Nieuwe regels voor cyberveiligheid - en nu is het urgent [column van Ulf Seijmer]

Ulf Seijmer: Je hoeft niet lang door de nieuwsfeed te scrollen om te beseffen dat veiligheidskwesties steeds belangrijker worden. Maar ik heb het niet over het vastmaken van ankers aan de boeg van halfgare boten die ronddobberen in de Oostzee, waarvan de eigenaar niet duidelijk is – of het plaatsen van borden met 'ankerverbod' in meerdere talen. Nee, ik heb het over wat ons in het dagelijks leven veel dichterbij staat: elektronica, connected gadgets en hardware die nu ons leven doordringen.

Nu wordt de beveiliging opgevoerd. Er komt een nieuwe standaard om de eisen voor Cyberbeveiliging. Vanaf augustus 2025 (dat had 2024 moeten zijn, maar het is nu 2025) worden technologiebedrijven geconfronteerd met een nieuwe realiteit. De vernieuwde EU-richtlijn voor radioapparatuur (RED) brengt strengere regels voor cybersecurity met zich mee – regels die van toepassing zijn op alles, van smartwatches tot netwerkapparatuur en IoT-sensoren. Het lastige is dat uw product zonder deze markering niet voldoet aan de CE-markering. En bent u er nog niet klaar voor? Dan kan het zijn dat u het product niet meer moet verkopen totdat u kunt bewijzen dat het wel voldoet! Zoals altijd met nieuwe regelgeving, verschuilen de slijmkruipers zich in de kleine details.

Mooie beloften en strenge eisen

De eisen voor cyberbeveiliging zijn duidelijk. Vanaf augustus 2025 moet radioapparatuur die persoonsgegevens verwerkt of is aangesloten op netwerken, ervoor zorgen dat: bescherming voor de persoonlijke gegevens en privacy van de gebruiker. U wilt voorkomen dat de apparatuur een bedreiging vormt voor het netwerk of de gebruikers. Daarnaast moet u over robuuste mechanismen beschikken tegen cyberbedreigingen.

Voor degenen die bij hun productontwikkeling niet rekening hebben gehouden met cybersecurity, kan het gaan om fabrikanten die werken aan het dichten van beveiligingslekken en bestaande kwetsbaarheden. Op de lange termijn gaat het echter om het bouwen van oplossingen met "Security by Design", waarbij beveiliging vanaf de tekentafel tot aan de lancering is opgenomen.

Er is veel onzekerheid over welke norm moet worden gecertificeerd om aan de eisen te voldoen. De Europese Commissie heeft dit tot in het absurde uitgerekt. De onzekerheid over wat van toepassing is, is te vergelijken met het bouwen van een huis, maar niet precies weten welke bouwnormen van toepassing zullen zijn. Mocht u wachten en het risico lopen op vertragingen, of neem een kans en riskeer het bouwen over alles? Tot voor kort was de meeste informatie beschikbaar op internet en het wees naar een andere standaard dan die waar men mee bezig was. Het is dus alsof je een huis bouwt op basis van YouTube-video's, waarbij je in de verkeerde filterbubbel terechtkwam en aanbevelingen kreeg die compleet onjuist waren. Dat is de positie waarin veel ontwikkelaars zich tot nu toe bevonden.

Om het leven gemakkelijker te maken voor iedereen die met hardware werkt, is er veel tijd gegeven om de producten aan te passen, maar het was niet duidelijk waaraan ze zich moesten aanpassen. Een redelijke termijn? Minder dan zes maanden. Binnen deze termijn moeten alle producten die binnen de categorie vallen, getest en geverifieerd worden aan de hand van de EN 18031–1:2024-norm, aldus een verklaring van PTS. De doelstelling is messcherp, maar de termijn voelt net zo realistisch aan als wanneer wij binnen vijf jaar een rijtjeshuis op de maan bouwen (gebaseerd op YouTube-gidsen). Dus hier introduceer ik een echte hoofdpijn: tijd. Als je dit echt gaat doen, als je het zelf niet weet, moet je een geaccrediteerd laboratorium inschakelen.

Wat staat er op het spel?

De gevolgen van een gebrek aan voorbereiding kunnen kostbaar zijn. Zonder de juiste CE-markering mag u uw producten niet binnen de EU verkopen. Het niet naleven van de CE-markering kan leiden tot boetes en juridische risico's, en een onveilig product is geen goed product – helaas vergeten klanten een inbreuk niet. werken met kritische informatie heeft Je weet dit waarschijnlijk al. Veel bedrijven in CCS hebben een voorsprong. Cybersecurity staat al een tijdje op de agenda.

Zo neem je nu de controle

Wacht niet. Begin met het analyseren van uw producten en ontdek welke producten onder RED vallen en hoe veilig ze momenteel zijn. Neem contact op met de fabrikant of maak uw eigen plannen. Het inhuren van testbureaus en certificeringsinstanties kan u helpen uw producten te verifiëren en inzicht te krijgen in de vereisten, als iemand überhaupt tijd heeft voor uw product. Daarnaast moet u rekening houden met onverwachte gebeurtenissen door middel van risicoanalyse en preventief werk.

Maar ik wil ook benadrukken dat cybersecurityvereisten niet alleen over naleving gaan. Ze gaan niet alleen over show een certificaat in augustus, zonder een continue en moeizame tocht om de boeven weg te houden van het blik dat u aan uw klant verkoopt. En helaas gaat het hier niet om het vastlassen van een paar ankers aan de boeg van buitenlandse schepen, dit is mijnwater met veel bodem, storingen op de GPS en zonder een adequate nautische kaart.