Van slimme deurbellen en beveiligingscamera's tot televisies, routers en slimme thermostaten: steeds meer apparaten in huis zijn verbonden met internet. Dat biedt gemak, maar brengt ook veiligheidsrisico's met zich mee. De Europese Unie stelt daarom strengere eisen aan de digitale veiligheid van producten. Fabrikanten krijgen onder meer een meldplicht voor actief misbruikte kwetsbaarheden en ernstige beveiligingsincidenten. Wat verandert er precies en wat betekent dit voor jou?
Meldplicht sinds 11 september
De nieuwe verplichting is onderdeel van de Europese Cyber Resilience Act (CRA), oftewel de Verordening cyberweerbaarheid. Sinds 11 september 2026 moeten fabrikanten melding maken wanneer een beveiligingslek in hun product daadwerkelijk door kwaadwillenden wordt misbruikt. Ook ernstige incidenten die de beveiliging van hun producten aantasten, vallen onder de meldplicht.
Het gaat niet alleen om slimme apparaten, maar ook om software, besturingssystemen, mobiele apps en netwerkapparatuur. De regels gelden voor fabrikanten die hun producten op de Europese markt aanbieden, ongeacht waar hun bedrijf gevestigd is.
Binnen 24 uur aan de bel trekken
Fabrikanten mogen niet langer rustig afwachten wanneer ze ontdekken dat hun product een ernstig beveiligingsprobleem heeft.De nieuwe regels schrijven voor dat zij binnen 24 uur een eerste waarschuwing moeten indienen. Binnen 72 uur moet een uitgebreidere melding volgen, met informatie over het probleem en de maatregelen die worden genomen.
Daarna volgt een eindrapport. Bij een actief misbruikte kwetsbaarheid moet dit uiterlijk veertien dagen nadat een oplossing beschikbaar is gesteld worden ingediend. Voor een ernstig incident geldt een termijn van een maand na de uitgebreide melding.
In Nederland verlopen deze meldingen via het Nationaal Cyber Security Centrum (NCSC). Dat zorgt ervoor dat de informatie ook bij de Europese cyberbeveiligingsorganisatie ENISA en betrokken andere EU-landen terechtkomt.
Waarom is dit zo belangrijk?
Stel je voor dat een fabrikant ontdekt dat hackers via een beveiligingslek toegang kunnen krijgen tot duizenden slimme beveiligingscamera's. Daarmee kunnen kwaadwillenden mogelijk meekijken in woningen of bedrijven.
Een vergelijkbaar probleem kan ontstaan bij slimme deursloten, babyfoons of routers. Eén kwetsbaarheid kan gevolgen hebben voor grote aantallen gebruikers, soms verspreid over meerdere landen. Door fabrikanten te verplichten problemen snel te melden, kunnen beveiligingsinstanties eerder reageren en andere organisaties waarschuwen.
Ook moeten fabrikanten getroffen gebruikers waar nodig informeren over het probleem en uitleggen welke maatregelen zij kunnen nemen.
Vanaf december 2027 nog strengere regels
De meldplicht is slechts de eerste stap. Op 11 december 2027 worden de belangrijkste overige verplichtingen van de Cyber Resilience Act van toepassing. Fabrikanten moeten hun producten dan vanaf het ontwerp beter beveiligen. Ze moeten beveiligingsrisico's onderzoeken, kwetsbaarheden aanpakken en gedurende de vastgestelde ondersteuningsperiode beveiligingsupdates beschikbaar stellen.
Ook moeten consumenten duidelijkere informatie krijgen over de veiligheid en ondersteuning van een product.
De CE-markering zal mede aangeven dat een product aan de toepasselijke Europese cyberbeveiligingseisen voldoet.
Wat kun je zelf doen?
De nieuwe Europese regels betekenen niet dat slimme apparaten automatisch veilig zijn. Als gebruiker blijf je zelf ook een belangrijke rol spelen. Controleer regelmatig of er updates beschikbaar zijn voor je router, televisie, beveiligingscamera en andere verbonden apparaten. Schakel automatische updates in wanneer dat mogelijk is en vervang standaardwachtwoorden door sterke, unieke wachtwoorden.
Let bij de aanschaf van een nieuw apparaat bovendien op hoelang de fabrikant beveiligingsupdates belooft te leveren. Een goedkope camera die na twee jaar geen ondersteuning meer krijgt, kan uiteindelijk een onverstandige aankoop blijken.
HCC verwelkomt de aandacht voor betere beveiliging van digitale producten. De nieuwe meldplicht maakt beveiligingsproblemen sneller zichtbaar en moet fabrikanten stimuleren hun verantwoordelijkheid te nemen. Maar digitale veiligheid blijft een gezamenlijke verantwoordelijkheid van fabrikanten én gebruikers.
