CRA readiness check

Hoe veilig loggen je apparaten in, en hoe veilig zijn je updates?

De Cyber Resilience Act stelt eisen aan elk connected product dat in de EU op de markt komt. Vanaf 11 december 2027 moet elk product dat je op de markt brengt eraan voldoen. Deze vragen laten zien waar jouw IoT-apparaat staat. Je antwoorden blijven in je browser, tenzij je de verbetergids aanvraagt.

1. Verbinding en identiteit

Hoe meldt je apparaat zich aan bij de server of message broker, en hoe weten ze van elkaar dat ze echt zijn?

1.1 Hoe logt het apparaat in bij de backend of message broker?

CRA Annex I, Part I (2)(d)

1.2 Hebben alle apparaten dezelfde inloggegevens, of elk hun eigen?

CRA Annex I, Part I (2)(d)

1.3 Hoe controleert het apparaat dat het met de echte server praat?

CRA Annex I, Part I (2)(d), (2)(e), (2)(f)

1.4 Hoe controleert de backend of broker de inloggegevens?

CRA Annex I, Part I (2)(d)

1.5 Waar heeft een ingelogd apparaat toegang toe?

CRA Annex I, Part I (2)(d), (2)(j)

1.6 Kun je één gestolen of gehackt apparaat buitensluiten?

CRA Annex I, Part I (2)(d)

2. Sleutels en inloggegevens

Waar komen de geheimen vandaan, waar staan ze en wie kan erbij?

2.1 Waar staan de inloggegevens op het apparaat?

CRA Annex I, Part I (2)(e), (2)(j)

2.2 Hoe en waar worden de inloggegevens per apparaat aangemaakt?

CRA Annex I, Part I (2)(d), (2)(e)

2.3 Waar staat de hoofdsleutel (CA-sleutel of wachtwoordlijst), en wie kan erbij?

CRA Annex I, Part I (2)(d), (2)(f)

2.4 Wat kan iemand met fysieke toegang via de debug-poort of seriële poort?

CRA Annex I, Part I (2)(j)

3. Firmware-updates

Kun je veilig en gecontroleerd een nieuwe versie uitrollen, ook als er iets misgaat?

3.1 Hoe wordt een firmware-update uitgerold?

CRA Annex I, Part I (2)(c), Part II (7)

3.2 Hoe controleert het apparaat dat een update echt van jou komt?

CRA Annex I, Part I (2)(f), Part II (7)

3.3 Waar staat de sleutel waarmee updates worden ondertekend?

CRA Annex I, Part I (2)(f)

3.4 Wat gebeurt er als een update halverwege wordt onderbroken, bijvoorbeeld door een stroomstoring?

CRA Annex I, Part I (2)(h)

3.5 Kan een oudere, ondertekende versie opnieuw worden geïnstalleerd?

CRA Annex I, Part I (2)(a), (2)(f)

3.6 Weet je welke firmwareversie elk apparaat in het veld draait?

CRA Annex I, Part II (2), (8)

4. Product en proces

De CRA gaat niet alleen over techniek. Ook je standaardinstellingen, componentenlijst en de manier waarop je met lekken omgaat tellen mee.

4.1 Heeft het apparaat een lokale interface (webpagina, wifi-hotspot, app) met een standaardwachtwoord?

CRA Annex I, Part I (2)(b)

4.2 Heb je een lijst van alle softwarecomponenten en hun versies (SBOM)?

CRA Annex I, Part II (1)

4.3 Hoe hoor je van een lek in je product of in de componenten die je gebruikt?

CRA Annex I, Part I (2)(a), Part II (2), (4), (5), (6)

4.4 Kun je een actief misbruikt lek of een ernstig incident binnen 24 uur melden bij het CSIRT en ENISA?

CRA Art. 14, Art. 69(3)

4.5 Hoe lang lever je beveiligingsupdates voor dit product?

CRA Art. 13(8), Annex II (7)

4.6 Legt het apparaat beveiligingsgebeurtenissen vast, zoals mislukte logins of geweigerde updates?

CRA Annex I, Part I (2)(g), (2)(l)

Jouw resultaat

0 / 0 beantwoord

    • In orde
    • Kan beter
    • Risico
    • Onbekend

    Aandachtspunten

      Wil je per punt weten hoe je het verbetert? Vraag onze verbetergids aan.

      Vraag de verbetergids aan Neem contact op

      Een eerste indicatie, geen juridisch advies of conformiteitsbeoordeling.

      Vraag de verbetergids aan

      De gids legt per vraag uit waarom het ertoe doet en hoe je het verbetert. Je antwoorden gaan mee met je aanvraag.

      We gebruiken je gegevens alleen voor deze aanvraag.

      Voorbeeld: van één wachtwoord naar een paspoort per apparaat

      Een apparaat kan prima werken en toch op bijna elke vraag hierboven rood scoren. Een veelvoorkomende onveilige opzet naast een veilige:

      Onveilig Veilig
      Inloggen Gebruikersnaam en wachtwoord Eigen X.509-certificaat, mutual TLS
      Per apparaat Eén wachtwoord voor alle apparaten Elk apparaat een eigen sleutel en certificaat
      Controle door broker Wachtwoord vergelijken Certificaat moet door je eigen CA ondertekend zijn. Het apparaat ziet alleen zijn eigen topics
      Uitrol Alle apparaten halen de update van één vaste URL en installeren tegelijk De server stuurt de update per apparaat
      Echtheid update Niet gecontroleerd De bootloader controleert de handtekening en weigert oudere versies

      Hoe de veilige opzet werkt, lees je in Veilig beheren van honderden IoT-apparaten op afstand. Deze bouwblokken zitten standaard in sensor-link.