In september 2020 opende een medewerker van het Britse waterbedrijf South Staffordshire PLC een phishingmail. Het was, naar verluidt, een overtuigende. Er werd kwaadaardige software geïnstalleerd. Vervolgens gebeurde er bijna twintig maanden lang ogenschijnlijk niets.
Achter de schermen hadden aanvallers echter volledige beheerderstoegang tot de systemen van het bedrijf gekregen. Ze bleven. Ze keken rond. Ze bewogen zich ongehinderd door de omgeving. Tegen de tijd dat iemand het ontdekte, was 4,1 terabyte aan data buitgemaakt en gepubliceerd op het dark web. De persoonsgegevens van ongeveer 633.000 klanten waren gecompromitteerd.
De boete bedroeg ongeveer één miljoen euro. Aanzienlijk, maar niet fataal. De reputatieschade, de impact op klanten en de verstoring van de dienstverlening wogen uiteindelijk waarschijnlijk zwaarder.
Dit incident staat niet op zichzelf. Steeds vaker zien toezichthouders en organisaties vergelijkbare patronen terug.
Jarenlang was de aanpak van cyberbeveiliging in veel sectoren grotendeels gebaseerd op vrijwillige standaarden. Er bestonden natuurlijk kaders, zoals ISO 27001, NIS2, EN 18031 en EN 303645 en meer (met hier wat EU-focus, maar elke regio heeft zijn equivalent, zoals NIST CSF in de VS). Organisaties werden aangemoedigd om ze over te nemen. Velen deden dat. Velen ook niet, of maar gedeeltelijk, of behandelden ze als een certificering op één moment in plaats van als een doorlopende operationele verplichting.
Wetgevers en toezichthouders hebben dit patroon lang genoeg aangezien. De conclusie die ze trokken was niet onredelijk: wanneer de gevolgen van slechte beveiliging verder reiken dan de organisatie zelf, naar klanten, naar kritieke infrastructuur, naar de openbare veiligheid, dan schiet vrijwillige naleving tekort.
De EU Cyber Resilience Act (en voor het VK het aankomende Cyber Security and Resilience Bill) is het belangrijkste wetgevende antwoord op die conclusie. De wet geldt voor elke organisatie die verbonden producten produceert of verkoopt op de Europese markt. Het is geen checklist. De wet schrijft niet precies voor hoe beveiliging moet worden bereikt. Wat de wet wel doet, is organisaties verplichten om systematisch, risicogestuurd na te denken over de beveiliging van hun verbonden producten of assets, en dat niet alleen bij de lancering, maar gedurende de hele levensduur.
Dat laatste deel is waar de meeste organisaties nog niet bij zijn.
Van oudsher was productbeveiliging vooral een zorg op het moment van lancering. U bouwde het apparaat, u certificeerde het, u verscheepte het. Misschien kocht u het met alle certificeringen al bevestigd. Beveiliging was daarna andermans probleem, of dat nu de OEM was, de connectiviteitsleverancier of uw IT-afdeling.
De CRA neemt die dubbelzinnigheid volledig weg. Beveiliging is nu een verantwoordelijkheid voor de hele levensduur. Kwetsbaarhedenbeheer, firmware-updates, patchimplementatie, het melden van inbreuken, incidentrespons: dit zijn doorlopende verplichtingen, geen eenmalige activiteiten. Voor een apparaat met een operationele levensduur van tien of vijftien jaar is dat een fundamenteel andere uitgangssituatie dan wat de meeste product- en engineeringteams ooit hebben moeten inplannen.
