Cybersecurity wordt met CRA vast onderdeel van machineontwerp en onderhoud

De Europese Cyber Resilience Act (CRA) stelt fabrikanten van machines, elektronica en andere verbonden producten voor nieuwe uitdagingen. Cybersecurity moet niet alleen tijdens de ontwikkeling worden geregeld, maar gedurende de hele ondersteuningsperiode van een product worden gewaarborgd. Het rapport Transforming Business: AI in the Enterprise en praktijkvoorbeelden van elektronicabedrijf E.D.&A. laten zien wat dit concreet betekent.

De belangrijkste eisen van de Cyber Resilience Act (CRA) worden op 11 december 2027 van toepassing. Ook het beheer van kwetsbaarheden, beveiligingsupdates en documentatie moet vanaf dit moment worden georganiseerd. Zoals bekend, geldt er sinds 11 september 2026 al een meldplicht voor actief uitgebuite kwetsbaarheden en ernstige beveiligingsincidenten.

Het Future Investment Initiative Institute heeft de gids CRA Evaluation and Connectivity Strategy gepubliceerd. Het rapport van de in Riyad gevestigde organisatie bundelt bestaand onderzoek en bijdragen van partners Brookfield, JD.com en Visa. Centraal staat de stap van experimenten naar toepassingen die de productiviteit, dienstverlening en financiële prestaties verbeteren.

In het rapport is onder meer aandacht voor het verschil tussen zelf ontwikkelde communicatiesoftware en ingekochte interfaces. Wie zelf protocolstacks en netwerksoftware ontwikkelt, moet ook de kennis en capaciteit beschikbaar hebben om deze gedurende de ondersteuningsperiode te beveiligen en bij te werken, zo beargumenteerd de gids. Het inkopen van communicatiemodules bij gespecialiseerde leveranciers kan een deel van die werkzaamheden uit handen nemen. De eindverantwoordelijkheid voor de cybersecurity en conformiteit van het complete product blijft echter bij de fabrikant liggen.

Praktijkvoorbeelden

Dat de voorbereiding op strengere cybersecurityregels al in de praktijk plaatsvindt, blijkt uit twee projecten van het Belgische elektronicabedrijf E.D.&A. Bij het eerste project wilde een fabrikant een product met wifi geschikt maken voor de cybersecurityvereisten van de Europese Radio Equipment Directive (RED). Deze eisen gelden sinds 1 augustus 2025 voor draadloze producten die binnen het toepassingsgebied vallen.

E.D.&A. begon daarop met een risicoanalyse om vast te stellen welke wettelijke eisen relevant waren. Daaruit bleek dat voor dit product alleen de vereisten voor netwerkbescherming van toepassing waren. Vervolgens werd het ontwerp getoetst aan de norm EN 18031-1. Ontbrekende beveiligingsmaatregelen werden daarna aangebracht en de technische documentatie werd aangevuld. Het conformiteitsdossier wordt momenteel nog door een onafhankelijke keuringsinstantie beoordeeld.

In een tweede project hield een fabrikant van industriële producten zelf de regie over het conformiteitstraject. E.D.&A. leverde de technische informatie over de ingebouwde beveiliging en voerde verbeteringen door op basis van de bevindingen van een externe beoordelaar. Volgens E.D.&A. ‘vormt het werk dat fabrikanten al voor de RED-richtlijn hebben uitgevoerd een bruikbare basis voor de CRA’.