In aanloop naar de CRA: Nuki toont meerwaarde van 'Security-by-Design' en pleit voor eerlijke concurrentie

In dit artikel:

Op 11 september 2026 treden de eerste meldingsverplichtingen van de Europese Cyber Resilience Act (CRA) in werking. Fabrikanten van digitale en verbonden producten moeten dan actief misbruikte kwetsbaarheden en ernstige beveiligingsincidenten melden: binnen 24 uur een eerste waarschuwing en binnen 72 uur een uitgebreidere rapportage. Vanaf 11 december 2027 moeten alle nieuwe producten met digitale elementen volledig aan de CRA voldoen. De wet stelt eisen aan cybersecurity gedurende de hele levenscyclus, van ontwerp en verkoop tot onderhoud en software-updates. Medische hulpmiddelen, burgerluchtvaartproducten en bepaalde voertuigen vallen deels buiten de regels.

Nuki, de Oostenrijkse producent van slimme deursloten, zegt goed voorbereid te zijn omdat het al ruim tien jaar werkt volgens het principe van Security-by-Design. Het bedrijf gebruikt onder meer end-to-endversleuteling, dreigingsanalyses, automatische beveiligingsupdates en hardwarematige bescherming. Volgens Nuki maken de nieuwe meldingsdeadlines duidelijk dat beveiliging niet alleen bij de lancering, maar ook tijdens jarenlang productonderhoud goed georganiseerd moet zijn.

Cybersecurityexperts benadrukken dat alleen procedures op papier niet volstaan. Onafhankelijke tests van software, onlinecommunicatie, apps en hardware zijn nodig, omdat kwetsbaarheden vaak tijdens de uitvoering ontstaan. Zulke controles kunnen bovendien het consumentenvertrouwen vergroten: uit onderzoek van Nuki blijkt dat 44 procent beveiligingszorgen ziet als een belangrijke drempel voor de aanschaf van een elektronisch slot.

Nuki verwelkomt de wet, maar waarschuwt voor de kosten en de gevolgen voor startups. De Europese Commissie raamt de directe nalevingskosten voor de industrie op ongeveer 29 miljard euro, terwijl langdurige updateverplichtingen extra ontwikkelcapaciteit vragen. Daarom pleit het bedrijf voor strenge en uniforme handhaving, zodat onveilige producten niet ongecontroleerd de Europese markt op komen en bedrijven die wel investeren in beveiliging niet worden benadeeld.