Keurmerk voor slimme apparaten: wat de Cyber Resilience Act betekent

Er hangt een slimme thermostaat aan de muur, er staat een netwerkprinter in de gang en op de vergaderzaal zit een camera. Handig, en meestal binnen tien minuten geïnstalleerd. Maar zo’n apparaat hangt wel aan hetzelfde netwerk als je administratie. En bij veel van dit soort producten is nooit iemand langsgekomen om te controleren of de beveiliging klopt.

Dat verandert. In de Verenigde Staten kwam er begin 2025 een vrijwillig label voor consumentenapparatuur, de U.S. Cyber Trust Mark. In Europa gaat het verder: hier komt geen vrijwillig keurmerk, maar wetgeving. De Cyber Resilience Act verplicht fabrikanten om producten met een digitaal onderdeel veilig te bouwen en veilig te houden. Voldoen ze niet, dan mag het product de Europese markt niet op.

In dit artikel lees je wat de Cyber Resilience Act inhoudt, wanneer wat ingaat, en vooral: waar je nu al op kunt letten als je iets aanschaft dat verbinding maakt met internet.

Waarom er regels komen

Slimme apparaten zijn goedkoop geworden. Dat is prettig, maar het heeft een keerzijde: bij een product van dertig euro is er vaak geen budget voor jarenlange beveiligingsupdates. Het gevolg is een categorie apparatuur die na twee jaar stilletjes stopt met updaten, terwijl hij nog vrolijk aan je netwerk hangt.

Aanvallers weten dat. Een onbeheerde camera of NAS is een prima opstapje: eenmaal binnen kan iemand meekijken op het netwerk, verkeer aftappen of het apparaat gebruiken als vertrekpunt richting je werkplekken. We schreven eerder over signalen dat een slim apparaat gehackt is en over nieuwe manieren om IoT-apparaten te beveiligen.

Tot nu toe lag de last vrijwel volledig bij de koper. Jij moest maar uitzoeken of een fabrikant updates levert. De Cyber Resilience Act draait dat om: de fabrikant moet het regelen, en moet kunnen aantonen dat hij het geregeld heeft.

Wat is de Cyber Resilience Act?

De Cyber Resilience Act (CRA) is een Europese verordening die cybersecurity-eisen stelt aan producten met digitale elementen. Dat is een brede definitie: hij dekt hardware met software erin, maar ook losse software. Denk aan routers, camera’s, slimme sloten, netwerkprinters, industriële sensoren, maar ook besturingssoftware en apps die zelfstandig verkocht worden. Vrijwel alle digitale producten die je als bedrijf aanschaft, vallen dus onder de CRA.

De kern is dat een product veilig moet zijn op het moment dat het op de markt komt, en veilig moet blíjven gedurende de verwachte levensduur. Voldoet een fabrikant, dan komt dat tot uiting in de CE-markering die je al kent van elektrische veiligheid. Er komt dus geen apart logo dat je moet leren herkennen: de CE-markering gaat straks ook over digitale veiligheid.

Wat moet een fabrikant regelen?

De eisen zijn concreter dan je zou verwachten. Een paar van de belangrijkste:

• Geen standaardwachtwoorden. Producten mogen niet meer allemaal met hetzelfde admin-wachtwoord uit de doos komen.
• Veilige standaardinstellingen. Het apparaat moet uit de doos veilig staan ingesteld, niet pas nadat jij tien vinkjes hebt omgezet.
• Beveiligingsupdates gedurende de ondersteuningsperiode. De fabrikant moet die periode ook duidelijk communiceren, zodat je vooraf weet waar je aan toe bent.
• Versleuteling van gevoelige gegevens, in opslag en tijdens transport.
• Kwetsbaarheden melden en oplossen. Fabrikanten moeten actief misbruikte kwetsbaarheden en ernstige incidenten melden bij de toezichthouder, en gebruikers informeren.
• Inzicht in de gebruikte componenten. Fabrikanten moeten weten welke softwareonderdelen in hun product zitten, zodat ze bij een lek snel kunnen zien of ze geraakt worden. Dat sluit aan op wat we schreven over kwetsbaarheden en patchmanagement.

Wanneer gaat het in?

De verordening is eind 2024 in werking getreden, maar met een ruime overgangsperiode. De meldplicht voor actief misbruikte kwetsbaarheden en ernstige incidenten geldt vanaf september 2026. De volledige set verplichtingen — inclusief de eisen waaraan een product moet voldoen om verkocht te mogen worden — gaat in december 2027 in. Twee datums dus: vanaf september 2026 de meldplicht, vanaf december 2027 de eisen aan digitale producten zelf.

Daarnaast gelden er sinds augustus 2025 al cybersecurity-eisen voor radioapparatuur: alles wat draadloos verbindt, dus vrijwel elk wifi- of bluetooth-apparaat. Die eisen gaan over netwerkbescherming, privacy en fraudepreventie. Met andere woorden: het is niet iets van later. Een deel loopt al.

Wat betekent dit voor jou als koper?