Dit speelt vooral bij IoT en verbonden apparaten, die een heel andere uitdaging vormen dan traditionele IT-systemen. Een beheerd laptoppark, zoals smartphones, desktops en standaard bedrijfsendpoints, werkt binnen een relatief gecontroleerde omgeving, met gestandaardiseerde tooling, bekende besturingssystemen en directe beheerderstoegang. IoT-apparaten werken niet zo. Ze staan verspreid over locaties die u misschien niet beheert, draaien op uiteenlopende en soms propriëtaire besturingssystemen, met beperkte rekenkracht, en communiceren met tussenpozen met systemen die zelf mogelijk door derden worden beheerd. Veel ervan kunnen de agentgebaseerde beveiliging waarop traditionele IT-teams vertrouwen niet ondersteunen. En veel ervan staan nog in het veld lang nadat het team dat ze implementeerde al vertrokken is.
Er zit een vast patroon in de manier waarop organisaties de CRA-gereedheid nu benaderen, en dat is niet altijd even geruststellend.
Op bestuursniveau wordt naleving vaak opgevat als een governancekwestie. Er is documentatie, certificering, een proces dat vóór implementatie moet worden beheerd. De aanname is dat als de juiste vakjes bij de lancering zijn aangevinkt, aan de verplichting is voldaan.
De operationele werkelijkheid is anders. De vragen die er onder de CRA werkelijk toe doen, zijn praktisch van aard. Weet u waar elk apparaat in uw park is geïmplementeerd? Weet u welke firmwareversie elk apparaat draait? Kunt u een gecompromitteerd apparaat op afstand een update sturen? Kunt u het snel van het netwerk isoleren als dat nodig is? Weet u, op dit moment, of een van uw apparaten communiceert met serverinfrastructuur waarmee het niet zou mogen communiceren? (herinnert u zich dat probleem van data-exfiltratie waar ik mee opende nog?)
Voor veel organisaties is het eerlijke antwoord op meerdere van die vragen nee. Niet uit nalatigheid, maar omdat de tooling en processen om ze op schaal te beantwoorden er simpelweg niet zijn geweest. De CRA vereist in feite dat organisaties die capaciteit opbouwen, en die doorlopend onderhouden, niet dat ze die eenmalig aantonen.
Wanneer de media over het niet naleven van regelgeving berichten, ligt de nadruk meestal op de financiële boete. De CRA kent boetes tot 15 miljoen euro of 2,5% van de wereldwijde jaaromzet voor de ernstigste overtredingen. Die bedragen zijn groot genoeg om in een bestuursvergadering de aandacht te trekken.
Maar de boete is wellicht het minste ervan.
Operationele uitval na een cyberincident brengt directe, tastbare kosten met zich mee: serviceverstoring, impact op klanten, herstelinspanning. In sectoren als EV-laden, de zorg, wagenparktelematica of nutsvoorzieningen is uitval niet zomaar lastig. Het kan een aanzienlijke commerciële en veiligheidsgebeurtenis zijn. Reputatieschade stapelt zich langzamer op maar houdt langer aan. En er is een groeiend patroon, dat al zichtbaar is in de inkoop bij bedrijven, waarbij kopers de cyber security-houding van een leverancier actief beoordelen voordat ze contracten gunnen. Organisaties met een verleden van incidenten, of zonder aantoonbare beveiligingsprocessen, merken dat ze buiten inkoopkaders worden gehouden nog voordat het gesprek begint.
Verzekeraars stellen ook scherpere vragen. Cyberverzekeraars zijn aanzienlijk strenger geworden over wat ze dekken en tegen welke premie, en beveiligingspraktijken over de hele levensduur, zoals patchen, monitoring en incidentrespons, maken steeds vaker deel uit van die beoordeling.
Het financiële risico van dit verkeerd aanpakken is niet de boete.
Het is het samengestelde effect van uitval, reputatieschade, uitsluiting van aanbestedingen en verzekeringsrisico's, dat zich in de loop van de tijd opstapelt. Bekende organisaties als Jaguar en Land Rover ondervinden de impact van dit soort aanvallen inmiddels aan den lijve ((24) Bericht | LinkedIn).
Een van de nuttigere verschuivingen die de CRA impliciet aanmoedigt, is het loslaten van het idee dat perfecte beveiliging haalbaar is. In plaats daarvan komt de vraag centraal te staan wat er gebeurt wanneer, niet óf, er iets misgaat.
