Pilz informeert en geeft tips voor de implementatie – juridisch bindend: hoe bedrijven zich nu op de Cyber Resilience Act kunnen voorbereiden

De Cyber Resilience Act (CRA) is onlangs in het Publicatieblad van de EU gepubliceerd. De verordening bevat eisen aan de cyberveiligheid van producten met digitale elementen. Betrokken bedrijven hebben nu 36 maanden de tijd om te voldoen aan de eisen die in de CRA zijn opgenomen. Aan bepaalde meldplichten moet al binnen de komende 21 maanden worden voldaan. Wie is er precies verantwoordelijk? En wat wordt er in de CRA geëist?

EU-wet inzake cyberweerbaarheid: het doel van de CRA is om consumenten en bedrijven beter tegen cyberaanvallen te beschermen. De CRA bevat daarvoor veel eisen voor fabrikanten, importeurs en dealers van producten met digitale elementen die in staat zijn om met andere producten te communiceren. Dit omvat hard- en softwareproducten. Het gaat dus om producten uit zowel de B2C-sector, zoals smartphones of robotstofzuigers, als de B2B-sector, zoals besturingen en sensoren, maar ook op om pure softwareproducten zoals besturingssystemen. De CRA is op 20-11-2024 in het Publicatieblad van de Europese Unie gepubliceerd. Deze wet is als verordening onmiddellijk geldig in de EU-lidstaten.

De belangrijkste eisen voor machinefabrikanten

• Risicobeoordeling en -garantie: fabrikanten moeten producten zodanig ontwerpen en ontwikkelen dat gedurende de gehele productlevenscyclus een passende mate van cyberveiligheid is gegarandeerd.
• Kwetsbaarhedenbeheer: bekende kwetsbaarheden moeten door de fabrikant door middel van gratis beveiligingsupdates worden verholpen, tenzij anders is overeengekomen tussen de fabrikant en de commerciële gebruiker.
• Documentatie: fabrikanten moeten kwetsbaarheden en onderdelen van hun producten identificeren en documenteren.
• Meldplichten: de fabrikant moet een misbruikte kwetsbaarheid binnen 24 uur na ontdekking via het meldingsplatform van het ENISA (European Union Agency for Cybersecurity) melden.

Wat machinefabrikanten nu kunnen doen

Als expert in veilige automatisering adviseert Pilz alle machinefabrikanten om zich op tijd te buigen over de eisen van de CRA en om samen met de onderdelenfabrikanten en de exploitanten samenwerkingsconcepten te ontwikkelen. In welke netwerkzone moet een machine worden gebruikt? Hoe moet er worden omgegaan met software-updates? Als dergelijke vragen vooraf zijn beantwoord, kan elke marktdeelnemer aan zijn nieuwe organisatorische en technische verplichtingen voldoen. Pilz ondersteunt machinebouwers en -gebruikers al tientallen jaren bij de veiligheid van hun installaties en machines – ook bij de nieuwe eisen op het gebied van Industrial Security. Want zonder Security is een machine met getroffen Safety-maatregelen kwetsbaar en onbeschermd. Hier moeten voorzorgsmaatregelen worden getroffen.

2 praktische tips om aan de CRA-eisen te voldoen

1. Altijd up-to-date: met abonnementen op nieuwsbrieven en RSS-feeds op eur-lex.europa.eu blijft u op de hoogte van wetswijzigingen op EU-niveau.
2. Het Common Security Advisory Framework (CSAF) is een gestandaardiseerd opensourceframework voor de communicatie en automatiseerbare verspreiding van machinaal verwerkbare informatie over kwetsbaarheden en mitigatie, zogenaamde security advisories.

• Meer informatie over Industrial Securty vindt u hier