Ben ik fabrikant? De CRA-vraag die niemand beantwoordt.
Wie een plugin publiceert, wil weten of de verordening cyberweerbaarheid je fabrikant maakt. De bronnen geven daarop twee verschillende antwoorden.
De vraag past in één zin. Je hebt een WordPress-plugin gebouwd, die staat in de open directory, iedereen mag hem downloaden, en daarnaast verkoop je een Pro-versie. Ben je daarmee fabrikant in de zin van de verordening cyberweerbaarheid, Verordening (EU) 2024/2847?
Het eerlijke antwoord is ongemakkelijk. Het hangt ervan af, de bronnen spreken elkaar juist op dit punt tegen, en een deel van de luidste stemmen in de markt verkoopt zelf het gereedschap dat de vraag zou moeten oplossen. In augustus 2026 hebben we de bewering dat gratis plugins met een Pro-versie automatisch onder de CRA vallen systematisch getoetst aan de beschikbare bronnen. De uitkomst is geen schoon ja en geen schoon nee.
Daarom staat hier geen antwoord dat er niet is. Hier staat wat de verordening zegt, wat de Commissie erover zegt, waar die twee uit elkaar lopen en met welke vragen je je eigen situatie sorteert. Dit is een duiding en geen juridisch advies.
De zin waar de meesten van schrikken
Begin bij de definitie. De uitzondering komt daarna. Artikel 3, punt 1 CRA beschrijft het product met digitale elementen als "a software or hardware product and its remote data processing solutions, including software or hardware components being placed on the market separately". Toegepast op ons geval: een afzonderlijk verspreide softwaremodule valt eronder. Een plugin is een afzonderlijk verspreide softwaremodule.
Artikel 3, punt 13 definieert vervolgens de fabrikant: wie producten met digitale elementen ontwikkelt of laat ontwikkelen en ze onder eigen naam of eigen merk in de handel brengt, "whether for payment, monetisation or free of charge". Die laatste formule is de plek waar de discussie meestal eindigt voordat ze begint. Ze zegt dat de prijs geen kenmerk is van het begrip fabrikant: laten betalen, anders verdienen of gratis weggeven komen op hetzelfde neer. Wat telt, is het in de handel brengen onder eigen naam.
Eén voorbehoud geldt voor het hele artikel: tijdens ons onderzoek gaf EUR-Lex in geen enkele beproefde URL-vorm inhoud terug. De citaten uit de artikelen komen uit volledige tekstweergaven die onderling overeenkwamen. Daarom laten we ze in het Engels staan en leggen we ze ernaast uit in plaats van ze te vertalen: een eigen vertaling zou een nauwkeurigheid suggereren die we niet kunnen onderbouwen. Wie een letterlijk citaat hergebruikt, controleert het eerst bij EUR-Lex.
Het tegenwicht staat in de leidraad van de Commissie
Eind juli 2026 publiceerde de Europese Commissie een toepassingsleidraad bij de CRA, kenmerk C(2026) 5252, bestaande uit een mededeling en een bijlage met de eigenlijke handleiding. Ongeveer 80 bladzijden, 67 praktijkvoorbeelden, stroomschema's, uitdrukkelijk gericht op micro-ondernemingen en mkb. Kleine kanttekening over nauwkeurigheid: de Commissie dateert het stuk op Brussel, 27 juli 2026, terwijl heise online bericht over publicatie op 28 juli 2026. Waarschijnlijk datum van vaststelling tegenover datum van publicatie. Daarom schrijven wij eind juli en noemen we het kenmerk.
Inhoudelijk zegt de leidraad over open source het tegendeel van wat velen na artikel 3 verwachten: vrij beschikbare opensourcesoftware valt in beginsel buiten het toepassingsgebied van de CRA, zolang die niet wordt gecommercialiseerd. Als commerciële activiteit gelden volgens de leidraad onder meer de verkoop van de software, betaalde enterprise-uitvoeringen, het verdienen aan diensten via het programma, het vragen van persoonsgegevens verder dan beveiliging en interoperabiliteit vereisen, en donaties die feitelijk voorwaarde voor toegang zijn.
Uitdrukkelijk niet commercieel zijn volgens de leidraad vrijwillige bijdragen, publieke financiering en sponsoring op zichzelf. Betaalde ondersteuning onderwerpt een project niet automatisch aan de CRA, zolang de software zelf vrij beschikbaar blijft.
Let op wat in de verordening ontbreekt: de CRA definieert het begrip commerciële activiteit niet zelfstandig in de artikelen. De criteria komen uit de overwegingen en uit deze leidraad. Precies daar ontstaat de ruimte waarin de uitleg uiteenloopt.
