Wat de Cyber Resilience Act eist
De CRA geldt voor producten met digitale elementen waarvan het beoogde gebruik een directe of indirecte verbinding met een apparaat of netwerk omvat. De fabrikant moet onder meer:
- het product ontwerpen met een cyberbeveiligingsniveau passend bij de risico's, zonder bekende misbruikbare kwetsbaarheden bij verkoop;
- zorgen voor veilige standaardinstellingen en beveiligingsupdates gedurende de ondersteuningsperiode;
- kwetsbaarheden afhandelen gedurende die hele periode en de softwarecomponenten documenteren;
- actief misbruikte kwetsbaarheden en ernstige incidenten melden.
De data om te noteren
- 11 september 2026: de verplichtingen gelden om actief misbruikte kwetsbaarheden en ernstige incidenten te melden.
- 20 januari 2027: de Machineverordening geldt, met haar eisen over bescherming tegen corruptie en besturingssystemen.
- 11 december 2027: alle overige CRA-verplichtingen gelden.
Meldingen hebben korte termijnen, in uren en dagen: zorg dat het proces klaar is voordat u het nodig hebt.
De CRA en de Machineverordening
De Machineverordening heeft eigen eisen over bescherming tegen corruptie en over veiligheidsgerelateerde besturingssystemen: een aanval of gemanipuleerde software mag niet tot gevaarlijke situaties leiden. De CRA kijkt naar de cyberbeveiliging van het product in het algemeen, gedurende de hele levensduur. Beide kunnen op dezelfde machine van toepassing zijn.
Koopt u componenten met digitale elementen, zoals PLC's of industriële routers, dan hebben hun fabrikanten eigen verplichtingen. Wat uw machine nodig heeft, beoordeelt u met uw adviseur.
Wat u in de praktijk doet
- Inventariseer de ingebouwde software en firmware, per model en per serienummer.
- Bepaal de ondersteuningsperiode en hoe u beveiligingsupdates verspreidt.
- Richt een kanaal in voor meldingen van kwetsbaarheden en een proces om ze op tijd te melden.
In TARGA heeft elk serienummer de geschiedenis van softwareversies, met datum en release notes, nuttig voor de CRA en voor substantiële wijzigingen.
Veelgestelde vragen
Geldt de Cyber Resilience Act al?
De verplichtingen om actief misbruikte kwetsbaarheden en ernstige incidenten te melden gelden sinds 11 september 2026. De overige verplichtingen gelden vanaf 11 december 2027.
Valt een machine zonder internetverbinding onder de CRA?
De CRA geldt voor producten waarvan het beoogde gebruik een directe of indirecte verbinding met een apparaat of netwerk omvat, niet alleen met internet. Een servicepoort of een fabrieksnetwerk kan genoeg zijn. Dat beoordeelt u per geval.
Als ik PLC's gebruik die al aan de CRA voldoen, ben ik dan gedekt?
Niet per se. De PLC-fabrikant is verantwoordelijk voor de PLC; wie de machine in de handel brengt, moet de machine als geheel beoordelen, inclusief de software, netwerken en toegang op afstand die hij toevoegt.