Kennisbank voor sensoren, IoT, robotica en drones

Wat is de RED?

De radioapparatuurrichtlijn (Radio Equipment Directive, RED, 2014/53/EU) stelt eisen aan apparatuur die radiogolven uitzendt of ontvangt om te communiceren, bijvoorbeeld via wifi, Bluetooth, LoRaWAN of een mobiel netwerk. Met de CE-markering verklaar je als fabrikant dat je product aan de essentiële eisen voldoet.

Welke cybersecurity-eisen gelden sinds 1 augustus 2025?

Artikel 3, lid 3, van de RED bevat eisen die de Europese Commissie per productcategorie van toepassing kan verklaren. Met Gedelegeerde Verordening (EU) 2022/30 heeft ze dat gedaan voor drie eisen, die sinds 1 augustus 2025 gelden.

Onder d: het product mag het netwerk en de werking ervan niet schaden en geen netwerkbronnen misbruiken. Onder e: het product beschermt persoonsgegevens en de privacy van gebruikers. Onder f: het product ondersteunt functies die beschermen tegen fraude, als je er geld of geldswaarde mee kunt overmaken.

Voor welke producten?

Eis d geldt voor radioapparatuur die zelf of via andere apparatuur met internet kan communiceren. Een LoRaWAN-sensor die via een gateway data naar een cloudplatform stuurt, valt daar in de regel onder.

Eis e geldt voor zulke internetverbonden apparatuur als die persoonsgegevens kan verwerken, en daarnaast voor radioapparatuur voor kinderopvang, speelgoed met een radioverbinding en draagbare apparatuur. Eis f geldt voor internetverbonden apparatuur waarmee je geld of geldswaarde kunt overmaken.

Er zijn uitzonderingen voor producten die onder eigen regels vallen, zoals medische hulpmiddelen en voertuigen.

Hoe toon je het aan?

Je legt in je technische documentatie en je EU-conformiteitsverklaring vast hoe je product aan de eisen voldoet, als onderdeel van de CE-markering. Voor de RED-cybersecurity-eisen zijn geharmoniseerde normen ontwikkeld. Of en met welke beperkingen je die kunt gebruiken, controleer je bij de RDI.

Pas je geen geharmoniseerde norm toe, of maar gedeeltelijk, dan is een beoordeling door een aangemelde instantie nodig.

Wat verandert er op 11 december 2027?

Op 11 december 2027 is de Cyber Resilience Act (CRA) volledig van toepassing. De CRA stelt bredere eisen aan producten met digitale elementen, zoals kwetsbaarhedenbeheer, beveiligingsupdates gedurende de ondersteuningsperiode en een softwarestuklijst (SBOM).

De bedoeling is dat de CRA dan de RED-cybersecurity-eisen overneemt. De Europese Commissie heeft voorgesteld Verordening (EU) 2022/30 dan in te trekken, zodat er voor draadloze producten één set cybersecurity-eisen overblijft.

Wat vragen de CRA en de RED?

De Cyber Resilience Act (CRA, Verordening (EU) 2024/2847) stelt cyberbeveiligingseisen aan producten met digitale elementen: hardware en software die verbinding maken met een apparaat of netwerk. Vanaf 11 december 2027 gelden alle eisen, onder meer een risicobeoordeling, beveiliging vanaf het ontwerp, kwetsbaarhedenbeheer, beveiligingsupdates gedurende de ondersteuningsperiode en technische documentatie met een softwarestuklijst (SBOM).

Sinds 11 september 2026 moeten fabrikanten actief uitgebuite kwetsbaarheden en ernstige incidenten melden. Dat gaat via het Europese meldplatform (Single Reporting Platform) van ENISA; in Nederland is het NCSC het aangewezen meldpunt.

Draadloze producten hebben nu al cybersecurity-eisen. Sinds 1 augustus 2025 gelden voor bepaalde radioapparatuur de eisen uit artikel 3, lid 3, onder d, e en f van de radioapparatuurrichtlijn, via Gedelegeerde Verordening (EU) 2022/30: bescherming van het netwerk, van persoonsgegevens en privacy, en tegen fraude. Dat raakt veel IoT-sensoren en gateways met een radioverbinding die direct of via een ander apparaat met internet communiceren.

