CRA voor consument-IoT: EN 303 645 en slimme-thuisbeveiliging

Consument-IoT is de sector met de grootste verscheidenheid aan CRA-verplichtingen. Van eenvoudige sensoren (Standaard, zelfbeoordeling) tot slimme deurbellen (Klasse I, aangemelde instantie mogelijk vereist). EN 303 645 biedt een uitstekend startpunt voor technische compliance. Per 22 mei 2026 is het geen geharmoniseerde CRA-norm en geeft het geen vermoeden van overeenstemming onder de CRA.

Deze gids behandelt CRA-compliance voor consument-IoT-fabrikanten.

CRA-classificatie van consument-IoT

Standaardcategorie (zelfbeoordeling)

De meeste consument-IoT valt hier:

• Slimme speakers ZONDER algemeen toepasselijk virtueel assistent
• Slimme verlichting
• Slimme stopcontacten
• Basishomeautomatie-sensoren
• Eenvoudige draadloze thermostaten
• Verbonden speelgoed zonder sociale interactieve functies en zonder locatietracking
• Niet-gezondheids- en niet-kinderfitnessbanden

Klasse I (aangemelde instantie mogelijk)

Consument-IoT met beveiligingsfuncties of andere kwalificerende kenmerken (Bijlage III Klasse I):

• Slimme beveiligingscamera's (surveillance/monitoring)
• Slimme deursloten (toegangscontrole)
• Babymonitors (privacy-gevoelig)
• Alarmsystemen (beveiliging van woningen)
• Intercomsystemen met camera
• Slimme speakers MET een algemeen toepasselijk virtueel assistent
• Verbonden speelgoed onder Richtlijn 2009/48/EG met sociale interactieve functies (spreken of filmen) of locatietracking
• Gezondheidsmonitoring wearables die niet onder MDR/IVDR vallen, en wearables bestemd voor of door kinderen

Belangrijk: De CRA definieert slimme-thuisproducten met beveiligingsfuncties als Klasse I. Dit omvat deursloten, beveiligingscamera's, babymonitors en alarmsystemen.

De Bijlage III-grens

Het criterium is "beveiligingsfunctionaliteit" in een slimme-thuiscontext:

CONSUMENT-IoT CLASSIFICATIEMATRIX

STANDAARDCATEGORIE (zelfbeoordeling):
- Slimme speakers ZONDER een algemeen toepasselijk virtueel assistent
- Verbonden camera's zonder beveiligingsfunctie (bijv. gewone webcam of vergadercamera)
- Slimme verlichting
- Verbonden thermostaten
- Niet-gezondheids- en niet-kinderfitnessbanden
- Slimme huishoudapparaten
- Verbonden speelgoed zonder sociale interactieve functies en zonder locatietracking
- Algemene slimme thuisapparaten

KLASSE I (zelfbeoordeling met geharmoniseerde normen OF derde partij)
(Bijlage III, Deel I):

Punt 16:
- Slimme speakers MET een algemeen toepasselijk virtueel assistent

Punt 17 (beveiligingsfunctie):
- Beveiligingscamera's, babyfoons, alarmsystemen, slimme deursloten

Punt 18 (speelgoed):
- Verbonden speelgoed onder Richtlijn 2009/48/EG met sociale
  interactieve functies (spreken of filmen) of locatietracking
  (speelgoed zonder die kenmerken blijft Standaard)

Punt 19 (wearables):
- Gezondheidsmonitoring wearables die niet onder MDR/IVDR vallen
- Wearables bestemd voor of door kinderen
  (niet-gezondheids- en niet-kinderfitnessbanden blijven Standaard)

EN 303 645 en CRA-afstemming

Wat is ETSI EN 303 645?