Geen enkele organisatie kan geloofwaardig 100 procent bescherming claimen. Aanvallers zijn volhardend, tooling evolueert voortdurend, en het aanvalsoppervlak van een groot, verspreid IoT-park is simpelweg te breed om volledig te verdedigen. De vraag is niet óf er een inbreuk komt, maar of de organisatie het zicht heeft om die snel te detecteren en het vermogen om er doeltreffend op te reageren.
Hier wordt de nadruk van de CRA op monitoring en incidentrespons in de praktijk belangrijk. Toezichthouders blijken niet zonder begrip voor organisaties die aanvallen ondergaan. Waar ze geen begrip voor hebben, zijn organisaties die aanvallen ondergaan zonder ook maar enige detectie- of responscapaciteit paraat. Het verschil tussen een beheersbaar gesprek met de toezichthouder en een zware handhavingsactie draait steeds meer om wat u paraat had en hoe snel u handelde. Niet om de vraag of de aanval al dan niet plaatsvond.
South Staffordshire Water is ook hier leerzaam. Twintig maanden is een buitengewoon lange tijd voor een aanvaller om onopgemerkt binnen de systemen van een waterbedrijf te opereren. De boete weerspiegelde niet alleen de inbreuk, maar ook het ontbreken van de monitoring die de aanval eerder had opgemerkt.
Niet elke organisatie kijkt met angst naar de CRA. Een groeiend aantal ziet er een kans in om zich te onderscheiden. Ze bouwen hun eigen beveiligingskaders, nemen tooling in gebruik voor beveiliging over de hele levensduur, en zetten hun aantoonbare houding in als verkoopargument in gereguleerde markten.
Een verstandige strategie. In sectoren waar kopers steeds sceptischer staan tegenover vage cyber security-claims, wordt het een reëel commercieel voordeel om te kúnnen aantonen, niet alleen beweren, dat u systematische, doorlopende beveiliging over de hele levensduur paraat hebt. De organisaties die het snelst bewegen, denken proportioneel en risicogestuurd. Ze proberen niet elk apparaat met maximale maatregelen te overladen. Bepaal wat operationeel kritiek is. Richt u op wat extern blootgesteld is. Bouw zicht op, breng veilige connectiviteit tot stand, zorg dat u op afstand kunt patchen, en zorg dat uw monitoring en incidentrespons echt werken en niet alleen op papier bestaan.
Dat zijn de basisbeginselen. En organisaties die ze paraat hebben, ontdekken dat naleving en onderscheidend vermogen in de praktijk op hetzelfde neerkomen.
De Cyber Resilience Act is geen bureaucratisch ongemak. Het is een structurele verschuiving in de manier waarop de verantwoordelijkheid voor de beveiliging van verbonden producten wordt toegewezen. Weg van een diffuus, betwist domein waar iedereen aannam dat het andermans probleem was, en naar een heldere, afdwingbare verplichting voor de organisaties die verbonden producten bouwen en uitrollen.
Voor IoT in het bijzonder reiken de gevolgen van die verschuiving veel verder dan juridische naleving. Ze vraagt om een andere aanpak van productontwikkeling, een andere set operationele capaciteiten, en een ander gesprek op bestuursniveau over wat beveiliging werkelijk betekent gedurende de volledige levensduur van een uitgerold apparaat.
De organisaties die dat het vroegst doorhebben, staan het sterkst, commercieel, operationeel en vanuit regelgevingsoogpunt, wanneer de handhaving die onvermijdelijk op de wetgeving volgt, op gang komt.
Iain Davidson is Head of Product Marketing bij Wireless Logic, met een achtergrond in IoT-connectiviteit en cyber security.
Wireless Logic's Anomaly and Threat Detection is speciaal gebouwd voor de beveiligingsuitdagingen van IoT- en edge-omgevingen. Agentloos, dus snel uitgerold.