Het woord fabrikant betekent nu u
De EU Cyber Resilience Act trad in december 2024 in werking, en de definitie van een fabrikant is ruimer dan de meeste besturen aannemen. Hij omvat elk product met digitale elementen dat op de Europese markt wordt gebracht: een verbonden machine, een industriele besturing, een medisch hulpmiddel, een consumentengadget of een stuk op zichzelf staande software. Als uw product met een netwerk communiceert, valt het binnen de reikwijdte, en dat geldt ook voor de importeurs en distributeurs die het op de markt brengen.
Voor een family office of een Mittelstand-eigenaar is het ongemakkelijke deel de herclassificatie. Een bedrijf dat al drie generaties lang precisiemachines bouwt en zichzelf nooit een softwarebedrijf heeft genoemd, is in de ogen van het EU-recht nu een gereguleerde softwareleverancier. De regel reikt ook verder dan de Unie. Een fabrikant waar ook ter wereld gevestigd die op de Europese markt verkoopt, draagt dezelfde plichten als een fabrikant gevestigd in Frankfurt.
Een klok van 24 uur die u niet beheerst
De eerste harde deadline is dichtbij. Vanaf 11 september 2026 start een actief misbruikte kwetsbaarheid of een ernstig beveiligingsincident een vaste meldingscascade via een enkel Europees platform. Een vroege waarschuwing is verschuldigd binnen 24 uur, een vollediger melding binnen 72 uur en een eindrapport binnen 14 dagen na het uitbrengen van een oplossing of tijdelijke maatregel. De klok wacht niet op uw juridische toetsing of uw communicatieplan.
Die timing is de operationele schok. Het venster van 24 uur opent tijdens het ergste moment van een incident, wanneer de informatie onvolledig is en de neiging bestaat om niets te zeggen totdat de feiten duidelijk zijn. De Act neemt die optie weg. Een organisatie die een fout niet binnen een dag kan detecteren, beoordelen en melden, mist de deadline, niet omdat het haar aan goede wil ontbreekt, maar omdat ze nooit de machinerie heeft gebouwd om zo snel te bewegen.
CE-markering, en een boete op maat van uw omzet
De bredere verplichtingen volgen op 11 december 2027. Vanaf die datum heeft een product met digitale elementen een CE-markering nodig die certificeert dat het is gebouwd met security by design, wordt geleverd zonder bekende exploiteerbare defecten en gedurende een vastgestelde ondersteuningsperiode beveiligingsupdates ontvangt. Naleving is geen eenmalige test voor de lancering, het is een plicht die loopt gedurende de ondersteunde levensduur van elk exemplaar dat u hebt verkocht.
De handhaving heeft gewicht. Nationale markttoezichtautoriteiten houden toezicht op de regels, en Duitsland heeft al een eerste ontwerp van de wet uitgebracht om zijn bevoegde autoriteit aan te wijzen. Boetes voor het niet voldoen aan de kernvereisten lopen op tot 15 miljoen euro of 2,5 procent van de wereldwijde jaaromzet, afhankelijk van wat hoger is. Voor een winstgevende middelgrote fabrikant is het omzetcijfer datgene wat de aandacht in de zaal zou moeten scherpstellen.
Lees hierna: Is uw cyberverdediging klaar voor aanvallen op machinesnelheid? · Uw versleuteling verloopt ooit