De Cyber Resilience Act

In zowat elk digitaal toestel en elke digitale toepassing schuilen tegenwoordig programmatuur en connectiviteit. Van smartwatches tot verbonden koelkasten, van bedrijfssoftware tot een slimme thermostaat – overal in ons dagelijks leven zijn digitale producten in gebruik. Die producten vormen echter regelmatig een zwak punt in cyberveiligheid: beveiligingsmaatregelen zijn vaak ondergeschikt in het ontwikkelproces, met kwetsbaarheden en achterhaalde beveiligingspraktijken (denk aan standaardwachtwoorden of lakse update-ondersteuning) tot gevolg. Hierdoor ontstaan onnodige risico’s op cyberincidenten, datalekken en economische schade.

De EU Verordening Cyberweerbaarheid 2024/2847, beter bekend als de “Cyber Resilience Act” (hierna de “CRA”), grijpt in op die problematiek als productregulerend instrument en kadert daarmee binnen de ruimere EU Digitale Strategie. Deze nieuwe EU-verordening legt voor het eerst geharmoniseerde cyberbeveiligingsverplichting op aan fabrikanten van digitale producten in de EU. Het doel van de verordening is om een basisniveau van cyberbeveiliging te garanderen door producten van bij het ontwerp veiliger te maken (“security by design”) en ze over hun hele levensduur up-to-date en weerbaar te houden (“security by default” en “lifecycle vulnerability management”).

1. De CRA: wat valt eronder en wie is verantwoordelijk?

De CRA is van toepassing op “producten met digitale elementen”, d.w.z. software en hardware die direct of indirect verbonden zijn met een netwerk of ander apparaat. Slimme toestellen en softwaretoepassingen vallen dus doorgaans onder de verordening. Denk aan een slimme koelkast of thermostaat, een babyfoon met app, een laptop of telefoon, een webbrowser of mobiele applicatie, etc. Zelfs hardwarecomponenten en softwaremodules die afzonderlijk op de markt worden gezet (zoals losse computeronderdelen of bibliotheken) kunnen “producten met digitale elementen” zijn. Ook clouddiensten die essentieel zijn voor de werking van een product komen mee onder deze regels (de zogenaamde “gegevensverwerking op afstand”). In de CRA zijn ook enkele situaties expliciet uitgesloten van het toepassingsgebied (bv. reserveonderdelen ter vervanging van identieke componenten en prototypes die op een beurs gepresenteerd worden met duidelijke aanduiding van niet-naleving).

De CRA legt verplichtingen op aan alle marktdeelnemers die een rol spelen bij het op de EU-markt aanbieden van “producten met digitale elementen”, met name aan fabrikanten die het gros van de verplichtingen opgelegd krijgen, en aan importeurs en distributeurs die namelijk een rol hebben om te verzekeren dat enkel conforme producten met digitale elementen verdeeld worden. Belangrijke kanttekening: als een importeur of distributeur een product onder eigen naam verkoopt of ingrijpend wijzigt (bv. onder eigen merk verdelen of eigen software toevoegen), dan beschouwt de CRA die partij als fabrikant met alle bijkomende verplichtingen.

2. Wat zijn de kernprincipes en belangrijke deadlines van de CRA?

We kunnen enkele kernprincipes afleiden uit de bepalingen van de CRA, die samen tot doel hebben om de cyberweerbaarheid van producten met digitale elementen binnen de Europese Unie te verzekeren:

1. Beveiliging door ontwerp en door standaardinstellingen: producten met digitale elementen vanaf hun ontwerp en tijdens de gehele levensduur een passend niveau van cyberbeveiliging te verzekeren, alsook steeds te voorzien in de meest veilige standaardinstellingen;
2. Onderhoud en updates gedurende de levensduur: fabrikanten moeten de ondersteuningsperiode van elk product bepalen en transparant communiceren aan de klant (bv. op in de handleiding of via digitale middelen). Dit moet gebruikers toelaten om een meer geïnformeerde beslissing te nemen bij de aankoop van een product met digitale elementen;
3. Meldplicht: naar analogie met de meldplichten onder de NIS2-regelgeving, moeten fabrikanten kwetsbaarheden en cyberincidenten met een aanzienlijke impact melden aan de toezichthoudende autoriteiten op basis van een cascadesysteem van deadlines;
4. Conformiteit en documentatie: fabrikanten van producten met digitale elementen die “belangrijk” of “kritiek” zijn, krijgen bijkomende conformiteits- en documentatieverplichtingen opgelegd in lijn met andere productregelgeving.