Vanaf 11 december 2027 is de CRA volledig van toepassing. De bedoeling is dat de CRA dan de RED-cybersecurity-eisen overneemt; de Europese Commissie heeft voorgesteld Verordening (EU) 2022/30 dan in te trekken. Ook importeurs en distributeurs hebben onder de CRA eigen verplichtingen.

Hoe CRA- en RED-gap-analyse je helpt

Wat we doen: We stellen vast of je product onder de CRA valt of onder een uitzondering, en of het een ‘belangrijk’ of ‘kritiek’ product is; We bepalen of de RED-cybersecurity-eisen voor je draadloze product gelden en hoe je dat nu aantoont; We bepalen je rol in de keten: fabrikant, importeur of distributeur; We leggen je ontwikkelproces, kwetsbaarhedenbeheer, updatebeleid, SBOM en documentatie naast de essentiële eisen; We controleren of je klaar bent voor de meldplicht: wie meldt wat, binnen welke termijn en via welk kanaal.

Wat er niet in zit: Geen CE-markering, certificering of conformiteitsverklaring namens jou; Geen penetratietest, radiotest of code-audit; wel hulp bij het uitzetten daarvan; Geen juridisch oordeel over contracten of aansprakelijkheid; Geen beoordeling door een aangemelde instantie.

Veelgestelde vragen

Valt mijn product onder de Cyber Resilience Act?

Waarschijnlijk wel als het software of firmware bevat en verbinding maakt met een apparaat of netwerk. Er zijn uitzonderingen voor producten die al onder specifieke regels vallen, zoals medische hulpmiddelen en voertuigen. In de analyse stellen we dat voor je product vast.

Wat moet ik sinds 11 september 2026 melden, en waar?

Actief uitgebuite kwetsbaarheden in je product en ernstige incidenten die de beveiliging ervan raken. Je meldt via het Europese meldplatform van ENISA; in Nederland is het NCSC het meldpunt. De eerste waarschuwing moet binnen 24 uur.

Ben ik fabrikant, importeur of distributeur?

Wie een product ontwerpt of laat maken en onder eigen naam of merk op de markt brengt, is fabrikant. Wie een product van buiten de EU op de Europese markt brengt, is importeur. Wie een product doorverkoopt zonder het te wijzigen, is distributeur. Elke rol heeft eigen verplichtingen.

Wat is het verschil tussen de CRA en NIS2?

De CRA gaat over de beveiliging van producten; NIS2 en de Cyberbeveiligingswet gaan over de beveiliging van organisaties. Lever je aan een organisatie onder de Cyberbeveiligingswet, dan vraagt die je vaak om aan te tonen hoe je product en je organisatie beveiligd zijn.

Heb ik een SBOM nodig?

Ja. De CRA verplicht fabrikanten om een softwarestuklijst (SBOM) op te stellen van ten minste de belangrijkste afhankelijkheden in hun product, en die bij de technische documentatie te bewaren. Je hoeft de SBOM niet openbaar te maken.

Gelden de RED-cybersecurity-eisen voor mijn draadloze sensor?

Als je sensor een radioverbinding heeft en direct of via een ander apparaat, zoals een gateway, met internet kan communiceren, gelden sinds 1 augustus 2025 in de regel de eisen voor netwerkbescherming. Verwerkt de sensor persoonsgegevens, dan gelden ook de eisen voor privacy. Er zijn uitzonderingen voor producten onder andere specifieke regels, zoals medische hulpmiddelen en voertuigen.

Wat verandert er voor RED-producten op 11 december 2027?

Dan is de CRA volledig van toepassing. Een draadloos product dat onder de CRA valt, moet vanaf dat moment aan de bredere CRA-eisen voldoen, zoals kwetsbaarhedenbeheer, beveiligingsupdates en een SBOM. De Europese Commissie heeft voorgesteld de RED-cybersecurityverordening dan in te trekken, zodat er één set eisen overblijft.

Wat is de Cyber Resilience Act?

De CRA (Verordening (EU) 2024/2847) stelt eisen aan hardware en software die verbinding maken met een apparaat of netwerk: producten met digitale elementen. Een product dat aan de CRA voldoet, krijgt een CE-markering die ook cybersecurity omvat.

Valt je product eronder?

Waarschijnlijk wel als je product software of firmware bevat en verbinding maakt. Er zijn uitzonderingen voor producten die onder eigen regels vallen, zoals medische hulpmiddelen en voertuigen, en voor open-source software die buiten een commerciële activiteit wordt ontwikkeld.