Op termijn: minder uitzoekwerk. Als de regels volledig gelden, is een product dat legaal in de EU verkocht wordt per definitie aan een basisniveau getoetst. Dat maakt inkoop makkelijker.

Tot die tijd verandert er in de winkel weinig. Er ligt de komende jaren nog volop voorraad die onder de oude regels is gemaakt. En de CRA regelt de ondergrens, niet de bovengrens: een product kan voldoen en toch slecht bij jouw situatie passen.

Een voorbeeld uit de praktijk. Een klein adviesbureau kocht vier goedkope netwerkcamera’s voor het pand. Ze werkten prima. Twee jaar later bleek de fabrikant gestopt met updates, terwijl de camera’s in dezelfde netwerksegment stonden als de werkplekken. Het probleem was niet dat er iets ergs was gebeurd — het probleem was dat niemand het wist. Er stond geen einddatum op de doos, en niemand hield het bij.

Zo pak je het aan

Ook zonder wetgeving kun je nu al een stuk beter inkopen. Een werkwijze die in de praktijk goed werkt:

1. Vraag naar de ondersteuningsperiode voordat je koopt. Tot welke datum levert de fabrikant beveiligingsupdates? Staat dat nergens, beschouw dat als een antwoord.
2. Zet die datum in je inventarisatie. Een simpele lijst met apparaat, aanschafdatum en einddatum ondersteuning is genoeg. Zonder lijst weet je het over drie jaar niet meer.
3. Wijzig het standaardwachtwoord bij installatie. Altijd, ook bij het onschuldigste apparaat. Gebruik hiervoor een wachtwoordmanager, geen briefje.
4. Zet automatische updates aan waar dat kan, en plan een halfjaarlijkse controle voor de apparaten die dat niet kunnen.
5. Scheid slimme apparaten van je werkplekken. Een apart netwerk of VLAN voor camera’s, thermostaten en printers beperkt de schade als er iets misgaat. Zie ook IoT uitrollen op je bedrijfsnetwerk.
6. Zet een einddatum in de agenda. Loopt de ondersteuning af, dan vervang of isoleer je het apparaat. Niet: laten hangen en hopen.

En de apparaten die je nu al hebt?

Die vallen niet met terugwerkende kracht onder de nieuwe eisen. Daar geldt gewoon het bekende werk: firmware bijwerken, standaardwachtwoorden vervangen, functies uitzetten die je niet gebruikt (denk aan UPnP of externe toegang), en een sterk wachtwoord op je wifi. Voor apparaten thuis of in kleine kantoren hebben we dat uitgewerkt in je slimme huis veilig houden.

Kom je een apparaat tegen dat al jaren geen update meer heeft gekregen en waarvan de fabrikant niets meer laat horen: dat is geen apparaat om nog aan je bedrijfsnetwerk te hangen. Vervangen of volledig isoleren zijn dan de reële opties.

Veelgestelde vragen

Geldt de Cyber Resilience Act ook voor mijn bedrijf, of alleen voor fabrikanten?

De verplichtingen liggen bij fabrikanten, importeurs en distributeurs. Als je alleen apparaten koopt en gebruikt, krijg je er vooral indirect mee te maken: het aanbod wordt veiliger en de informatie over ondersteuning wordt duidelijker. Maak je zelf software of hardware die je op de markt brengt, dan raakt de wet je wél direct.

Is dit hetzelfde als NIS2?

Nee. NIS2 gaat over de beveiliging van organisaties in bepaalde sectoren: hoe jij je IT en je keten op orde hebt. De CRA gaat over producten: hoe veilig het spul is dat op de markt komt. Ze vullen elkaar aan. Meer over de eerste lees je in wat NIS2 voor je bedrijf betekent.

Betekent een CE-markering straks dat een apparaat veilig is?

Het betekent dat de fabrikant verklaart aan de eisen te voldoen. Dat is een basisniveau, geen garantie tegen alles. Je blijft zelf verantwoordelijk voor hoe je het apparaat instelt, waar je het in je netwerk plaatst en of je updates installeert.

Moet ik wachten met aanschaffen tot 2027?

Nee. Uitstellen levert weinig op en kost je nu functionaliteit. Koop wat je nodig hebt, maar vraag naar de ondersteuningsperiode en houd bij wat je in huis hebt. Dat is de winst die je nu al kunt pakken.

Voor welke producten geldt de Cyber Resilience Act?

Voor producten met digitale elementen: hardware, software en de combinatie daarvan. Fabrikanten, importeurs en distributeurs die zulke producten op de markt brengen, moeten kunnen aantonen dat het product aan de eisen voldoet. Voor de meeste producten mag de fabrikant dat zelf beoordelen; voor een beperkte lijst met extra gevoelige categorieën is een beoordeling door een externe partij nodig.

Twijfel je of de slimme apparatuur in je pand nog veilig meedraait, of wil je vooraf weten waar je bij inkoop op moet letten? We kijken graag met je mee — van een korte inventarisatie tot het netjes scheiden van je netwerk. Bel 030-7115791 of mail info@okayict.nl.