EN 303 645 "Cybersecurity for Consumer Internet of Things" is de Europese norm voor basisbeveiliging van consument-IoT. De norm definieert:

• 13 beveiligingsmaatregelen
• Praktische implementatierichtlijnen
• Testbare vereisten

EN 303 645 ↔ CRA-mapping

EN 303 645 als CRA-basis gebruiken

EN 303 645 → CRA-COMPLIANCEBENADERING

ALS U AL EN 303 645 GEÏMPLEMENTEERD HEBT:
→ Hergebruik documenten over beveiligingsmaatregelen
→ Wijs maatregelen toe aan CRA essentiële eisen
→ Bewijs voor technisch dossier

ALS U EN 303 645 AAN HET IMPLEMENTEREN BENT:
→ Gebruik het als technische basis voor CRA
→ Implementeer alle 13 maatregelen
→ Voeg CRA-specifieke vereisten toe bovenop

AANVULLEND VOOR CRA:
[ ] SBOM-generatie implementeren
[ ] ENISA-rapportagecapaciteit inrichten (verplicht sinds 11 september 2026)
[ ] 5-jaar supporttoezegging documenteren
[ ] EU-conformiteitsverklaring opstellen
[ ] CE-markering aanbrengen

Technische vereisten voor consument-IoT

Geen standaardwachtwoorden

Dit is de meest directe CRA-vereiste voor IoT:

WACHTWOORDVEREISTEN VOOR IoT

VERBODEN:
- Universele standaardwachtwoorden (bijv. "admin/admin")
- Wachtwoorden gebaseerd op apparaatidentifiers
- Makkelijk raadbare wachtwoorden

VERPLICHT (kies één aanpak):
OPTIE A: Uniek wachtwoord per apparaat
- Genereer uniek wachtwoord in fabriek
- Druk af op apparaat/verpakking
- Sla veilig op voor klantenservice

OPTIE B: Afdwingen wachtwoordinstellingen bij eerste gebruik
- Geen fabrieksstandaard ingesteld
- Vereist aanmaken wachtwoord bij activering
- Zet complexiteitsvereisten af
- Blokkeer het apparaat totdat wachtwoord ingesteld is

Veilige updateprocedures

VEREISTEN FIRMWARE-UPDATES

TECHNISCHE VEREISTEN:
[ ] Updates cryptografisch ondertekend
[ ] Handtekening geverifieerd vóór installatie
[ ] Beveiligde downloadkanaal (TLS)
[ ] Rollback-mogelijkheid bij mislukte update
[ ] Versienummering en changelogs

GEBRUIKERSCONTROLE:
[ ] Gebruiker kan updates uitstellen (maar niet voor onbepaalde tijd)
[ ] Automatische updates standaard ingeschakeld (gebruiker kan uitschakelen)
[ ] Duidelijke updatenotificaties
[ ] Updatestatus zichtbaar voor gebruiker

STANDAARD FIRMWARE-UPDATE VEREISTEN:
- Automatische beveiligingsupdates standaard ingeschakeld
- Gebruiker moet actief beslissing nemen om uit te schakelen
- Aanbevolen: informeer gebruiker over beveiligingsrisico bij uitschakelen

Gegevensbescherming voor IoT

GEGEVENSVEREISTEN CONSUMENT-IoT

DATAMINIMALISATIE:
[ ] Alleen noodzakelijke gegevens verzamelen
[ ] Bewaartermijnen definiëren
[ ] Automatische verwijdering van oude gegevens
[ ] Gerechtvaardigdheid gedocumenteerd voor elk gegevenstype

VERSLEUTELING:
[ ] Data-in-transit: TLS 1.2+ (TLS 1.3 aanbevolen)
[ ] Data-in-rust: versleuteling voor gevoelige gegevens
[ ] Sleutelbeheer gedocumenteerd

GEBRUIKERSRECHTEN:
[ ] Gebruiker kan gegevens verwijderen
[ ] Gebruiker kan account deactiveren
[ ] Optionele gegevensverzameling duidelijk aangegeven

SBOM voor IoT-producten

Firmwarecomponenten opnemen

IoT-producten hebben unieke SBOM-uitdagingen:

IoT SBOM-BENADERING

SOFTWARECOMPONENTEN:
- RTOS/embedded OS (bijv. FreeRTOS, Zephyr, Linux)
- Communicatiestacks (Wi-Fi, Bluetooth, Zigbee)
- Beveiligingsbibliotheken (TLS, cryptografie)
- Applicatiesoftware
- Cloudverbindingsmodules

FIRMWARE:
- Bootloader
- Apparaatfirmware
- Flashbare configuraties

AANPAK:
[ ] Gebruik Syft of Trivy voor firmware-SBOM-generatie
[ ] Neem alle directe en transitieve afhankelijkheden op
[ ] Documenteer proprietaire componenten handmatig
[ ] Update bij elke firmwarerelease

