CRA voor automotiveleveranciers: UN R155/R156 en aftermarket

De Europese automotiefketen heeft de meest complexe CRA-situatie van alle sectoren. Sommige producten zijn vrijgesteld. Sommige vallen zowel onder de CRA als onder voertuigregelgeving. En de toeleveringsketen strekt zich uit over meerdere niveaus, waarbij elke laag zijn eigen complianceverplichtingen heeft.

Deze gids behandelt CRA-compliance vanuit het perspectief van automotivleveranciers.

Welke automotiveproducten vallen onder de CRA?

Vrijstellingen begrijpen

De CRA bevat een expliciete vrijstelling voor motorvoertuigen en aanverwante producten waarop Verordening (EU) 2019/2144 van toepassing is (Art. 2(2)(c)). Belangrijk: het enkele feit dat een product voldoet aan UN R155/R156 stelt het niet vrij van de CRA. De vrijstelling geldt voor gehele voertuigen die in de EU zijn typegoedgekeurd (categorieën M, N en O) en voor componenten die door die typegoedkeuring worden gedekt. Zelfstandige aftermarket-verbindingsproducten vallen over het algemeen binnen het toepassingsgebied van de CRA, met uitzondering van identieke reserveonderdelen.

Vrijgesteld (typegoedkeuring dekt dit):

• ECU's en regeleenheden die zijn geïntegreerd in voertuigen onder Verordening (EU) 2019/2144
• Voertuiggateways die deel uitmaken van de typegoedkeuring
• OBD-systemen die zijn gecertificeerd als onderdeel van voertuigcertificering

Mogelijk onder de CRA (geval per geval beoordelen):

• Standalone softwaretools voor diagnose en onderhoud
• Aftermarket-verbindingsapparaten die worden verkocht aan consumenten
• Fleet management software die wordt verkocht als zelfstandig product
• Testequipment voor automotive
• Voertuigsimulatoren en trainingssystemen

Vrijstellingslogica:

1. Is het product een motorvoertuig? Kijk naar typegoedkeuring op grond van Verordening 2019/2144. Als het geen motorvoertuig is, ga door naar de volgende vraag.
2. Is het onderdeel van een voertuig en uitsluitend bedoeld voor gebruik in dat voertuig? Het product kan vrijgesteld zijn als het onder de typegoedkeuring valt. Als dat niet zo is, ga door naar de volgende vraag.
3. Wordt het zelfstandig verkocht, buiten voertuigtypegoedkeuring? Dan is de CRA waarschijnlijk van toepassing. Beoordeel anders op basis van de dekking van de typegoedkeuring.

Aftermarket versus OEM

De vrijstellingsgrenslijn loopt tussen integratie in het voertuig (OEM) en afzonderlijke verkoop (aftermarket):

De vraag over Tier-leveranciers

Zijn Tier 1/2/3-leveranciers vrijgesteld?

Dat hangt af van hoe het onderdeel wordt verkocht:

OEM-eisen stromen door naar leveranciers

Ook als de CRA niet rechtstreeks geldt, vragen OEM's om cyberbeveiligingsbewijs:

UN R155 verplicht OEM's om:

• Leveranciersrisico's te identificeren en te beheren.
• De cyberbeveiligingscapaciteiten van leveranciers te waarborgen.
• De processen van leveranciers te verifiëren.

Dat betekent doorgaans:

• Eisen voor CSMS-bewijs.
• Verzoeken om naleving van ISO/SAE 21434.
• Beveiligingsbeoordelingen en audits.
• Afspraken over kwetsbaarheidsafhandeling.
• Steeds vaker SBOM-eisen.

ISO/SAE 21434 en CRA-afstemming

Wat is ISO/SAE 21434?

ISO/SAE 21434 "Road vehicles – Cybersecurity engineering" is de internationale norm voor automotive cybersecurity. Deze behandelt:

• Cybersecuritymanagement (CSMS)
• Risicobeoordelingsmethoden (TARA – Threat Analysis and Risk Assessment)
• Conceptuele productontwikkeling met cybersecurity
• Gedetailleerde ontwerp- en implementatierichtlijnen
• Verificatie en validatie
• Operationele en onderhoudsfasen

ISO/SAE 21434 ↔ CRA-mapping

Certificering voor CRA-producten benutten

Als uw product onder de CRA valt (zelfstandige automotive software/hardware), is bestaande ISO/SAE 21434-certificering waardevol maar niet voldoende:

