Verbindingstoestellen tellen vandaag de dag in de miljarden over de hele wereld. Thermostaten, horloges, luidsprekers, sloten, gezondheidsensoren: deze apparaten communiceren met elkaar en met hun gebruikers via internet of een lokaal netwerk. Hun werking is gebaseerd op precieze componenten, en hun toename in huishoudens roept concrete vragen op over veiligheid en regelgeving die het grote publiek nog niet goed begrijpt.
Cyber Resilience Act: wat de Europese regelgeving verandert voor verbonden apparaten
Het Europese regelgevingskader is veranderd met de inwerkingtreding op 10 december 2024 van de Cyber Resilience Act (CRA), Verordening (EU) 2024/2847. Deze tekst legt verplichte cybersecurity-eisen op aan alle producten met digitale elementen, wat vrijwel alle verbonden objecten op de Europese markt dekt.
De toepassingstijdlijn voorziet in twee belangrijke deadlines. Vanaf 11 september 2026 moeten fabrikanten kwetsbaarheden die actief worden uitgebuit en ernstige cybersecurity-incidenten die hun producten beïnvloeden, aan de autoriteiten melden. Vervolgens, vanaf 11 december 2027, mag een verbonden apparaat in de Europese Unie alleen worden verhandeld als het voldoet aan de CRA en een CE-markering draagt die ook zijn cybersecurity bevestigt.
Concreet vereist de CRA veiligheid vanaf het ontwerp (secure by design), het beheer van kwetsbaarheden en de beveiligingsupdates gedurende de verwachte levensduur van het product. De opgelegde sancties kunnen oplopen tot 15 miljoen euro of 2,5% van de wereldwijde omzet. Voor een fabrikant van thermostaten of slimme lampen betekent dit dat cybersecurity niet langer een marketingargument is, maar een voorwaarde voor toegang tot de markt.
Deze regelgeving is nog weinig bekend bij het grote publiek, terwijl ze direct invloed zal hebben op de softwareondersteuning van de apparaten die in de winkel beschikbaar zijn. Een gebruiker die de definitie van verbonden apparaten op Transtec raadpleegt, krijgt al een idee van de reikwijdte van de apparaten die onder deze verplichtingen vallen.
Sensoren, protocollen en cloud: hoe werkt een verbonden apparaat
De werking van een verbonden apparaat is gebaseerd op drie verschillende lagen die voortdurend met elkaar communiceren.
De fysieke laag: sensoren en actuatoren
Elk object heeft een of meer sensoren die een parameter van de omgeving meten (temperatuur, beweging, lichtsterkte, hartslag). Een microcontroller verwerkt deze gegevens lokaal voordat ze worden verzonden. Omgekeerd voert een actuator een opdracht uit: een lamp aanzetten, een slot vergrendelen, een thermostaat aanpassen.
De netwerklaag: Wi-Fi, Bluetooth, Zigbee en meer
De gegevensoverdracht is gebaseerd op draadloze protocollen die zijn aangepast aan het gebruik. Wi-Fi is geschikt voor bandbreedte-intensieve apparaten (bewakingscamera’s). Bluetooth Low Energy voedt draagbare objecten zoals horloges en gezondheidsarmbanden. Protocollen zoals Zigbee of Z-Wave, die minder bekend zijn, dienen dichte domotica-netwerken waar tientallen sensoren moeten coëxisteren zonder het thuis-Wi-Fi te verzadigen.
De keuze van het protocol bepaalt direct de batterijduur, het bereik van het signaal en de compatibiliteit met de rest van het ecosysteem. Een Zigbee-apparaat communiceert niet van nature met een Bluetooth-netwerk, wat vaak vereist dat er een gateway (hub) of een centraliserende spraakassistent wordt gebruikt.
De softwarelaag: cloud en applicaties
De verzamelde gegevens worden naar een externe server (cloud) gestuurd waar ze worden opgeslagen, geanalyseerd en toegankelijk worden gemaakt via een mobiele applicatie. Het is deze sensor-cloud-applicatiecyclus die het mogelijk maakt om een apparaat op afstand te bedienen, automatiseringen te programmeren of real-time waarschuwingen te ontvangen.
De ervaringen op het terrein verschillen over de betrouwbaarheid van deze architectuur. Wanneer de server van de fabrikant uitvalt of wanneer het bedrijf stopt met zijn activiteiten, kan het object een deel van zijn functionaliteiten verliezen of zelfs onbruikbaar worden. Sommige fabrikanten bieden een gedeeltelijke lokale werking aan, maar deze benadering blijft minderheid.
Concreet gebruik van verbonden apparaten in huis en gezondheid
De huishoudelijke toepassingen vormen de meerderheid van de consumentenmarkt voor verbonden objecten. Drie categorieën concentreren de adoptie.
- Energiemanagement: verbonden thermostaten die de gewoonten van de bewoners leren, slimme stekkers die de voeding van apparaten in de slaapstand uitschakelen, raamopeningsdetectoren die de verwarming automatisch uitschakelen.
- Veiligheid van de woning: IP-camera’s die op afstand kunnen worden bekeken, verbonden sloten met een draaicodesysteem, rookmelders die zijn verbonden met de smartphone van de gebruiker.
- Gezondheidsmonitoring: horloges en armbanden die de hartslag, slaapkwaliteit of het aantal stappen meten, verbonden bloeddrukmeters die de gegevens rechtstreeks naar de behandelende arts verzenden.
Op het gebied van gezondheid roept de verzameling van gevoelige persoonlijke gegevens vragen op over hun opslag en gebruik. De hartslaggegevens die door een horloge worden geregistreerd, passeren de servers van de fabrikant voordat ze de applicatie bereiken. De gebruiker heeft niet altijd een duidelijk zicht op de bewaartermijn of de derden die er toegang toe hebben.
Beveiliging van verbonden objecten: de echt belangrijke stappen
De CNIL herinnert eraan dat verbonden objecten een grote hoeveelheid persoonlijke gegevens genereren die op internet worden opgeslagen, en dat de beveiliging ervan ook de verantwoordelijkheid van de gebruiker is. Verschillende maatregelen verminderen de aanvalsvector aanzienlijk.
- Wijzig systematisch het standaardwachtwoord van elk apparaat door een uniek en complex wachtwoord te gebruiken.
- Werk de firmware bij zodra er een nieuwe versie beschikbaar is, aangezien deze updates vaak kwetsbaarheden verhelpen die actief worden uitgebuit.
- Segmenteer het thuisnetwerk door een Wi-Fi-netwerk voor verbonden apparaten te creëren, gescheiden van dat voor de computer of smartphone.
- Deactiveer ongebruikte functies (microfoon, locatiebepaling) om de verzameling van overbodige gegevens te beperken.
Een verbonden apparaat waarvan de firmware niet meer wordt bijgewerkt, wordt een potentiële toegangspunt op het thuisnetwerk. Met de komst van de CRA zullen fabrikanten verplicht zijn om patches te leveren gedurende de verwachte levensduur van het product, maar deze verplichting zal pas volledig van kracht zijn vanaf eind 2027. Tot die tijd blijft het controleren van het ondersteuningsbeleid van de fabrikant voor de aankoop de meest betrouwbare reflex.
De markt voor verbonden apparaten evolueert onder dubbele druk: die van de toepassingen, die zich vermenigvuldigen in huis en gezondheid, en die van de Europese regelgeving, die de veiligheidsvereisten naar een ongekend niveau tilt. De keuze voor een verbonden object beperkt zich niet langer tot de functionaliteiten: de duur van de softwareondersteuning en de naleving van de CRA worden op zichzelf staande aankoopcriteria.