Leveranciersafhankelijkheden

Veel IoT-producten gebruiken modules van derden:

• Wi-Fi-modules (bijv. ESP32, Qualcomm)
• Bluetooth-chips
• Beveiligde elementen
• Cloud-SDK's

Voor elk van deze componenten:

• Vraag SBOM bij de leverancier
• Neem componentspecifieke kwetsbaarheden op
• Documenteer supportperiodeverbintenissen van leveranciers

Kwetsbaarheidsbeheer voor IoT

CVD-beleid voor IoT-fabrikanten

Uw IoT-producten hebben een gepubliceerd kwetsbaarheidsmeldingsproces nodig:

CVD-BELEID MINIMUMVEREISTEN

CONTACT PUBLICEREN:
[ ] security.txt op uw domein
[ ] E-mailadres of webformulier
[ ] Reactietijdstoezegging (bijv. 3 werkdagen)

BELEIDSDOCUMENT:
[ ] Reikwijdte (welke producten)
[ ] Hoe te melden
[ ] Responstijdlijn
[ ] Wat ontdekkers kunnen verwachten

TALEN:
[ ] Engels (vereist)
[ ] Nederlands aanbevolen voor NL-markt

ENISA-rapportage

Sinds september 2026 moeten fabrikanten actief misbruikte kwetsbaarheden melden:

ENISA-RAPPORTAGE (CRA-specifiek, Art. 14)

Spoor (a) - Actief misbruikte kwetsbaarheid:
- Vroege waarschuwing binnen 24 uur na bekendwording
- Kwetsbaarheidsnotificatie binnen 72 uur na bekendwording
- Eindrapport uiterlijk 14 dagen nadat een corrigerende of
  beperkende maatregel beschikbaar is

Spoor (b) - Ernstig incident (impact op beveiliging van het product):
- Vroege waarschuwing binnen 24 uur na bekendwording
- Incidentnotificatie binnen 72 uur na bekendwording
- Eindrapport binnen een maand na de incidentnotificatie

Gebruik het ENISA Single Reporting Platform voor beide sporen.

NIET RAPPORTEREN:
- Kwetsbaarheden die gevonden maar niet actief misbruikt zijn
- Kwetsbaarheden die al zijn gepatcht vóór misbruik

VERANTWOORDELIJKHEID:
Aangewezen beveiligingsverantwoordelijke
Intern escalatiepad

5 jaar ondersteuning: de grote uitdaging

Context in de sector

Veel consument-IoT-producten hadden tot nu toe korte ondersteuningsperiodes:

• Budgetapparaten: 1-2 jaar (of geen updates)
• Middensegment: 2-3 jaar
• Premium: 3-5 jaar

CRA-eis: beveiligingsupdates gedurende de aangegeven ondersteuningsperiode, die ten minste 5 jaar duurt, tenzij het product naar verwachting korter wordt gebruikt (artikel 13, lid 8).

5 jaar ondersteuning plannen

STRATEGIE VOOR 5 JAAR ONDERSTEUNING

KOSTENPLANNING:
- Beveiligingsmonitoring (doorlopend)
- Capaciteit voor kwetsbaarheidsrespons
- Ontwikkeling en testen van updates
- Infrastructuur voor het leveren van updates
- Middelen voor klantondersteuning

TECHNISCHE PLANNING:
- Stabiel updatemechanisme
- OTA-infrastructuur
- Terugdraaimogelijkheid
- Testen over de hele levensduur van het apparaat

COMMERCIËLE PLANNING:
- Productprijs (neem ondersteuningskosten mee)
- Communicatie over de ondersteuningsperiode
- Proces voor einde van ondersteuning
- Migratiepad voor klanten

LEVENSCYCLUSFASEN:
Jaar 1-2: Actieve ontwikkeling, frequente updates
Jaar 3-4: Onderhoudsmodus, alleen beveiligingsupdates
Jaar 5:   Voorbereiding op einde van ondersteuning
Jaar 5+:  Ondersteuning eindigt, klanten informeren

Communicatie over het einde van ondersteuning

EISEN BIJ EINDE VAN ONDERSTEUNING

BIJ AANKOOP:
- Duidelijke aanduiding van de ondersteuningsperiode
- Verwachte einddatum van ondersteuning
- Wat "ondersteuning" omvat

