Wie werkt de software bij nadat een machine is afgeleverd? Welke toepassingen kan de onderhoudsprovider van de klant bereiken? Als er een kwetsbaarheid in een onderdeel wordt gemeld, wie identificeert dan de getroffen klanten?
De Cyber Resilience Act maakt deze vragen onderdeel van productontwerp en ondersteuning tijdens de levensduur. Verkoopt een machinebouwer verbonden apparatuur in de EU? Dan moeten ontwikkeling, productbeheer, service en verkoop samen vastleggen welk product zij ondersteunen.
Definieer het product voordat u het werk toewijst
De CRA reguleert de cyberbeveiliging voor producten met digitale elementen die op de EU-markt beschikbaar worden gesteld. Toepassingsgebied omvat beoogde of voorzienbare directe of indirecte verbindingen met een ander apparaat of netwerk. Alleen controleren of een machine direct is blootgesteld aan internet mist een deel van de beoordeling.
Bekijk de controller, HMI, industriële computer, lokale applicaties en externe verwerking die nodig zijn voor de functies van het product. Leg vast wat u onder uw naam aanbiedt en welke functies daarbij horen. Deze grens bepaalt welk bewijsmateriaal u nodig heeft van leveranciers en welke verantwoordelijkheden uw eigen team moet dragen.
Rapportage is al een operationele verantwoordelijkheid
De belangrijkste CRA-vereisten zijn van toepassing vanaf 11 december 2027. Artikel 14-rapportageplichten voor actief misbruikte kwetsbaarheden en ernstige incidenten die de beveiliging van het product beïnvloeden, zijn begonnen op 11 september 2026.
De implementatietijdlijn van de Commissie scheidt deze fasen. Bij eerdere producten moet ook rekening worden gehouden met de rapportage. Voor andere eisen is het van belang of een product dat vóór de hoofdtoepassingsdatum op de markt is gebracht, daarna een substantiële wijziging ondergaat.
Voor meldplichtige gebeurtenissen is een vroege waarschuwing nodig binnen 24 uur nadat de fabrikant ermee bekend is geworden. Een uitgebreidere melding volgt binnen 72 uur. Bij een actief misbruikte kwetsbaarheid volgt het eindrapport binnen 14 dagen nadat een correctie beschikbaar is. Bij een ernstig incident volgt het binnen één maand na de 72-uursmelding. De CRA-meldrichtlijnen lichten beide procedures toe.
Verwerk deze termijnen in een bruikbare serviceprocedure. Leg het meldadres vast. Wijs een beoordelaar, vervanger en contactpersoon voor klanten aan. Een machinestilstand is niet automatisch een meldplichtig cybersecurity-incident. Het team moet het effect op de beveiliging van het product beoordelen.
Stem verkoopafspraken af op het ondersteuningsplan
Beschouw een illustratieve machine die bedoeld is voor twaalf jaar gebruik. Een softwarecomponent in zijn ontwerp bereikt na vijf jaar het einde van de leveranciersondersteuning. Engineering heeft een plan nodig om dat onderdeel te updaten, vervangen of anderszins te onderhouden terwijl de machine wordt ondersteund.
De CRA-ondersteuningsperiode moet aansluiten op het verwachte gebruik van het product. Doorgaans is deze minimaal vijf jaar, met een uitzondering voor producten met een korter verwacht gebruik. Dit minimum betekent niet dat vijf jaar voor elke industriële machine volstaat.
Verkoop moet kunnen uitleggen wanneer de ondersteuning eindigt en hoe updates worden geleverd. Inkoop moet de ondersteuningstermijnen van leveranciers kennen. Ontwikkeling bepaalt welke tests nodig zijn als een softwareafhankelijkheid verandert. Service moet kunnen vaststellen welke versie bij de klant draait. Deze afspraken bepalen mede de productkosten en onderhoudsplanning.
Wijs een verantwoordelijke voor servicetoegang aan
Stel u voor dat een klant van onderhoudsaanbieder verandert. De toegang voor de oude provider moet worden verwijderd en de nieuwe provider heeft de juiste machtigingen nodig. Het proces mag niet afhankelijk zijn van het delen van één wachtwoord of het openen van het hele machinenetwerk.
Definieer de toegang rond applicaties en bronnen. Een technicus die diagnoses leest en een ingenieur die een PLC-programma wijzigt, hebben verschillende rechten nodig. Leg de goedkeuring van de klant vast, de beoogde resource en wie de toegang zal intrekken wanneer de taak eindigt. Maak verwijdering net zo eenvoudig te vinden als het verlenen van toegang.
Orenda Connect biedt versleutelde connectiviteit via het peer-to-peer-netwerk van Diode. Geautoriseerde gebruikers bereiken geselecteerde bronnen zonder openbare inkomende servicepoorten. Organisatiegebruikers en -groepen vormen de basis voor machtigingen. Connect vereist geen speciale hardware.
Plan lokale applicaties en hardware apart
Waar de machine lokale gegevensverzameling en toepassingen nodig heeft, biedt Orenda Box die omgeving. Het biedt een TPM-basis van vertrouwen, ondertekende updatereleases en 10 jaar hardwarebeschikbaarheid. Beschikbaarheid van hardware is een aparte verplichting naast de periode van softwarebeveiligingsondersteuning. Vermeld beide in het productplan.
Apps uit App Market gebruiken gedeelde identiteit en toegangsbeheer. De Box-beheerder keurt de gevraagde rechten goed. Ontwikkelaars kunnen deze beveiligingsmaatregelen in hun app opnemen. De machinefabrikant legt de geïnstalleerde apps en goedgekeurde rechten vast als onderdeel van de geleverde configuratie.
Wat moet er klaar zijn bij de productrelease?
Voor producten die binnen de scope vallen, horen de toepasselijke conformiteitsbeoordeling, EU-conformiteitsverklaring en CE-markering bij de voorbereiding van de release. Het team moet kunnen uitleggen hoe het ontwerp tegemoetkomt aan de cybersecurity-eisen. Componentrecords, beveiligingstests, update-instructies en klantinformatie moeten de geleverde versie beschrijven.
Volg drie praktische beslissingen tijdens de releasebijeenkomst: beoordeling en correctie van bekende kwetsbaarheden; verificatie van klant- en servicemachtigingen; en eigenaarschap van ondersteuning en rapportage. Gebruik de technische documentatiegids van CRA om de gedetailleerde records met elkaar te verbinden.
In een Orenda-discussie over de servicearchitectuur kunnen we bekijken hoe uw team vandaag de dag machines bereikt en hoe een correctie een klant bereikt. Toegang, lokale applicaties en ondersteuningsgegevens kunnen dan passen bij de levenscyclus van het product dat u levert.
