partij risico crisisoefening.

Wilt u een CRA-oefening voor uw team concreet bespreken? Bij een cybercrisisoefening leggen we scope, toetsdoelen en opbrengst eerst samen met u vast, voordat het scenario wordt gebouwd.

Veelgestelde vragen

Is een oefening van het CRA-meldproces verplicht?

De CRA verplicht fabrikanten om tijdig te melden, maar schrijft geen specifieke oefenvorm voor. Een oefening is een organisatorisch middel om realistisch te toetsen of u de termijnen haalt.

Moeten juridische zaken en directie deelnemen?

Ja, in elk geval in de onderdelen waarin zij in het echt besluiten. Zonder hen blijft de belangrijkste overdracht – het meldbesluit – ongetoetst.

Let op: dit artikel geeft een organisatorische duiding en is geen juridisch advies.