BIJ HET NADEREN VAN HET EINDE:
- Vooraankondiging (6-12 maanden)
- Uitleg van de gevolgen
- Opties voor upgrade of vervanging

BIJ EINDE VAN ONDERSTEUNING:
- Laatste melding
- Beveiligingsaanbevelingen
- Richtlijnen voor veilige afvoer

NA DE ONDERSTEUNING:
- Apparaat kan nog werken
- Geen beveiligingsupdates meer
- Klant neemt het risico over

Eisen aan consumentendocumentatie

Taaleisen

Consumentenproducten die in EU-lidstaten worden verkocht, vereisen documentatie in de lokale taal:

DOCUMENTATIETALEN VOOR CONSUMENT-IoT

VEREIST PER MARKT:
- Veiligheidsinformatie: moet in de lokale taal
- Installatie-instructies: bij voorkeur in de lokale taal
- Gebruikershandleiding: bij voorkeur in de lokale taal

PRAKTISCHE AANPAK:
- Engels als basis
- Lokaliseer voor de belangrijkste markten (DE, FR, ES, IT, PL, NL)
- Overweeg digitale documentatie (app, QR-code)
- Gedrukte quickstart in meerdere talen

Wat u documenteert

GEBRUIKERSDOCUMENTATIE VOOR CONSUMENT-IoT

BEVEILIGINGSINFORMATIE:
[ ] Beveiliging bij eerste installatie (wachtwoord, koppeling)
[ ] Update-instellingen en aanbevelingen
[ ] Privacy-instellingen
[ ] Uitleg over gegevensverzameling
[ ] Ondersteuningsperiode en contact

VEILIGHEIDSINFORMATIE:
[ ] Elektrische veiligheid
[ ] Beoogd gebruik
[ ] Gevarenwaarschuwingen
[ ] Veiligheid van kinderen (indien relevant)

NALEVINGSINFORMATIE:
[ ] CE-markering zichtbaar op het product
[ ] Verwijzing naar de conformiteitsverklaring
[ ] Contactgegevens van de fabrikant
[ ] Contact voor ondersteuning en beveiliging

Conformiteitsbeoordeling voor consument-IoT

Zelfbeoordeling (Module A)

Het meeste consument-IoT kan zelfbeoordeling gebruiken:

MODULE A VOOR CONSUMENT-IoT

WAT U DOET:
1. Interne risicobeoordeling uitvoeren
2. Essentiële eisen implementeren
3. Technische documentatie opstellen
4. Testen tegen de eisen
5. EU-conformiteitsverklaring invullen
6. CE-markering aanbrengen

GEEN AANGEMELDE INSTANTIE NODIG:
- Producten in de standaardcategorie
- Belangrijk Klasse I met geharmoniseerde normen

INHOUD VAN HET TECHNISCH DOSSIER:
- Productbeschrijving
- Risicobeoordeling
- Ontwerpdocumentatie
- Testrapporten (intern of extern lab)
- EN 303 645-beoordeling (indien geclaimd)
- SBOM
- Gebruikersdocumentatie

EN 303 645-certificering gebruiken

Als u EN 303 645-certificering nastreeft:

EN 303 645-CERTIFICERING → CRA

CERTIFICERENDE INSTANTIES:
- CTIA (VS)
- TÜV (EU)
- BSI Kitemark (VK)
- Diverse ETSI-conforme laboratoria

VOORDELEN:
- Verificatie door derden
- Marketingwaarde ("gecertificeerd veilig")
- Bewijs voor het technisch dossier, maar geen CRA-vermoeden van conformiteit zolang geen CRA-geharmoniseerde norm formeel is vermeld

VOOR DE CRA OOK NODIG:
- SBOM (niet gedekt door EN 303 645)
- Proces voor ENISA-melding
- Formele EU-conformiteitsverklaring
- Proces voor CE-markering

Sectorspecifieke richtlijnen

Slimme speakers en spraakassistenten

CRA-COMPLIANCE VOOR SLIMME SPEAKERS

CLASSIFICATIE: Belangrijk Klasse I (Bijlage III Klasse I, punt 16) als het apparaat een
algemeen toepasselijke virtuele assistent bevat. Een speaker zonder algemeen toepasselijke
assistent blijft Standaard.