De regels van de CRA worden op gefaseerde wijze toepasselijk sinds de datum van inwerkingtreding op 10 december 2024. De belangrijkste deadlines zijn 11 september 2026 voor de toepasselijkheid van de meldplichten, en 11 december 2027 waarop alle verplichtingen onder de CRA toepasselijk worden.

3. Hoe kan u zich best voorbereiden?

Voor organisaties die als fabrikant optreden zullen de nieuwe regels een impact hebben op hun bedrijfsprocessen en productontwikkeling. Dit is echter ook een kans: door nu al in te spelen op de CRA, kan uw organisatie klantvertrouwen opbouwen en onderscheidend zijn in de markt. Hieronder lijsten we enkele actiepunten en aanbevelingen op om uw organisatie gepast voor te bereiden op de CRA:

• Analyseer of uw organisatie onder de CRA valt: ga na of de hardware en/of software die uw organisatie ontwikkelt, (her)verkoopt of importeert onder de definitie van “product met digitale elementen” vallen, dan wel of ze specifiek onder een uitzonderingsregime vallen;
• Verifieer of uw product als “belangrijk” of “kritiek” kwalificeert: naast de beveiligingsmaatregelen die fabrikanten dienen te treffen voor alle “producten met digitale inhoud”, gelden ook specifieke verplichtingen voor “belangrijke” en “kritiek” producten met digitale elementen”;
• Stel een compliance-roadmap op: de transitieperiode tot eind 2027 om de naleving met de CRA te verzekeren lijkt lang, maar compliance vereist een tijdige en planmatige aanpak. Bepaal welke stappen uw organisatie dient te ondernemen (van analyse van verplichtingen over implementatie van beveiligingsmaatregelen tot het verkrijgen van eventuele certificeringen, etc.) en plan de vereiste stappen in de tijd;
• Integreer “security by design” en “security by default” in het product: evalueer of uw huidige ontwikkel- en implementatieprocessen voldoen aan die principes, m.a.w. uw organisatie dient ervoor te zorgen dat de producten voldoen aan de cyberbeveiligingsvereisten voordat de producten aangeboden worden en dienen de standaardinstellingen van het product zo cyberveilig mogelijk te zijn gedurende gehele levensduur van de producten;
• Implementeer kwetsbaarheidsbeheer: uw organisatie dient tijdig te voorzien in software-updates en patches voor geconstateerde kwetsbaarheden. Stel ook een beleid voor veiligheidsonderzoek en melding van kwetsbaarheden op, zodat zowel interne teams als externe onderzoekers problemen eenvoudig kunnen melden en u snel kunt reageren;
• Overleg met toeleveranciers: Breng in kaart welke externe componenten of open-source software uw producten bevatten. Vraag leveranciers naar hun beveiligingspraktijken en updateplannen, en verwerk contractueel dat zij tijdig patchen en informatie verstrekken. Zo borgt u de end-to-end beveiliging van uw product.

Conclusie

De CRA is een belangrijke ontwikkeling binnen de EU Digitale Strategie, met impact op een groot aantal ondernemingen en organisaties. De verordening brengt een gelijk speelveld op het vlak van cyberbeveiliging voor alle spelers die digitale producten op de markt brengen, en dient om het vertrouwen in technologie te versterken. Organisaties die de komende jaren proactief investeren in veilige producten en hun compliance op orde brengen, vermijden niet alleen boetes en reputatieschade, maar kunnen zich ook onderscheiden in een markt die steeds sterker op beveiliging en betrouwbaarheid zal selecteren. Een tijdige voorbereiding is daarom noodzakelijk voor uw onderneming.