De Cyber Resilience Act en WordPress: wat verandert er voor plugins en voor u?

Europa heeft een nieuwe wet voor de veiligheid van software: de Cyber Resilience Act, afgekort CRA. Misschien heeft u erover gelezen in een mail van een pluginmaker, of ziet u in de wijzigingslog van een thema ineens iets over “CRA-compliance”. Moet u als eigenaar van een WordPress-site iets doen? Meestal niet direct. Maar de wet verandert wel hoe de makers van uw plugins en thema’s moeten werken, en dat is goed om te weten bij het kiezen van software.

Let op: dit artikel is een praktische uitleg, geen juridisch advies. Bent u zelf maker van software die u verkoopt, laat u dan goed adviseren.

Wat is de Cyber Resilience Act?

De CRA is een Europese verordening die eisen stelt aan “producten met digitale elementen”: hardware en software die op de Europese markt worden aangeboden. Denk aan slimme apparaten, maar ook aan software die wordt verkocht. De wet is eind 2024 in werking getreden en geldt in stappen:

• Vanaf 11 september 2026 moeten makers actief misbruikte kwetsbaarheden en ernstige beveiligingsincidenten melden bij de Europese autoriteiten.
• Vanaf 11 december 2027 gelden de volledige eisen: veilig ontwerp, een proces om lekken te behandelen, beveiligingsupdates gedurende de ondersteuningsperiode en duidelijke informatie voor gebruikers.

Wat betekent het voor plugins en thema’s?

Een betaalde plugin of een premium thema dat in Europa wordt verkocht, is software die op de markt wordt gebracht. De makers ervan krijgen dus te maken met de CRA. Concreet moeten zij onder meer:

• een manier hebben waarop iemand een lek kan melden;
• bekende lekken verhelpen en daarvoor updates uitbrengen;
• aangeven hoe lang een product beveiligingsupdates krijgt;
• actief misbruikte lekken melden.

Voor gratis, open-source software die niet commercieel wordt aangeboden, gelden uitzonderingen. Organisaties die open-source projecten structureel ondersteunen, krijgen een lichter regime. Hoe dat precies uitpakt voor een gratis plugin met een betaalde “pro”-versie, wordt de komende tijd duidelijker.

Wat merkt u als site-eigenaar?

Meer duidelijkheid over ondersteuning

Een goed effect: makers moeten laten weten hoe lang een product veiligheidsupdates krijgt. Dat helpt u bij het kiezen. Een plugin waarvan u weet dat hij nog jaren wordt onderhouden, is een veiligere keuze dan een plugin zonder enige toezegging.

Sommige plugins verdwijnen

Kleine makers die de extra verplichtingen niet kunnen of willen dragen, kunnen stoppen met verkopen in Europa of met hun product. Een plugin die niet meer wordt onderhouden, wordt na verloop van tijd een risico. Wat u dan doet, leest u in ons artikel over plugins zonder opvolger.

Uw eigen maatwerk

Heeft een bureau een plugin of thema speciaal voor uw site gebouwd, dan valt dat doorgaans niet onder de CRA zoals een product dat in een webwinkel te koop staat. Maar de logica van de wet is ook voor maatwerk verstandig: maak afspraken over wie lekken oplost en hoe lang. Een veelvoorkomend probleem is maatwerk waarvan de maker uit beeld is; zie ook ons artikel over technische schuld.

Wat u nu kunt doen

1. Maak een lijst van uw betaalde plugins en thema’s, met bij elk de maker en de vervaldatum van de licentie.
2. Kijk per plugin of de maker een beveiligingsbeleid publiceert en of er een plek is om lekken te melden. Steeds meer makers gebruiken daar een security.txt-bestand voor; wat dat is, leest u in ons artikel over security.txt.
3. Houd verlopen licenties in de gaten. Zonder licentie krijgt u geen updates, en de beste afspraken van de maker helpen u dan niets.
4. Volg bekende lekken. Hoe u bijhoudt welke plugins kwetsbaar zijn, staat in ons artikel over kwetsbaarheden volgen.

Valt uw bedrijf zelf onder de Europese NIS2-regels, dan speelt beveiliging van uw website op een andere manier mee; lees daarvoor ons artikel over NIS2.

Wat u zelf doet en wanneer u hulp inschakelt

Een lijst van uw plugins en licenties maken, kunt u zelf. Het beoordelen welke plugins goed onderhouden worden, het vervangen van plugins zonder toekomst en het snel doorvoeren van beveiligingsupdates is het werk dat wij doen in ons WordPress-onderhoud. Wij houden bij welke software op uw site staat en of er nog updates voor komen.