BELANGRIJKSTE EISEN:
- Bescherming van spraakgegevens
- Beveiligde cloudcommunicatie
- Mute-/privacymodus (secure by default)
- Updatemechanisme
- Accountbeveiliging

PRIVACYOVERWEGINGEN:
- Beperk permanent luisteren
- Duidelijke indicator tijdens het luisteren
- Toegang tot en verwijdering van gebruikersgegevens
- Afstemming op de AVG

Verbonden camera's

CRA-COMPLIANCE VOOR VERBONDEN CAMERA'S

CLASSIFICATIE: Belangrijk Klasse I (Bijlage III Klasse I, punt 17) voor beveiligingscamera's,
babyfoons en alarmsystemen. Een gewone webcam of vergadercamera zonder beveiligingsfunctie
blijft Standaard.

BELANGRIJKSTE EISEN:
- Sterke authenticatie
- Versleutelde videostreams
- Beveiliging van lokale opslag
- Beveiliging van cloudopslag
- Functies voor privacymaskering

BIJZONDERE OVERWEGINGEN:
- Videogegevens zijn zeer gevoelig
- Bescherming tegen fysieke toegang
- Beheer van gasten- en gezinstoegang
- Eisen voor opnamemeldingen

Slimme-thuishubs

CRA-COMPLIANCE VOOR SLIMME-THUISHUBS

CLASSIFICATIE: Standaard, tenzij de hub zelf beveiligingsfuncties biedt
(slimme deursloten, beveiligingscamera's, alarmsystemen), waardoor hij onder
Bijlage III Klasse I, punt 17 valt

BELANGRIJKSTE EISEN:
- Protocolbeveiliging (Zigbee, Z-Wave, Thread, Matter)
- Veilige onboarding van apparaten
- Toegangsbeheer voor verbonden apparaten
- Lokale versus cloudverwerking
- Updatemechanisme voor hub en protocollen

BIJZONDERE OVERWEGINGEN:
- De hub is het aanvalsoppervlak voor alle verbonden apparaten
- Afstemming op Matter/Thread-beveiliging
- Back-up- en herstelmogelijkheid

Wearables

CRA-COMPLIANCE VOOR WEARABLES

CLASSIFICATIE: Belangrijk Klasse I (Bijlage III Klasse I, punt 19) voor
gezondheidsmonitoring-wearables die niet onder MDR/IVDR vallen, en voor elke wearable
bestemd voor of door kinderen. Fitnessbanden zonder gezondheidsfunctie en niet voor
kinderen blijven Standaard.

BELANGRIJKSTE EISEN:
- Beveiliging van Bluetooth-koppeling
- Bescherming van gezondheidsgegevens
- Beveiliging van de telefoon-app
- Beperkt aanvalsoppervlak
- Beveiliging die rekening houdt met de batterij

BIJZONDERE OVERWEGINGEN:
- Beperkte afmetingen beperken de beveiligingsfuncties
- De begeleidende app maakt deel uit van het product
- Voor gezondheidsgegevens kunnen aanvullende regels gelden

Verbonden speelgoed

CRA-COMPLIANCE VOOR VERBONDEN SPEELGOED

CLASSIFICATIE: Belangrijk Klasse I (Bijlage III Klasse I, punt 18) voor met internet
verbonden speelgoed onder Richtlijn 2009/48/EG met sociale interactieve functies
(spreken of filmen) of locatietracking. Verbonden speelgoed zonder die functies blijft
Standaard.

BELANGRIJKSTE EISEN:
- Bescherming van de privacy van kinderen (zoals COPPA)
- Ouderlijk toezicht
- Veilige standaardinstellingen
- Eenvoudig beveiligingsmodel
- Passende inhoudsfiltering

BIJZONDERE OVERWEGINGEN:
- Kinderen zijn de primaire gebruikers
- Spraak- en videofuncties vragen extra zorg
- Fysieke veiligheid en cyberveiligheid
- Duidelijke begeleiding voor ouders

Praktische nalevingsstappenplan

Fase 1: Productbeoordeling (zou al afgerond moeten zijn)

CONSUMENT-IoT PRODUCTEVALUATIE

PRODUCTCATALOGUS:
[ ] Alle IoT-producten met digitale elementen weergeven
[ ] CRA-classificatie per product bepalen
[ ] Klasse I-producten identificeren (beveiligingsfuncties)

