Geldt de Cyberresilience Act ook voor uw bedrijf?
De Cyberresilience Act is een Europese verordening die cybersecurity-eisen stelt aan producten met digitale elementen: apparaten en software die kunnen verbinden met een netwerk of ander apparaat. Of die verordening uw bedrijf raakt, hangt vooral af van twee vragen: verkoopt u zo'n product, en in welke rol doet u dat — als fabrikant, importeur, distributeur of als partij die een product onder eigen merk op de markt brengt.
Een webshop die kant-en-klare producten doorverkoopt zonder eigen merk zit meestal in de rol van distributeur, met andere verplichtingen dan een fabrikant. Zodra u een product onder eigen merk of eigen label laat maken, kunt u juridisch als fabrikant worden aangemerkt, ook als u zelf niets produceert. Een definitief antwoord voor uw eigen situatie geeft deze tekst niet — dat hoort bij een jurist of bij de toezichthouder die voor deze verordening is aangewezen.
Wat de verordening precies beoogt te regelen
De Cyberresilience Act richt zich op de levenscyclus van een product: van ontwerp en ontwikkeling tot updates na de verkoop. De gedachte erachter is dat producten met digitale elementen vaak kwetsbaarheden bevatten die pas na verkoop aan het licht komen, en dat daar iets tegenover moet staan: beveiliging die vooraf is meegenomen, en een manier om kwetsbaarheden later nog te verhelpen. Dat raakt dus niet alleen de techniek van een product, maar ook hoe lang en hoe u na de verkoop bereikbaar blijft voor meldingen en updates.
Wanneer dit voor uw bedrijf relevant kan zijn
De kern van de verordening ligt bij producten die software bevatten of die kunnen verbinden met internet, een netwerk of een ander apparaat. Denk aan slimme verlichting, beveiligingscamera's, routers, sensoren voor gebouwbeheer, of apparatuur die via een app wordt bediend. Een installatiebedrijf dat zulke apparatuur verkoopt en plaatst, een webshop die smart-home-producten onder eigen merk voert, of een kantoor dat IoT-apparatuur aan klanten doorlevert, kan in het toepassingsgebied vallen. Een bedrijf dat uitsluitend diensten levert zonder zelf zo'n product op de markt te brengen, hoeft zich doorgaans geen vragen te stellen over deze verordening — al blijft gelden dat dit per situatie verschilt.
Als u producten onder eigen merk verkoopt
Dit is precies het punt waar veel MKB-bedrijven tegen eigen verwachtingen in toch worden geraakt. Een webshop die een fabrikant in Azië laat produceren en het product onder een eigen merknaam verkoopt, wordt voor de toepasselijke regelgeving vaak behandeld als fabrikant, niet als doorverkoper. Dat is dezelfde verschuiving die zich voordoet bij productveiligheid en verpakkingen: de rol die u inneemt bepaalt welke verplichtingen bij u horen, en die rol is niet altijd degene die u zelf zou kiezen. Of dat ook voor de Cyberresilience Act zo uitpakt voor uw specifieke product, staat in de officiële tekst en bij de aangewezen toezichthouder.
Waarom dit zelden op zichzelf staat
Een bedrijf dat onder deze verordening valt, valt vaak ook onder andere regelingen: productveiligheid in algemene zin, mogelijk toegankelijkheidseisen als het product een gebruikersinterface heeft, en persoonsgegevens zodra het apparaat gegevens verzamelt of doorstuurt. Dat is precies de reden waarom het nuttig is één keer in kaart te brengen welke regelingen voor uw bedrijf gelden, in plaats van per vraag opnieuw te beginnen. Reglia is daarbij de schil over de platformen die elk vakgebied inhoudelijk behandelen; u kunt via een overzicht van de aangesloten platformen bekijken om te zien welk platform zich met welk onderwerp bezighoudt.
Wat reglia zelf wel en niet doet met de gegevens die u daarvoor invult, leest u op de pagina over hoe reglia werkt. Zodra u eenmaal een bedrijfsdossier heeft ingevuld, hoeft u dat niet voor elk platform opnieuw te doen, en blijft u zelf overzien welk platform welke gegevens gebruikt.
Twijfelt u of een product dat u verkoopt onder de Cyberresilience Act valt, dan is dat een vraag die thuishoort bij een jurist of bij de toezichthouder die hiervoor is aangewezen. Op de pagina met veelgestelde vragen vindt u meer uitleg over wat reglia wel en niet voor u beantwoordt.
Wilt u weten welke platforms er zijn en welk onderwerp daarmee wordt afgedekt, kijk dan rustig verder bij het aanmaken van een gratis account om te zien wat er voor uw bedrijf beschikbaar is.