De CRA kent een standaardcategorie en daarnaast ‘belangrijke’ en ‘kritieke’ producten. Voor die laatste twee gelden strengere vormen van conformiteitsbeoordeling, soms met een aangemelde instantie.

Fabrikant, importeur of distributeur

De meeste verplichtingen liggen bij de fabrikant: wie een product ontwerpt of laat maken en onder eigen naam of merk op de markt brengt. Importeurs en distributeurs moeten nagaan dat de fabrikant zijn verplichtingen nakomt. Wie een product ingrijpend wijzigt of onder eigen naam verkoopt, krijgt de verplichtingen van een fabrikant.

De meldplicht sinds 11 september 2026

Fabrikanten moeten actief uitgebuite kwetsbaarheden in hun product en ernstige incidenten die de beveiliging ervan raken, melden. Een eerste waarschuwing moet binnen 24 uur, een melding binnen 72 uur, en daarna volgt een eindrapport.

Melden gaat via het Europese meldplatform (Single Reporting Platform) van ENISA. In Nederland is het NCSC het aangewezen meldpunt. Je informeert ook de gebruikers van je product.

Wat er vanaf 11 december 2027 geldt

Je product moet voldoen aan de essentiële cybersecurity-eisen uit bijlage I, deel I: onder meer geen bekende uitbuitbare kwetsbaarheden bij levering, een veilige standaardconfiguratie, bescherming van data en toegang, en de mogelijkheid om beveiligingsupdates te installeren.

Daarnaast moet je kwetsbaarheden beheren (bijlage I, deel II): een softwarestuklijst (SBOM) bijhouden van ten minste de belangrijkste afhankelijkheden, kwetsbaarheden zonder vertraging verhelpen, je product regelmatig testen en een beleid hebben voor het melden van kwetsbaarheden. Beveiligingsupdates lever je gedurende de ondersteuningsperiode, in de regel minimaal vijf jaar.

Je legt alles vast in technische documentatie, doorloopt de conformiteitsbeoordeling, stelt een EU-conformiteitsverklaring op en brengt de CE-markering aan.

De CRA en de RED

Voor draadloze producten gelden sinds 1 augustus 2025 al cybersecurity-eisen uit de radioapparatuurrichtlijn (RED). De bedoeling is dat de CRA die eisen vanaf 11 december 2027 overneemt. Lees meer in het artikel over de RED-cybersecurity-eisen.

Wat vragen de CRA en de RED?

De Cyber Resilience Act (CRA, Verordening (EU) 2024/2847) stelt cyberbeveiligingseisen aan producten met digitale elementen: hardware en software die verbinding maken met een apparaat of netwerk. Vanaf 11 december 2027 gelden alle eisen, onder meer een risicobeoordeling, beveiliging vanaf het ontwerp, kwetsbaarhedenbeheer, beveiligingsupdates gedurende de ondersteuningsperiode en technische documentatie met een softwarestuklijst (SBOM).

Sinds 11 september 2026 moeten fabrikanten actief uitgebuite kwetsbaarheden en ernstige incidenten melden. Dat gaat via het Europese meldplatform (Single Reporting Platform) van ENISA; in Nederland is het NCSC het aangewezen meldpunt.

Draadloze producten hebben nu al cybersecurity-eisen. Sinds 1 augustus 2025 gelden voor bepaalde radioapparatuur de eisen uit artikel 3, lid 3, onder d, e en f van de radioapparatuurrichtlijn, via Gedelegeerde Verordening (EU) 2022/30: bescherming van het netwerk, van persoonsgegevens en privacy, en tegen fraude. Dat raakt veel IoT-sensoren en gateways met een radioverbinding die direct of via een ander apparaat met internet communiceren.

Vanaf 11 december 2027 is de CRA volledig van toepassing. De bedoeling is dat de CRA dan de RED-cybersecurity-eisen overneemt; de Europese Commissie heeft voorgesteld Verordening (EU) 2022/30 dan in te trekken. Ook importeurs en distributeurs hebben onder de CRA eigen verplichtingen.

Hoe CRA- en RED-gap-analyse je helpt

Wat we doen: We stellen vast of je product onder de CRA valt of onder een uitzondering, en of het een ‘belangrijk’ of ‘kritiek’ product is; We bepalen of de RED-cybersecurity-eisen voor je draadloze product gelden en hoe je dat nu aantoont; We bepalen je rol in de keten: fabrikant, importeur of distributeur; We leggen je ontwikkelproces, kwetsbaarhedenbeheer, updatebeleid, SBOM en documentatie naast de essentiële eisen; We controleren of je klaar bent voor de meldplicht: wie meldt wat, binnen welke termijn en via welk kanaal.

