Levert uw bedrijf producten met digitale elementen — denk aan een slimme thermostaat, software die bij een machine hoort, of een app die met een apparaat communiceert — dan vraagt de Cyberresilience Act om een dossier dat laat zien hoe de cyberveiligheid van dat product is geborgd. In grote lijnen gaat het om een risicobeoordeling van het product, technische documentatie over de werking en beveiliging ervan, een overzicht van de gebruikte software-onderdelen, een proces voor het afhandelen van kwetsbaarheden, en een conformiteitsverklaring. De precieze indeling en benamingen staan in de officiële tekst van de verordening; raadpleeg die, of uw toezichthouder, voor de exacte invulling voor uw product.
Wat dit dossier onderscheidt van bijvoorbeeld een productveiligheidsdossier of een verpakkingendossier, is dat het niet bij oplevering klaar is. Een productveiligheidsdossier beschrijft een product zoals het de deur uitgaat. Het cyberveiligheidsdossier moet ook laten zien wat er gebeurt ná die levering: hoe u kwetsbaarheden opspoort, hoe snel u een update uitbrengt, en hoe u dat vastlegt. Dat is het detail dat bij dit onderwerp het meest speelt, en waar bedrijven die gewend zijn aan eenmalige dossiers het makkelijkst in struikelen.
Wat er doorgaans in het dossier staat
Bij de meeste producten met digitale elementen komt een cyberveiligheidsdossier neer op een combinatie van de volgende onderdelen. Een risicoanalyse die beschrijft welke cyberrisico's bij het product horen en hoe die zijn afgedekt. Een technisch overzicht van de architectuur, inclusief welke software en welke onderdelen van derden erin zitten — vaak aangeduid als een software bill of materials, een lijst van alle softwarecomponenten in het product. Een beschrijving van het proces waarmee u kwetsbaarheden ontdekt, beoordeelt en verhelpt. En een verklaring waarin u aangeeft dat het product aan de geldende eisen voldoet.
Of uw product precies deze stukken nodig heeft, en in welke vorm, hangt af van het type product en de categorie waarin het valt. Dat is een inhoudelijke vraag die buiten wat reglia doet valt; daarvoor is de tekst van de verordening of een jurist het juiste aanknopingspunt. Een eerste oriëntatie over welke verplichtingen bij uw type bedrijf kunnen horen, vindt u bij het overzicht van aangesloten platformen.
Waarom het update-proces apart aandacht verdient
Veel van de andere dossiers die bij een onderneming horen, zijn in essentie een momentopname: u vult ze in, u bewaart ze, en u werkt ze bij als er iets wezenlijks verandert. Het cyberveiligheidsdossier vraagt om iets anders: een lopend proces dat u ook kunt aantonen. Wie meldt een kwetsbaarheid, binnen welke termijn wordt die beoordeeld, en hoe komt een update bij de gebruiker terecht? Dat is niet iets dat u één keer opschrijft en dan laat liggen — het is een onderdeel van het dossier dat blijft meebewegen zolang het product in gebruik is.
In de praktijk betekent dit dat het dossier twee soorten informatie bevat: vaste stukken die veranderen als het product zelf verandert, en een lopend logboek dat meegroeit met elke update of melding. Bedrijven die dat onderscheid niet maken, lopen het risico dat het dossier op papier compleet is maar in de praktijk niet laat zien hoe de beveiliging na levering is bijgehouden. Of en hoe dat voor uw product van toepassing is, beoordeelt u het beste samen met een jurist of de instantie die hierover gaat.
Eén dossier, maar niet uw enige verplichting
Een product met digitale elementen dat u aan consumenten verkoopt, raakt in de praktijk vaak meer dan alleen de Cyberresilience Act. Dezelfde gegevens over het product — specificaties, land van bestemming, verantwoordelijke binnen uw bedrijf — komen ook terug bij productveiligheid, bij verpakkingen en soms bij persoonsgegevens. Reglia vult die regelgeving zelf niet in, maar zorgt ervoor dat u een bedrijfs- en productdossier één keer invult en dat de platformen die er wél inhoudelijk over gaan, dat dossier uitlezen in plaats van dat u het vier keer overtypt. Hoe dat precies werkt en wat reglia wel en niet met die gegevens doet, leest u bij de uitleg over de werking van reglia.
Wie wil weten hoe gegevens daarbij worden beveiligd en wie er toegang toe heeft, vindt dat terug op de pagina over beveiliging en privacy. Een account aanmaken is gratis en verplicht u tot niets; wat u vervolgens bij een platform gebruikt, betaalt u daar, tegen het tarief dat dat platform hanteert.
Benieuwd welke platformen bij reglia zijn aangesloten en welk onderdeel van uw bedrijf elk daarvan raakt? Bekijk de meestgestelde vragen over reglia of neem een kijkje bij het overzicht van beschikbare oplossingen.