Cyber Resilience Act: zijn uw verbonden producten er klaar voor?

Produceert u een ‘connected’ apparaat, een apparaat met een Bluetooth-, Wi-Fi- of LoRa-verbinding, of een ander ‘connected’ product met ingebouwde software? Dan is de Cyber Resilience Act (CRA) op u van toepassing. Deze nieuwe Europese verordening stelt cyberbeveiligingseisen aan alle producten met digitale componenten die in de Europese Unie worden verkocht. Zelfs een eenvoudige netwerkpoort of een USB-aansluiting is al voldoende om een product onder de CRA te laten vallen. En de termijn is krapper dan het op het eerste gezicht lijkt.

Cyber Resilience Act: zijn uw verbonden producten er klaar voor?
Twee data om te onthouden

De CRA is in december 2024 in werking getreden, maar de verplichtingen ervan worden stapsgewijs ingevoerd.

Eerste stap, al gezet: 11 september 2026. Vanaf die datum moeten fabrikanten actief misbruikte kwetsbaarheden en ernstige incidenten aan de autoriteiten melden, met een vroegtijdige waarschuwing binnen 24 uur. Deze verplichting geldt ook voor producten die al op de markt zijn.

Tweede fase: 11 december 2027. Vanaf die datum gelden alle eisen voor nieuwe producten die op de markt worden gebracht (of voor producten die al op de markt zijn en een wezenlijke wijziging hebben ondergaan): conformiteitsbeoordeling, technische documentatie en CE-markering. De boetes kunnen oplopen tot 15 miljoen euro of 2,5 % van de wereldwijde omzet.

Veertien maanden lijkt misschien ruim voldoende. Voor een fysiek product is dat echter niet het geval: tussen het idee, het prototype, de industriële productie en de certificering duurt een ontwikkelingscyclus vaak 12 tot 18 maanden. Een product waarvan het ontwerp vandaag van start gaat, zal pas na de deadline op de markt komen. Het moet dus vanaf de eerste dag conform de voorschriften worden ontworpen.

Wat de CRA verandert op het gebied van ontwerp

De verordening vereist niet dat er aan het einde van het project een extra beveiligingslaag wordt toegevoegd. Ze schrijft voor dat er al bij de architectuur van het product rekening moet worden gehouden met cyberbeveiliging:

  • geen bekende kwetsbaarheden die bij de lancering kunnen worden misbruikt, en een standaard beveiligde configuratie;
  • authenticatie, toegangscontrole en versleuteling van gevoelige gegevens;
  • een aanvalsoppervlak dat tot het strikt noodzakelijke is beperkt;
  • beveiligingsupdates gedurende de gehele ondersteuningsperiode van het product;
  • een inventaris van de softwarecomponenten (SBOM, afkorting van Software Bill of Materials) en een proces voor het beheer van kwetsbaarheden;
  • volledige technische documentatie, die meerdere jaren wordt bewaard.

Deze keuzes moeten al in een zeer vroeg stadium worden gemaakt: de gekozen microcontroller, het sleutelbeheer, het mechanisme voor updates op afstand en de gebruikte softwarebibliotheken (SBOM). Het achteraf aanpassen hiervan is kostbaar en kan zelfs betekenen dat de printplaat opnieuw ontworpen moet worden.

Niet alle producten vallen onder dezelfde noemer

Afhankelijk van de functie valt een product onder een andere risicocategorie. Het merendeel van de verbonden apparaten valt onder de standaardcategorie, waarbij de conformiteit zelf wordt beoordeeld. Voor gevoeliger producten, zoals bepaalde industriële, beveiligings- of netwerkapparatuur, kan de tussenkomst van een derde partij nodig zijn. Medische hulpmiddelen vallen daarentegen onder de MDR-verordening.

Het bepalen van de juiste categorie is de eerste beslissing die moet worden genomen, aangezien deze bepalend is voor het budget en de doorlooptijd van het project.

Wie doet wat?

 

De fabrikant blijft wettelijk verantwoordelijk voor de conformiteit van zijn product, met inbegrip van de conformiteitsverklaring, het beheer van kwetsbaarheden en de communicatie met de autoriteiten. Hij kan echter een deel van deze taken via een mandaat delegeren. De rol van een ingenieursbureau speelt zich in de eerste plaats af vóór en tijdens het ontwerp: het integreren van beveiliging in de elektronische en softwarearchitectuur, en het opstellen van de technische documentatie waarmee de conformiteit van het product wordt aangetoond. Vervolgens kan het bureau zijn betrokkenheid voortzetten na het in de handel brengen, door namens de fabrikant de markt in de gaten te houden en eventuele problemen aan de autoriteiten te melden.

Waarom zou je je door Quimesis laten begeleiden?

Quimesis ontwerpt van begin tot eind verbonden producten: elektronica, firmware, mechanica, connectiviteit, en vervolgens de voorbereiding op certificering en CE-markering. Cyberbeveiliging maakt vanzelfsprekend deel uit van dit traject, omdat hierover wordt beslist bij dezelfde technische keuzes als voor de rest van het product.

Concreet kan Quimesis:

  • uw product analyseren en de categorie ervan bepalen in het kader van de CRA;
  • de afwijkingen tussen uw huidige product en de eisen van de verordening in kaart brengen;
  • deze eisen meenemen in het ontwerp van uw volgende product of bij de verdere ontwikkeling van een bestaand product;
  • de vereiste technische documentatie samenstellen;
  • aangewezen worden als gevolmachtigde om toezicht te houden op kwetsbaarheden in het product, de autoriteiten op de hoogte te stellen van kwetsbaarheden die actief worden uitgebuit en van ernstige incidenten, of om de technische documentatie en de conformiteitsverklaring bij te houden.

Door één partner te hebben voor het ontwerp en de naleving, worden heen-en-weer-gesprekken tussen teams en onaangename verrassingen aan het einde van het project voorkomen.

Voorkomen is goedkoper dan herstellen

Wordt uw slimme product pas na december 2027 op de markt gebracht? Laten we het er nu alvast over hebben. Tijdens de ontwerpfase is het het goedkoopst om aan de voorschriften te voldoen.

Neem contact met ons op voor een op maat gemaakte conformiteitsanalyse

 

Geplaatst op 26 oktober 2026

Bekijk al het nieuws