ISO/SAE 21434 → CRA-BENADERING

ALS U ISO/SAE 21434 CSMS HEBT:
→ Gebruik CSMS-documentatie als bewijs voor SDL
→ Toon beveiligingsontwikkelingslevenscyclus aan
→ Lever bewijs voor risicobeoordeling (TARA-documenten)

ALS U ISO/SAE 21434 TARA HEBT UITGEVOERD:
→ Hergebruik TARA als CRA-risicobeoordeling (pas aan waar nodig)
→ Wijs TARA-dreigingen toe aan CRA-essentiële eisen
→ Documenteer restrisico's per CRA-format

AANVULLEND VOOR CRA:
[ ] SBOM-generatie implementeren
[ ] ENISA-rapportagecapaciteit opzetten
[ ] Supportperiodecommunicatie documenteren (minimaal 5 jaar per Art. 13(8); moet de verwachte gebruiksduur weerspiegelen; kan langer zijn voor langlevende voertuigcomponenten)
[ ] EU-conformiteitsverklaring opstellen
[ ] CE-markering aanbrengen

Aftermarket-producten in detail

Dashcams en DVR's

CRA-COMPLIANCE VOOR DASHCAMS

CLASSIFICATIE: Doorgaans de standaardcategorie

VAN TOEPASSING OMDAT:
- Geen onderdeel van een typegoedgekeurd voertuig
- Direct verkocht aan consumenten of wagenparkbeheerders
- Aftermarket-montage

BELANGRIJKSTE EISEN:
- Secure by default (WiFi, Bluetooth)
- Privacybescherming (videogegevens)
- Updatemechanisme
- Geen standaardwachtwoorden
- SBOM voor firmware
- Ondersteuningsperiode van ten minste 5 jaar (art. 13, lid 8), en die periode moet de verwachte gebruiksduur weerspiegelen en kan langer zijn dan 5 jaar voor onderdelen met een lange levensduur

EXTRA OVERWEGINGEN:
- Videoprivacy (afstemming op de AVG)
- Beveiliging van cloudopslag (indien van toepassing)
- Appbeveiliging (begeleidende apps)

OBD-II-apparaten

CRA-COMPLIANCE VOOR OBD-II-DONGLES

CLASSIFICATIE: Mogelijk Belangrijk Klasse I
(koppeling met voertuigsystemen)

VAN TOEPASSING OMDAT:
- Aftermarket-product
- Maakt verbinding met het voertuig maar is niet typegoedgekeurd
- Consumenten- en wagenparkmarkt

BELANGRIJKSTE EISEN:
- Beveiliging van het voertuignetwerk (cruciaal!)
- Gegevensbescherming (voertuiggegevens zijn gevoelig)
- Veilige communicatie
- Geen niet-geautoriseerde voertuigcommando's
- Firmwarebeveiliging
- SBOM

BIJZONDERE OVERWEGINGEN:
- Toegang tot veiligheidskritieke netwerken
- Mogelijke risico's voor het blokkeren van het voertuig
- Gevolgen voor verzekering en aansprakelijkheid
- Overweeg brancherichtlijnen (SAE J3061)

Laadapparatuur voor EV's

CRA-COMPLIANCE VOOR EV-LAADSTATIONS

CLASSIFICATIE: Standaard (Module A), tenzij een specifieke
kernfunctie overeenkomt met een punt uit Bijlage III/IV. Een
product is alleen Belangrijk als het de kernfunctionaliteit
van een Bijlage III-categorie heeft (art. 7, lid 1). Er is
geen klasse "energie-infrastructuur" in Bijlage III.

VAN TOEPASSING OMDAT:
- Geen onderdeel van de typegoedkeuring van het voertuig
- Afzonderlijk infrastructuurproduct
- Digitale connectiviteit

BELANGRIJKSTE EISEN:
- Netbeveiliging (energie-infrastructuur)
- Betalingsbeveiliging (indien van toepassing)
- Beveiliging van communicatieprotocollen (OCPP)
- Fysieke beveiliging
- Updatemechanisme
- SBOM

AFSTEMMING OP NORMEN:
- IEC 61851 (EV-laden)
- OCPP-beveiligingsrichtlijnen
- Normen voor slimme netten
- Essentiële CRA-eisen

