Sinds kort staat er online een CRA Compliance Cost Calculator. Je vult je productklasse in, je huidige beveiligingsmaturiteit en het aantal producten in scope, en je krijgt een indicatie van wat het kost om onder de Cyber Resilience Act compliant te geraken. Eenmalig en jaarlijks.
Het is een handige tool om een gesprek te openen. Maar de cijfers die eruit rollen, verdienen wat context. Want ze zijn hoger dan de meeste product- en softwarebedrijven verwachten, en ze roepen een lastige vraag op: gaat de CRA leiden tot meer échte security, of tot compliance-theater?
Eerst even scherpstellen: de klok tikt
De CRA (Verordening (EU) 2024/2847) is in werking getreden op 10 december 2024, maar de verplichtingen komen gefaseerd. Vanaf 11 september 2026 moeten fabrikanten actief misbruikte kwetsbaarheden en ernstige incidenten melden aan ENISA en de nationale CSIRT via het Single Reporting Platform. De rest van de verplichtingen, denk aan security-by-design, conformiteitsbeoordeling, technische documentatie en CE-markering, geldt vanaf 11 december 2027.
Wie enkel naar december 2027 kijkt, mist dus de eerste deadline. En de sanctie op niet-naleving is niet symbolisch: boetes lopen op tot 15 miljoen euro of 2,5% van de wereldwijde jaaromzet.
Wat de calculator vertelt voor een doorsnee product-KMO
Neem het meest voorkomende profiel: een productbedrijf in de Default-klasse, met een lage tot gemiddelde beveiligingsmaturiteit. Dat is de realiteit voor een groot deel van de Vlaamse product- en softwarebedrijven.
De calculator (gekalibreerd op het CRA-kostenmodel van i46, aan een blended EU-tarief van 45 euro per uur) landt voor dat profiel grofweg tussen 68.500 en 150.000 euro eenmalig, plus 11.500 tot 14.000 euro per jaar aan onderhoud. Ter illustratie: één product in scope bij gemiddelde maturiteit geeft ongeveer 68.500 euro eenmalig en 11.500 euro per jaar en met meer producten en lagere maturiteit loopt dat snel op.
De grootste kostenpost is telkens dezelfde: de secure development uplift. Niet de audit, niet de papieren, maar het werk om de effectieve beveiligingsgaten in je product te dichten. Dat is meteen ook de eerlijkste boodschap van de tool: de CRA is vooral engineering werk, geen formaliteit.
68.500 tot 150.000 euro. Wat is dat eigenlijk?
Abstracte bedragen zeggen weinig, dus vertaal het naar iets tastbaars. De eenmalige investering ligt voor de meeste KMO’s grofweg in de orde van één extra securityprofiel aanwerven, voltijds, voor een jaar (loonkost, werkgeversbijdragen en overhead samengeteld). Grofweg, want het hangt af van je scope en profiel, maar als grootteorde klopt het.
En dan wringt het. Voor een product-KMO betekent dit een keuze:
- Een jaar business capaciteit inruilen voor compliance. Je haalt de CRA, maar dat budget was er anders naartoe gegaan: naar productontwikkeling, naar een commerciële rol, naar effectieve beveiliging over de langere termijn.
- Externe capaciteit inkopen zonder dat je intern iets opbouwt. Sneller, maar je blijft even (on)volwassen als ervoor zodra het traject afgelopen is.
Een bedrijf met een gezonde marge en een product roadmap kan dit vervelend maar behapbaar noemen.
Voor de grote groep KMO’s met krappe cashflow is een eenmalige hap van 68.500 tot 150.000 euro, bovenop de terugkerende jaarlijkse kost, geen detail. Het is een investeringsbeslissing van hetzelfde gewicht als een aanwerving of een nieuwe productlijn. En anders dan een aanwerving levert het op korte termijn geen extra omzet op, maar een vinkje.
Het echte risico: security of security-greenwashing?
Hier zit de kern van de zaak. Als compliance duur is en verplicht, ontstaat er druk om het goedkoop te doen in plaats van goed. Onder het motto: het moet gebeuren, dus we doen het minimale.
De CRA is grotendeels een proces- en documentatieverplichting. Dat is een kracht (het dwingt structuur af) maar ook een valkuil. Je kan een SBOM genereren, een vulnerability-handlingbeleid op papier zetten, een conformiteitsbeoordeling doorlopen en de CE-markering aanbrengen, zonder dat je product wezenlijk veiliger is geworden. Het vinkje staat er, het risico ook nog.