De beheerder is een lichter regime, geen vrijbrief
Tussen fabrikant en buitenstaander zit een derde rol. Artikel 3, punt 14 CRA omschrijft de opensourcesoftwarebeheerder (open-source software steward) als de rechtspersoon die geen fabrikant is en wiens doel bestaat uit het duurzaam en systematisch ondersteunen van de ontwikkeling van bepaalde producten met digitale elementen die als vrije en opensourcesoftware gelden en bestemd zijn voor commerciële activiteiten.
Wat daaruit volgt, staat in artikel 24. Lid 1 vraagt een gedocumenteerd cyberbeveiligingsbeleid dat veilige ontwikkeling en het omgaan met kwetsbaarheden bevordert, inclusief de vrijwillige melding uit artikel 15. Lid 2 vraagt samenwerking met de markttoezichtautoriteiten en, op met redenen omkleed verzoek, overlegging van de documentatie in een taal die voor de autoriteit gemakkelijk te begrijpen is. Lid 3 verklaart artikel 14, lid 1 van toepassing op beheerders voor de producten aan de ontwikkeling waarvan zij deelnemen, en artikel 14, leden 3 en 8 voor zover ernstige incidenten hun eigen ontwikkelinfrastructuur raken.
Onthoud de combinatie: beheerders hebben vanaf 11 september 2026 een meldplicht, maar volgens artikel 64, lid 10 geen bestuurlijke boete. Wie "valt onder de CRA" hoort en aan boetes denkt, heeft bij deze rol het verkeerde beeld. Wat voor fabrikanten vanaf 11 september 2026 geldt en welke termijnen dan lopen, staat uitgebreid in het artikel over de CRA-meldplicht.
Hier lopen de bronnen uiteen
Het kerngeval is de gratis plugin in de open directory, met daarnaast een betaalde Pro-versie van dezelfde aanbieder. Er zijn twee lezingen en ze leiden tot verschillende uitkomsten.
Lezing A: de gratis versie wordt zelfstandig beoordeeld
Volgens deze lezing wordt de vrije versie op zichzelf beoordeeld. Wordt die zelf niet te gelde gemaakt, dus geen aankoop nodig, geen toegangs- of updateslot tegen betaling, geen gegevensverwerking verder dan beveiliging en interoperabiliteit vereisen, dan valt die niet automatisch onder de volledige fabrikantsverplichtingen, alleen omdat dezelfde aanbieder er een Pro-versie naast verkoopt. De Open Regulatory Compliance Working Group geeft de leidraad zo weer dat één rechtspersoon tegelijk verschillende rollen kan hebben, ook voor verschillende versies van dezelfde software, communityversie en betaalde versie inbegrepen. Overweging 18 van de verordening ondersteunt dat: het aanbieden van producten die als vrije en opensourcesoftware gelden en door hun fabrikanten niet te gelde worden gemaakt, moet niet als commerciële activiteit gelden. Overweging 18 houdt bovendien vast dat het enkele bestaan van regelmatige releases en de enkele financiële steun door fabrikanten op zichzelf geen commercieel karakter meebrengen.
Lezing B: de Pro-versie kleurt de gratis versie
Meerdere in CRA-naleving gespecialiseerde aanbieders formuleren ruimer. Wie de plugin verkoopt, een Pro-versie aanbiedt, betaalde ondersteuning levert of er op enige manier aan verdient, levert in het kader van een commerciële activiteit en valt binnen het toepassingsgebied, ongeacht de GPL-licentie. Opvallend genoeg maakt een van diezelfde aanbieders elders wel weer onderscheid en kijkt naar de vraag of het gratis product als verkoopkanaal voor een betaald aanbod dient.
En nu de openheid die bij dit standpunt hoort: deze aanbieders verkopen CRA-nalevingsgereedschap en advies aan mensen die plugins ontwikkelen. Een economisch belang bij een zo ruim mogelijke uitleg van het toepassingsgebied valt niet uit te sluiten, want meer betrokken ontwikkelaars betekenen meer klanten. Dat is geen verwijt en het maakt hun uitspraak niet onjuist. Het betekent alleen dat die formulering niet uit de leidraad komt. Het is de uitleg daarvan door marktpartijen met een eigen belang. Wie een bron weegt, weegt ook haar belang.
Nog een voorbehoud dat bijna niemand meelevert: de bijlage bij C(2026) 5252 was machinaal niet uit te lezen. Alle inhoudelijke uitspraken over open source in dit artikel komen uit het persbericht van de Commissie, uit vakmedia en uit blogs van organisaties. De 67 voorbeelden en de precieze afbakeningscriteria hebben we niet nagelezen. Wie je vertelt dat hij precies weet wat op bladzijde 41 staat, heeft meer toegang dan wij of vertelt meer dan hij weet.