Wagenparktelematica

CRA-COMPLIANCE VOOR WAGENPARKTELEMATICA

CLASSIFICATIE: Standaard of Belangrijk Klasse I

VAN TOEPASSING OMDAT:
- Montage achteraf of in de aftermarket
- Niet typegoedgekeurd met het voertuig
- Afzonderlijk product

BELANGRIJKSTE EISEN:
- Bescherming van voertuiggegevens
- Locatieprivacy
- Communicatiebeveiliging
- Beveiliging van het beheerplatform
- Beveiliging van de apparaatfirmware
- SBOM

COMMERCIËLE OVERWEGINGEN:
- B2B-product (kan de documentatie beïnvloeden)
- Eisen van wagenparkklanten
- Integratie met platforms voor wagenparkbeheer

Overwegingen bij reserveonderdelen

Wanneer zijn reserveonderdelen vrijgesteld?

ANALYSE VAN RESERVEONDERDELEN

VRIJGESTELD (waarschijnlijk):
- Directe vervanging van een OEM-onderdeel
- Dezelfde specificatie als het origineel
- Verkocht als vervanging voor een typegoedgekeurd voertuig
- Behoudt de typegoedkeuringsstatus van het voertuig

NIET VRIJGESTELD:
- Geüpgradede of verbeterde versies
- Andere specificaties
- Komt niet overeen met de oorspronkelijke goedkeuring
- Prestatiewijzigingen

GRIJS GEBIED:
- Gereviseerde onderdelen
- Gelijkwaardige onderdelen van derden
- Onderdelen met softwarewijzigingen

AANBEVELING:
Leg de vrijstellingsgrond duidelijk vast.
Twijfelt u, overweeg dan CRA-naleving.

Praktische compliancestappen

Fase 1: Productenscoping (zou al afgerond moeten zijn)

AUTOMOTIVLEVERANCIER: PRODUCTBEOORDELING

PRODUCTENLIJST:
[ ] Alle producten met digitale elementen inventariseren
[ ] Per product vaststellen: typegoedkeuring of CRA?
[ ] Zelfstandige software/hardware identificeren
[ ] Aftermarket-producten identificeren

VRIJSTELLINGSANALYSE:
[ ] Typegoedkeuringsdekking per product controleren
[ ] Juridisch advies inwinnen voor grensgevallen
[ ] Vrijstellingsbeslissingen documenteren

CLASSIFICATIE (voor CRA-producten):
[ ] Standaard, Belangrijk Klasse I of Klasse II?
[ ] Aanmeldende instantie identificeren indien vereist

Fase 2: Compliancevoorbereiding (zou al afgerond moeten zijn)

VOORBEREIDINGSFASE

TECHNISCH:
[ ] SBOM-generatie implementeren
[ ] Kwetsbaarheidsbeheerproces opzetten
[ ] ENISA-rapportagecapaciteit inrichten (verplicht sinds 11 september 2026)
[ ] Beveiligingsbaselines bijwerken

DOCUMENTATIE:
[ ] Technisch dossier opzetten
[ ] Beveiligingsdocumentatie bijwerken
[ ] Gebruikersbegeleiding voor veilige implementatie opstellen
[ ] Supportperiodecommunicatie voorbereiden

Fase 3: Compliance (Sept. 2026 - dec. 2027)

COMPLIANCEFASE

SINDS 11 SEPTEMBER 2026 (van kracht):
[ ] Kwetsbaarheidsmeldingen operationeel
[ ] EU Login met MFA en coördinerende CSIRT vastgelegd

DOOR 2027:
[ ] Conformiteitsbeoordelingen afronden
[ ] Aanmeldende instanties inschakelen (Klasse II)
[ ] Alle productdocumentatie bijwerken

DECEMBER 2027:
[ ] Alle producten CRA-compliant
[ ] CE-markering aangebracht
[ ] Klantcommunicatie afgerond

Ketenverantwoordelijkheden

OEM-leveranciersrelaties

In de automotive-keten hebben OEM's en Tier 1/2-leveranciers verdeelde CRA-verantwoordelijkheden:

CRA-VERANTWOORDELIJKHEDEN IN DE AUTOMOTIVE-KETEN

VOOR VRIJGESTELDE VOERTUIGCOMPONENTEN:
OEM → Verantwoordelijk voor typegoedkeuring
Tier 1 → Levert aan OEM-specificaties
Tier 2/3 → Levert componenten aan Tier 1