Dat is security-greenwashing: de schijn van weerbaarheid, gebouwd op documenten in plaats van op effectief dichtgemaakte gaten. En de kostendruk werkt het in de hand. Wie de CRA puur als een last ziet die weggewerkt moet worden aan de laagst mogelijke prijs, koopt precies dat: het papier, niet de veiligheid.
Het perverse effect: de EU introduceert de duurste horizontale productbeveiligingswet ooit, en een deel van de markt reageert door de letter te halen en de geest te missen. Dan hebben we veel geld uitgegeven aan compliance en weinig aan resilience.
De uitweg is niet ingewikkeld, maar wel bewust: behandel de CRA als een aanleiding om security-by-design écht in je ontwikkelproces te verankeren, niet als een eenmalige audit die je zo snel mogelijk achter de rug wil. Dan wordt diezelfde 68.500 euro een investering in een beter product in plaats van een aftrekbare kost.
Gelukkig maakt subsidie het haalbaar
De goede boodschap: je hoeft die factuur niet volledig alleen te dragen. Er zijn twee kanalen die de rekening merkbaar verlichten, en die je bovendien dwingen om het gestructureerd aan te pakken.
1. VLAIO Cybersecurity verbetertrajecten
Via de cybersecurity verbetertrajecten subsidieert VLAIO 50% van de kost voor externe begeleiding door een erkende dienstverlener (35% voor niet-KMO’s die onder NIS2 vallen). Er zijn drie formules:
- START: een grondige analyse en een cybersecurity-roadmap.
- MEDIUM en PLUS: analyse plus de concrete implementatie van prioritaire verbeteringen.
De trajecten kosten grofweg tussen 10.00 en 50.000 euro, waarvan VLAIO dus de helft draagt. De aanvraag verloopt via de erkende dienstverlener zelf, niet via een apart VLAIO-loket. Dit dekt precies het stuk dat op de calculator het zwaarst weegt: de begeleiding en het effectieve verbeterwerk.
2. SECURE (secure4sme.eu)
SECURE is een Europees programma (cascade funding onder het Digital Europe Programme) dat specifiek is opgezet om KMO’s te helpen bij CRA-compliance. Het biedt tot 30.000 euro per project aan 50% co-financing (kostenplafond 60.000 euro), als forfaitaire subsidie, voor micro-, kleine en middelgrote ondernemingen die onder de CRA-scope vallen.
Let op de timing: de eerste open call liep van 28 januari tot 29 maart 2026 en is intussen gesloten. Maar SECURE heeft aangekondigd dat er minstens nog een call volgt. De praktische tip? Schrijf je in op hun updates, houd de open calls-pagina in de gaten en bereid je dossier nu al voor. Zo sta je klaar wanneer de volgende call opent. Een niet-geselecteerd voorstel mag trouwens herwerkt en heringediend worden in een latere call.
Combineren
De twee kanalen dienen verschillende stukken. VLAIO is Vlaams, verloopt via een erkende dienstverlener en is doorlopend beschikbaar; het is ideaal voor analyse, roadmap en begeleide implementatie. SECURE is Europees, werkt met tijdsgebonden calls en richt zich expliciet op CRA-projecten. Samen kunnen ze een flink deel van die eenmalige investering afdekken, waardoor de netto-inspanning voor je KMO een pak realistischer wordt.
Conclusie
De CRA-kostencalculator doet precies wat hij moet doen: hij maakt een abstracte verplichting concreet en oncomfortabel. Voor een doorsnee product-KMO staat er een eenmalig cijfer van 68.500 tot 150.000 euro op, met een jaarlijkse staart erbovenop. Dat is de orde van grootte van een extra aanwerving, en dus een echte investeringsbeslissing.
De vraag is niet alleen of je die factuur betaalt, maar hoe. Betaal je voor papier, dan krijg je papier. Behandel je de CRA als een hefboom om je ontwikkelproces effectief veiliger te maken, dan koop je resilience in plaats van greenwashing. En met VLAIO en SECURE is die tweede weg financieel een pak haalbaarder dan de calculator op het eerste zicht doet vermoeden.
Bij Refracted helpen we product- en softwarebedrijven om die keuze goed te maken: de scope scherp krijgen, de gaten prioriteren die er echt toe doen, en de subsidieroutes zo inzetten dat je budget naar effectieve beveiliging gaat en niet naar een vinkje.
Siebe De Roovere
AuthorSecurity Advisor | Refracted
