Op 7 maart 2025 is de internetconsultatie van de concept-uitvoeringswet Verordening cyberweerbaarheid van start gegaan. Deze wet regelt de implementatie van de op 10 december 2024 in werking getreden Europese Verordening cyberweerbaarheid, ook bekend als de Cyber Resilience Act (CRA), binnen Nederland. De consultatieperiode duurt tot en met 6 april 2025.

De CRA stelt cybersecurityeisen aan alle digitale producten die vanaf 11 december 2027 op de Europese markt worden gebracht, waaronder hardware, software en losse componenten. Fabrikanten krijgen vanaf 11 september 2026 een meldplicht voor actief uitgebuite kwetsbaarheden en ernstige incidenten. Omdat de verordening rechtstreeks geldt, wordt deze niet omgezet in nationale wetgeving. Wel is een uitvoeringswet nodig om de verantwoordelijkheden voor uitvoering, toezicht en handhaving in Nederland vast te leggen, inclusief boetebevoegdheden en rechtsbescherming.

In het conceptwetsvoorstel wordt de minister van Economische Zaken, vertegenwoordigd door de Rijksinspectie Digitale Infrastructuur (RDI), aangewezen als autoriteit voor de beoordeling, aanmelding en monitoring van conformiteitsbeoordelingsinstanties. Deze beoordeling vindt plaats via accreditatie. Daarnaast krijgt de minister als nationale markttoezichthouder de bevoegdheid om bestuurlijke boetes op te leggen bij overtredingen, met inachtneming van de maximale boetebedragen uit de verordening. Ook wordt een beroepsprocedure voor besluiten van de markttoezichthouder ingericht.

Het Nationaal Cyber Security Centrum (NCSC) wordt in het voorstel aangewezen als het Computer Security Incident Response Team (CSIRT) dat verantwoordelijk is voor het meldloket voor de meldplicht bij actief uitgebuite kwetsbaarheden en ernstige incidenten.

Belanghebbenden kunnen tot en met 6 april 2025 reageren op de concept-uitvoeringswet. Op 25 maart 2025 organiseert het ministerie van Economische Zaken een online informatiesessie over de wet en de CRA. Aanmelden en vragen vooraf indienen kan per e-mail.