Daar komt bij dat er geen uitspraak van een autoriteit of van de Commissie bestaat die WordPress-plugins uitdrukkelijk noemt. Plugins als product met digitale elementen aanmerken is goed te onderbouwen via artikel 3, punten 1 en 13. De bronnen die plugins bij naam noemen, zijn zonder uitzondering blogs van aanbieders die nalevingsgereedschap verkopen.
Zeven vragen waarmee je jezelf plaatst
De volgende vragen vervangen geen toetsing van jouw geval door iemand met een toelating. Het is een raster om te sorteren, gebouwd uit de criteria die leidraad en overwegingen volgens de bekeken bronnen noemen. Hoe vaker de rechterkolom richting commercieel wijst, hoe verstandiger het is je voor de zekerheid als fabrikant te gedragen.
| Vraag over je eigen product | Wat het antwoord betekent |
|---|---|
| Is toegang tot de gratis versie gekoppeld aan een betaling, ook verkapt via een registratie met koopplicht? | Een prijs vragen voor de software of voor voorgecompileerde bestanden telt volgens de leidraad als commerciële activiteit. Een vrije download zonder tegenprestatie niet. |
| Krijgt de gratis versie alleen tegen betaling beveiligingsupdates? | Updates achter een betaling zetten is volgens de bekeken lezing een van de sterkste argumenten dat de vrije versie zelf te gelde wordt gemaakt. |
| Vraag je persoonsgegevens verder dan beveiliging en interoperabiliteit vereisen? | De leidraad noemt precies dat als commerciële activiteit. Een e-mailadres verzamelen voor de download is daarmee een risicofactor, geen bijzaak. |
| Is de gratis versie functioneel zelfstandig, of is het een betaalmuur voor de eigenlijke functie? | Een op zichzelf bruikbaar product pleit voor lezing A. Een gratis huls die zonder aankoop niets doet, pleit voor functionele koppeling aan de verkoop. |
| Verdien je via het programma aan andere diensten, bijvoorbeeld advertenties of gegevensverzameling? | Software als platform om andere producten te gelde te maken telt volgens de leidraad als commerciële activiteit, ook als de software zelf gratis is. |
| Zijn donaties feitelijk voorwaarde voor toegang tot de software of tot updates? | Vrijwillige donaties zonder winstoogmerk gelden niet als commercieel. Donaties die feitelijk toegangsvoorwaarde zijn wel. |
| Breng je in de handel onder eigen naam of eigen merk? | Dat is het kenmerk uit artikel 3, punt 13 dat losstaat van de prijs. Het beantwoordt de fabrikantsvraag niet alleen, maar het is de deur waardoor die vraag binnenkomt. |
Wil je de uitkomst omzetten in iets bruikbaars: het deel dat losstaat van de indeling is een security.txt met de openbare contactgegevens voor meldingen van kwetsbaarheden. Dat kun je vandaag afmaken, zonder de fabrikantsvraag te hebben beslecht.
Hoe wij onszelf plaatsen
hafenstudios is precies het geval waarover gestreden wordt. We hebben meerdere plugins met een gratis versie en een betaalde Pro-versie, waaronder Wellenbrecher, dat sinds 21 augustus 2026 in de WordPress-directory staat. Met het Hafen-thema hebben we ook software zonder enige betaalde uitvoering. Alles staat onder GPLv2 of later.
Onze houding: we gedragen ons als fabrikant. Dat is de voorzichtige aanname, en die kost ons minder dan het zou kosten om er in het ernstige geval naast te hebben gezeten. In de praktijk betekent dat gedocumenteerde contactwegen voor meldingen van kwetsbaarheden, een werkwijze voor de termijnen uit artikel 14 en voorbereiding op het volledige pakket verplichtingen vanaf 11 december 2027, wanneer CE-markering, technische documentatie, conformiteitsbeoordeling en de softwarestuklijst uit bijlage I, deel II gaan gelden.
We zeggen daarbij openlijk dat de vraag niet definitief beslecht is. Een afspraak met een advocaat staat gepland. Dat is eerlijker dan hier een zekerheid te beweren die de bronnen niet geven. Nog een keer duidelijk, op de plek waar het telt: dit artikel is een duiding en geen juridisch advies. Voor een bindende beoordeling van jouw geval heb je iemand met een toelating nodig.
De onzekerheid is de eigenlijke schade
Nu de mening waarvoor dit artikel geschreven is. Het probleem van deze situatie is niet de regulering als zodanig. Beveiligingseisen aan software die op honderdduizenden websites draait, zijn goed te verdedigen. Het probleem is dat niemand betrouwbaar kan zeggen wie eronder valt.