VOOR ZELFSTANDIGE CRA-PRODUCTEN:
Producent van het zelfstandige product →
  Verantwoordelijk voor CRA-conformiteit
  Conformiteitsbeoordeling
  SBOM
  Kwetsbaarheidsbeheer
  CE-markering

Contractuele overwegingen

Automotivleveranciers moeten CRA-vereisten in de keten adresseren:

Van klanten ontvangen:

• Specificaties die cybersecurity-eisen bevatten
• Vereisten voor SBOM-levering
• Kwetsbaarheidsnotificatiebepalingen
• Supportperiodeverplichtingen

Aan leveranciers opleggen:

• SBOM-levering voor componenten
• Beveiligingsscanresultaten
• Kwetsbaarheidsnotificatiebepalingen
• Ondersteuning bij conformiteitsbeoordeling

Branchenormen en bronnen

Relevante normen

CYBERBEVEILIGINGSNORMEN VOOR AUTOMOTIVE

ISO/SAE 21434: Road vehicles - Cybersecurity engineering
UN-reglement 155: Cyberbeveiliging (CSMS)
UN-reglement 156: Software-update (SUMS)

ONDERSTEUNENDE NORMEN:
ISO/PAS 5112: CSMS-auditing
ISO 24089: Software Update Engineering
AUTOSAR-cyberbeveiligingsspecificaties
SAE J3061: Cybersecurity Guidebook

SPECIFIEK VOOR LADEN:
IEC 61851: EV-laden
OCPP (Open Charge Point Protocol)
ISO 15118: V2G-communicatie

Brancheorganisaties

Checklist voor automotivleveranciers

CHECKLIST CRA-GEREEDHEID AUTOMOTIVLEVERANCIERS

PRODUCTBEOORDELING:
[ ] Typegoedkeuringsvrijstelling beoordeeld
[ ] CRA-producten geïdentificeerd
[ ] Classificatie vastgesteld

ISO/SAE 21434 UITLIJNING:
[ ] Bestaande 21434-certificeringen in kaart gebracht
[ ] Aandachtspunten ten opzichte van CRA geïdentificeerd
[ ] Actieplan voor aandachtspunten

TECHNISCHE COMPLIANCE:
[ ] SBOM-generatiecapaciteit
[ ] Kwetsbaarheidsbeheerproces
[ ] ENISA-rapportage op grond van Art. 14 operationeel, van toepassing sinds 11 september 2026, ook voor in-scope producten die al op de markt zijn

DOCUMENTATIE:
[ ] Technisch dossier opgesteld
[ ] Risicobeoordeling gedocumenteerd
[ ] Beveiligingsarchitectuur gedocumenteerd
[ ] Gebruikersbegeleiding opgesteld

LIFECYCLE:
[ ] Supportperiode vastgesteld (minimaal 5 jaar per Art. 13(8); moet de verwachte gebruiksduur weerspiegelen; kan langer zijn voor langlevende voertuigcomponenten)
[ ] Updateleveringsmechanisme
[ ] End-of-life-planning
[ ] Veiligheidshervalidatieproces voor updates

KETEN:
[ ] SBOM-vereisten voor leveranciers
[ ] Componentbeveiligingsbeoordeling
[ ] Ketensdocumentatie

Belangrijk: Automotive-producten die onder typegoedkeuring vallen zijn vrijgesteld van de CRA. Zelfstandige softwaretools, aftermarket-apparaten en diagnosesystemen zijn dat waarschijnlijk niet.

Gerelateerde gidsen:

• CRA-productclassificatie: Is uw product Standaard, Belangrijk of Kritisch?
• CRA-conformiteitsbeoordeling: Module A vs. B+C vs. H beslissingsgids

Hoe CRA Evidence helpt

CRA Evidence ondersteunt automotivleveranciers:

• ISO/SAE 21434-mapping: Templates afgestemd op 21434-structuur
• SBOM-beheer: Ondersteuning voor automotive-componenttracking
• Kwetsbaarheidsopsporing: Automotive-productbeheer voor kwetsbaarheden
• Compliance-bewijs: Bewijsverzameling voor indiening bij aanmeldende instanties

Start uw CRA-compliance op craevidence.com.

Dit artikel is uitsluitend bedoeld ter informatie en vormt geen juridisch advies. Raadpleeg voor specifieke compliancebegeleiding een gekwalificeerde juridisch adviseur.