Voorwoord: hoe software volwassen werdLeeswijzerDeel I — De nieuwe realiteit (strategie & impact)1. De Cyber Resilience Act (CRA) ontrafeld2. Voor wie geldt de wet, en hoe streng?3. Snelheid door zekerheidDeel II — De uitvoering4. Security by Design in de praktijk5. Vulnerability management en de supportverplichting6. CE-markering, conformiteitsbeoordeling en documentatie7. De SBOM in de praktijkDeel III — Inkoop, risico en governance8. Vendor Risk Management en grip op de keten9. Incident respons en de 24-uurs meldplicht10. De business case voor complianceDeel IV — Het 90-dagen implementatieplan11. Maand 1: baseline en assessment12. Maand 2: proces en pijplijn13. Maand 3: documentatie en ketenintegratie14. De toekomstbestendige organisatieEpiloog: het tijdperk van aantoonbaar vertrouwenBijlage A — De CRA-begrippenlijstBijlage B — Template Security Addendum (voor Inkoop en Legal)Bijlage C — Template technische documentatie conform CRA Annex VIIBijlage D — Bronnen en verdiepingBijlage E — Frameworks en toolsVanaf december 2027 is iedere fabrikant van software wettelijk aansprakelijk voor de veiligheid van zijn product — minimaal vijf jaar na de release. De Cyber Resilience Act (CRA) maakt een einde aan het tijdperk waarin software as-is werd geleverd. Ransomware-aanvallen op ziekenhuizen en supply-chain-incidenten als Log4j en SolarWinds hebben aangetoond waarom: aantoonbare veiligheid is geen optie meer, maar een verplichting.Het oude Minimum Viable Product — "snel live, dan zien we wel" — houdt geen stand. Dit boek introduceert wat er voor in de plaats komt: het Minimum Viable Secure Product (MVSP), een werkwijze waarbij veiligheid een ontwerpeis is, niet een laag die je achteraf aanbrengt. Met een geautomatiseerde Software Bill of Materials, een ingebouwde compliance-pijplijn en een conformiteitsdossier dat je op elk moment kunt overhandigen aan toezichthouder of klant.Geen juridische theorie, maar een praktijkgids voor CIO's, CISO's en Product Managers, opgebouwd rond een concreet 90-dagen implementatieplan. Met beslisbomen voor productclassificatie, templates voor het Security Addendum en het Technisch Dossier, en een routekaart van nulmeting tot CE-markering. Wie aantoonbare veiligheid nu verankert, bouwt een voorsprong op die de komende jaren doorslaggevend wordt — in aanbestedingen, klantvertrouwen en marktpositie.Vanaf december 2027 is elke fabrikant van software wettelijk aansprakelijk voor de veiligheid van zijn product — minimaal vijf jaar na de release. De Cyber Resilience Act maakt het oude Minimum Viable Product onhoudbaar. Dit boek introduceert wat er voor in de plaats komt: het Minimum Viable Secure Product (MVSP). Een praktijkgids voor CIO's, CISO's en Product Managers, opgebouwd rond een 90-dagen implementatieplan met beslisbomen, templates en een routekaart van nulmeting tot CE-markering.