Die onzekerheid verdeelt zich ongelijk. Een concern heeft een juridische afdeling die een inschatting schrijft en een budget dat een verkeerde inschatting overleeft. Een bedrijf van twee mensen heeft één avond en een resultatenlijst waarvan de eerste vijf treffers van aanbieders komen die een abonnement willen verkopen. De kosten van de onduidelijkheid draagt de kleine partij, terwijl de leidraad juist voor micro-ondernemingen en mkb geschreven is.
Het nationale kader maakt het niet rustiger, en daar telt je eigen land. De melding gaat naar het CSIRT van de lidstaat van de hoofdvestiging, en de nationale uitvoering is per lidstaat anders geregeld. In Duitsland, waar wij zitten, is dat het BSI met CERT-Bund, en de Duitse uitvoeringswet bij de CRA was op 21 augustus 2026 nog niet in werking: die ligt als Bundestag-document 21/6134 van 26 mei 2026 in behandeling, eerste lezing op 11 juni 2026. Nieuwe verplichtingen schept die wet niet, ze wijst de bevoegdheden aan. Artikel 14 geldt op 11 september 2026 los daarvan rechtstreeks. Zit jouw hoofdvestiging in een andere lidstaat, dan moet je de bevoegde instantie en het nationale tijdpad daar nakijken.
Wat daaruit volgt, is weinig spectaculair. Gedraag je voor de zekerheid als fabrikant wanneer meerdere van de zeven vragen richting commercieel wijzen. Leg vast hoe je tot je indeling bent gekomen. En wantrouw elke bron die deze vraag in twee zinnen beantwoordt, zeker wanneer ze in de derde zin iets verkoopt.
Wat wij openbaar maken over beveiliging en meldroutes
Op onze beveiligingspagina staat hoe je een kwetsbaarheid in een van onze plugins meldt, hoe we ermee omgaan en binnen welke termijn. Dat is het deel dat een aanbieder hoe dan ook verschuldigd is, los van de fabrikantsvraag.
Veelgestelde vragen
Maakt gratis weggeven mij echt fabrikant?
Volgens artikel 3, punt 13 CRA doet de prijs niet ter zake. Fabrikant is wie een product met digitale elementen ontwikkelt of laat ontwikkelen en onder eigen naam of eigen merk in de handel brengt, in de Engelse formulering "whether for payment, monetisation or free of charge", dus tegen betaling, met een andere vorm van verdienen of gratis. Of dat in de handel brengen in het kader van een commerciële activiteit gebeurt, is de tweede en omstreden vraag. De CRA definieert dat begrip niet in de artikelen zelf.
Valt mijn gratis plugin automatisch onder de CRA omdat er een Pro-versie is?
Volgens de bronnen die zich met de leidraad zelf bezighouden niet automatisch. Zij beschrijven een beoordeling per geval: een zelfstandige, niet te gelde gemaakte versie blijft in het lichtere regime of buiten het toepassingsgebied, tenzij die zelf te gelde wordt gemaakt of functioneel aan de verkoop is gekoppeld. Commerciële nalevingsaanbieders verdedigen de ruime lezing. De vraag is niet definitief beslecht.
Wat is een opensourcesoftwarebeheerder?
Artikel 3, punt 14 CRA beschrijft een rechtspersoon die geen fabrikant is en wiens doel bestaat uit het duurzaam en systematisch ondersteunen van de ontwikkeling van bepaalde opensourceproducten die bestemd zijn voor commerciële activiteiten. Artikel 24 vraagt een gedocumenteerd cyberbeveiligingsbeleid, samenwerking met de autoriteiten en een beperkte meldplicht. Volgens artikel 64, lid 10 zijn beheerders uitgezonderd van de bestuurlijke boetes uit die bepaling.
Is de leidraad van de Commissie bindend?
Nee. De Commissie maakt zelf duidelijk dat alleen het Hof van Justitie van de Europese Unie het Unierecht bindend kan uitleggen. C(2026) 5252 verandert geen verplichting en geen datum. Voor markttoezichtautoriteiten zal het in de praktijk toch een referentiepunt zijn, en daarom is het verstandig het te kennen zonder het voor wet te houden.
Vanaf wanneer geldt wat?
Hoofdstuk IV over de aangemelde instanties geldt sinds 11 juni 2026. Artikel 14 met de meldplichten van fabrikanten geldt vanaf 11 september 2026. De verordening voor het overige geldt vanaf 11 december 2027, en daarbij horen CE-markering, technische documentatie, conformiteitsbeoordeling en de softwarestuklijst uit bijlage I, deel II. De vindplaats voor alle drie de data is artikel 71 CRA.