KLOOFSANALYSE:
[ ] Huidige wachtwoordbeleid beoordelen
[ ] Firmware-updatemechanisme beoordelen
[ ] SBOM-mogelijkheden beoordelen
[ ] CVD-beleid beoordelen

TIJDLIJN:
[ ] Deadline voor producten per categorie bepalen
[ ] Klasse II-producten identificeren (aangemelde instantie)

Fase 2: Technische uitvoering (zou al afgerond moeten zijn)

TECHNISCHE UITVOERINGSSTAPPEN

WACHTWOORDHARDENING:
[ ] Universele standaardwachtwoorden verwijderen
[ ] Unieke wachtwoorden of afdwingingsproces implementeren
[ ] Gebruikersdocumentatie bijwerken

FIRMWARE-UPDATES:
[ ] Update-ondertekeningssysteem implementeren
[ ] Automatisch updatekanaal opzetten
[ ] Rollback-mechanisme testen

SBOM-GENERATIE:
[ ] SBOM-tools geïntegreerd in bouw-pipeline
[ ] Eerste SBOM voor elk product gegenereerd
[ ] Kwaliteit gevalideerd (TR-03183-niveau)

KWETSBAARHEIDSBEHEER:
[ ] security.txt gepubliceerd
[ ] CVD-beleid gepubliceerd
[ ] Interne triageprocedure vastgesteld

Fase 3: Compliance (Sept. 2026 - dec. 2027)

COMPLIANCEFASE

SINDS 11 SEPTEMBER 2026 (van kracht):
[ ] ENISA-rapportagecapaciteit operationeel
[ ] Intern escalatieproces actief

DOOR 2027:
[ ] Technisch dossier voltooid
[ ] Conformiteitsbeoordeling uitgevoerd
[ ] EU-conformiteitsverklaring ondertekend
[ ] CE-markering aangebracht op alle producten

DECEMBER 2027:
[ ] Volledige CRA-compliance
[ ] Alle IoT-producten conform
[ ] Ondersteuningsperiodes gecommuniceerd

Checklist voor consument-IoT-fabrikanten

CHECKLIST CRA-GEREEDHEID CONSUMENT-IoT

PRODUCTCLASSIFICATIE:
[ ] Alle producten geclassificeerd
[ ] Klasse I-producten geïdentificeerd
[ ] Conformiteitsbeoordelingsroute per product bepaald

BEVEILIGING:
[ ] Standaardwachtwoorden verwijderd
[ ] Veilig updatemechanisme geïmplementeerd
[ ] Communicatieversleuteling geïmplementeerd
[ ] Invoervalidatie geïmplementeerd

SBOM:
[ ] SBOM-generatie geautomatiseerd
[ ] Alle firmwarecomponenten opgenomen
[ ] Kwetsbaarheidsstatus gedocumenteerd

KWETSBAARHEIDSBEHEER:
[ ] security.txt gepubliceerd
[ ] CVD-beleid gepubliceerd
[ ] ENISA-rapportagecapaciteit gereed (verplicht sinds 11 september 2026)

DOCUMENTATIE:
[ ] Technisch dossier voor elk product
[ ] Risicobeoordeling per product
[ ] Gebruikersbeveiligingsgids

LIFECYCLE:
[ ] 5-jaar supportperiode vastgesteld
[ ] End-of-support gecommuniceerd
[ ] Updatelevering getest

Gerelateerde gidsen:

• CRA-productclassificatie: Is uw product Standaard, Belangrijk of Kritisch?
• Zijn slimme camera's Belangrijke Producten onder de EU Verordening cyberweerbaarheid?

Hoe CRA Evidence helpt

CRA Evidence ondersteunt consument-IoT-fabrikanten:

• Productclassificatiewizard: Bepaal snel uw classificatie
• SBOM-beheer: IoT-firmware SBOM-beheer
• CVD-sjablonen: Ready-to-use kwetsbaarheidsopenbaarmaking
• Technisch dossier: Documentatiestructuur voor IoT-producten

Start uw CRA-compliance op craevidence.com.

Dit artikel is uitsluitend bedoeld ter informatie en vormt geen juridisch advies. Raadpleeg voor specifieke compliancebegeleiding een gekwalificeerde juridisch adviseur.