CRA stelt eisen aan digitale machinecomponenten
De Cyber Resilience Act (CRA) verplicht fabrikanten om cybersecurity mee te nemen in het ontwerp, de ontwikkeling en het onderhoud van producten met digitale elementen. Voor leveranciers van industriële veiligheidstechniek betekent dat onder meer aandacht voor communicatiebeveiliging, toegangsbeheer en kwetsbaarheden. EUCHNER liet zijn bedrijfs- en ontwikkelingsprocessen certificeren door TÜV als onderdeel van de voorbereiding op de nieuwe Europese eisen.
Security-by-design
Industriële machines wisselen steeds meer gegevens uit met andere systemen. Denk aan elektronische sleutelsystemen voor gebruikersautorisatie en veiligheidsschakelaars die via industriële netwerken met een besturing communiceren. Die connectiviteit maakt productieprocessen flexibeler, maar vergroot ook het potentiële aanvalsoppervlak. Misbruik van kwetsbaarheden kan bijvoorbeeld leiden tot ongewenste wijzigingen in configuraties, verstoring van de communicatie of ongeautoriseerde toegang tot systemen.
De CRA moet dergelijke risico's beperken. Het uitgangspunt is security-by-design: fabrikanten moeten beveiliging vanaf de ontwerpfase meenemen en gedurende de verwachte levensduur van hun producten aandacht besteden aan cybersecurity.
Welke verplichtingen gelden, hangt af van de digitale functionaliteit en het toepassingsgebied van het product. Bij de beoordeling spelen onder meer netwerkverbindingen, gegevensverwerking en de mogelijkheid om via digitale interfaces toegang te krijgen tot functies een rol.
EUCHNER wijst erop dat transpondergecodeerde veiligheidsschakelaars die aan de gebruikerszijde uitsluitend OSSD-signalen leveren, buiten het toepassingsgebied kunnen vallen. OSSD (Output Signal Switching Device) is een veiligheidsgerelateerde schakeluitgang die de status van een beveiligingsvoorziening doorgeeft. De aanwezigheid van zulke uitgangen volstaat op zichzelf echter niet om een product van de CRA uit te sluiten. Doorslaggevend zijn de producteigenschappen en de wettelijke criteria.
Opsporen, beoordelen en verhelpen van kwetsbaarheden
Encryptie van opgeslagen en verzonden gegevens, sterke authenticatie en beperkte toegangsrechten helpen ongewenste toegang te voorkomen. Ook veilige standaardinstellingen zijn belangrijk: onnodige interfaces en diensten moeten worden beperkt en standaardwachtwoorden mogen geen zwakke schakel vormen. Fabrikanten moeten daarnaast een proces inrichten voor het opsporen, beoordelen en verhelpen van kwetsbaarheden, onder meer via beveiligingsupdates. Daarbij horen ook duidelijke afspraken over de ondersteuningsperiode en de beschikbaarheid van updates.
EUCHNER liet zijn bedrijfs- en ontwikkelingsprocessen certificeren door TÜV. Daarmee zet de fabrikant een stap in de voorbereiding op de CRA. Een certificering van bedrijfsprocessen is niet hetzelfde als een conformiteitsbeoordeling van afzonderlijke producten. Of een product aan de CRA voldoet, moet worden vastgesteld volgens de toepasselijke procedure.
Beveiliging van een machine
Machinebouwers doen er goed aan de cybersecurity van geïntegreerde componenten mee te nemen in hun ontwerpkeuzes. Daarbij zijn niet alleen de functies en aansluitingen van belang, maar ook de beschikbare beveiligingsdocumentatie, de omgang met kwetsbaarheden en de ondersteuning door de leverancier. De beveiliging van een machine hangt immers mede af van de manier waarop componenten met elkaar en met externe systemen communiceren.
De CRA geldt ook voor fabrikanten buiten de Europese Unie die producten binnen het toepassingsgebied op de Europese markt brengen. Sinds 11 september 2026 gelden de meldingsverplichtingen voor actief uitgebuite kwetsbaarheden en ernstige incidenten. Fabrikanten moeten daarbij in beginsel binnen 24 uur een eerste waarschuwing versturen en binnen 72 uur aanvullende informatie melden.
De belangrijkste productverplichtingen worden vanaf 11 december 2027 van toepassing. Tijdige aandacht voor componentkeuze, ontwikkelingsprocessen en documentatie helpt fabrikanten en machinebouwers zich daarop voor te bereiden.