Van RED naar CRA: cybersecurity in de praktijk

Voor draadloze producten maakt cybersecurity vandaag al deel uit van de CE-markering. Sinds 1 augustus 2025 moet elk draadloos product dat op de Europese markt wordt gebracht voldoen aan de cybersecurityvereisten van de RED-richtlijn, doorgaans via toepassing van de geharmoniseerde norm EN 18031. Dit geldt ook voor bestaande productontwerpen die nog steeds op de markt worden aangeboden.

De rolverdeling is dezelfde als bij elk ander CE-traject. U bepaalt als fabrikant de richting en neemt de beslissingen. Wij brengen onze expertise in voor de technische implementatie. Aan de hand van twee praktijkvoorbeelden tonen we hoe die rolverdeling er in de praktijk kan uitzien.

Hoe pakken wij cybersecurity aan bij onze klanten?

Voorbeeld 1: bepalen wat van toepassing is en de hiaten wegwerken 

Een klant kwam naar ons met een duidelijke ambitie: het WiFi-product moest voldoen aan de cybersecurityvereisten van de RED-richtlijn.

De eerste stap was een risicoanalyse om te bepalen welke van de artikelen 3.3(d), (e) en (f) van toepassing waren. Wij leverden alle technische informatie aan die nodig was voor deze beoordeling. De onderbouwde conclusie was dat uitsluitend artikel 3.3(d), bescherming van het netwerk, van toepassing bleek te zijn. Daardoor kon de rest van het project zich volledig richten op EN 18031-1.

Vervolgens doorliepen we samen met de klant de norm, eis per eis, om na te gaan waar het product reeds voldeed en welke onderdelen nog ontbraken. We werkten de vastgestelde hiaten weg en leverden de technische input voor de documentatie. Het volledige conformiteitsdossier wordt momenteel beoordeeld door een onafhankelijke notified body.

Voorbeeld 2: de klant stuurt, wij leveren

Een fabrikant van industriële producten beheerde het conformiteitstraject zelf en schakelde al in een vroeg stadium een onafhankelijke partij in.

Wij leverden alle technische informatie over de manier waarop de beveiliging in het product was geïmplementeerd. Op basis van de bevindingen van de  versterkten we vervolgens de beveiliging van het product verder. Een goede samenwerking tussen de klant, de beoordelaar en onze engineers zorgde ervoor dat het project op koers bleef.

Technische bouwstenen

Welke aanpak een klant ook kiest, de technische basis is vaak dezelfde. Typische bouwstenen die wij implementeren en documenteren zijn:

• Secure boot: het toestel start uitsluitend firmware op waarvan de authenticiteit aantoonbaar is.
• Veilige updates: alleen geautoriseerde en geverifieerde firmware kan worden geïnstalleerd.
• Beveiligd flashgeheugen: firmware en gevoelige gegevens worden beschermd tegen uitlezen en manipulatie.
• Controle van afhankelijkheden: softwarecomponenten van derden worden gecontroleerd op gekende kwetsbaarheden.

Een voorsprong richting CRA

Nu de RED-cybersecurityvereisten van kracht zijn, starten bedrijven die reeds risicoanalyses op basis van EN 18031 hebben uitgevoerd, beveiligingsmaatregelen hebben geïmplementeerd en de nodige documentatie hebben opgesteld, niet vanaf nul bij de voorbereiding op de CRA.

Aangezien de ontwerpversie van de CRA-productnorm (prEN 40000-1-4) grotendeels gebaseerd is op EN 18031, kan een belangrijk deel van het reeds uitgevoerde werk worden hergebruikt en verder worden uitgebreid richting CRA-compliance in december 2027.

Wat hebben we geleerd?

• Start met de juiste vraag. Een goed onderbouwde risicoanalyse bepaalt welke vereisten van toepassing zijn en voorkomt onnodig werk.
• U bepaalt de richting, wij verzorgen de implementatie. U kent het product en de manier waarop het wordt gebruikt. Wij kennen de elektronica en firmware. Samen werken we eventuele hiaten snel en efficiënt weg.
• Betrek externe experten tijdig. Verschillende partijen kunnen u ondersteunen bij het opzetten van de vereiste processen en beleidslijnen, en bij de beoordeling van uw product. Vaststellingen tijdens de ontwikkelingsfase zijn doorgaans veel eenvoudiger aan te pakken dan vlak voor de productlancering. Voor kmo's kan de SECURE-subsidieoproep bovendien helpen om een deel van de kosten te financieren.
• De juiste ingesteldheid maakt het verschil. In elk project bleek de proactieve houding van de klant een belangrijke succesfactor.

Daarom raden we bedrijven aan om niet te wachten tot 2027, maar vandaag al inzicht te krijgen in de impact van cybersecurity op hun producten.

Klaar voor de volgende stap?

Of u nu bezig bent met RED-compliance of zich wilt voorbereiden op de Cyber Resilience Act, een eerste analyse van uw productportfolio is vaak de meest waardevolle stap.

Samen bekijken we welke vereisten van toepassing zijn, welke risico's aandacht vragen en welke technische maatregelen nodig zijn om uw producten toekomstbestendig te maken.

Bijkomende informatie:

• In onze whitepaper "The rules are changing – 'REDy' or not?" (mei 2025) gingen we dieper in op cybersecurity voor radioproducten onder de REDrichtlijn. Download via onderstaande button.
• In de whitepaper "CRA: Software compliance on the rise, first steps toward 2027" (april 2026) blikten we vooruit op de Cyber Resilience Act. Download via onderstaande button.