Wat er niet in zit: Geen CE-markering, certificering of conformiteitsverklaring namens jou; Geen penetratietest, radiotest of code-audit; wel hulp bij het uitzetten daarvan; Geen juridisch oordeel over contracten of aansprakelijkheid; Geen beoordeling door een aangemelde instantie.

Veelgestelde vragen

Valt mijn product onder de Cyber Resilience Act?

Waarschijnlijk wel als het software of firmware bevat en verbinding maakt met een apparaat of netwerk. Er zijn uitzonderingen voor producten die al onder specifieke regels vallen, zoals medische hulpmiddelen en voertuigen. In de analyse stellen we dat voor je product vast.

Wat moet ik sinds 11 september 2026 melden, en waar?

Actief uitgebuite kwetsbaarheden in je product en ernstige incidenten die de beveiliging ervan raken. Je meldt via het Europese meldplatform van ENISA; in Nederland is het NCSC het meldpunt. De eerste waarschuwing moet binnen 24 uur.

Ben ik fabrikant, importeur of distributeur?

Wie een product ontwerpt of laat maken en onder eigen naam of merk op de markt brengt, is fabrikant. Wie een product van buiten de EU op de Europese markt brengt, is importeur. Wie een product doorverkoopt zonder het te wijzigen, is distributeur. Elke rol heeft eigen verplichtingen.

Wat is het verschil tussen de CRA en NIS2?

De CRA gaat over de beveiliging van producten; NIS2 en de Cyberbeveiligingswet gaan over de beveiliging van organisaties. Lever je aan een organisatie onder de Cyberbeveiligingswet, dan vraagt die je vaak om aan te tonen hoe je product en je organisatie beveiligd zijn.

Heb ik een SBOM nodig?

Ja. De CRA verplicht fabrikanten om een softwarestuklijst (SBOM) op te stellen van ten minste de belangrijkste afhankelijkheden in hun product, en die bij de technische documentatie te bewaren. Je hoeft de SBOM niet openbaar te maken.

Gelden de RED-cybersecurity-eisen voor mijn draadloze sensor?

Als je sensor een radioverbinding heeft en direct of via een ander apparaat, zoals een gateway, met internet kan communiceren, gelden sinds 1 augustus 2025 in de regel de eisen voor netwerkbescherming. Verwerkt de sensor persoonsgegevens, dan gelden ook de eisen voor privacy. Er zijn uitzonderingen voor producten onder andere specifieke regels, zoals medische hulpmiddelen en voertuigen.

Wat verandert er voor RED-producten op 11 december 2027?

Dan is de CRA volledig van toepassing. Een draadloos product dat onder de CRA valt, moet vanaf dat moment aan de bredere CRA-eisen voldoen, zoals kwetsbaarhedenbeheer, beveiligingsupdates en een SBOM. De Europese Commissie heeft voorgesteld de RED-cybersecurityverordening dan in te trekken, zodat er één set eisen overblijft.

Van richtlijn naar verordening

Een richtlijn moest eerst in nationale wetgeving worden omgezet; een verordening geldt rechtstreeks in alle lidstaten. Vanaf 20 januari 2027 is de Machineverordening van toepassing op machines en aanverwante producten die je in de handel brengt.

Wat blijft hetzelfde?

De basis blijft: een risicobeoordeling, de essentiële veiligheids- en gezondheidseisen, een technisch dossier, een EU-conformiteitsverklaring en de CE-markering. Machines die vóór 20 januari 2027 rechtmatig in de handel zijn gebracht, mogen blijven circuleren.

Cybersecurity in de essentiële eisen

Nieuw is dat cybersecurity onderdeel is van de essentiële eisen in bijlage III. Punt 1.1.9 gaat over bescherming tegen corruptie: een verbinding met een ander apparaat of een ingreep op afstand mag niet tot een gevaarlijke situatie leiden, en software en data die de veiligheid bepalen, moeten beschermd zijn.

Punt 1.2.1 gaat over de veiligheid en betrouwbaarheid van besturingssystemen. Die moeten bestand zijn tegen fouten en tegen kwaadwillige pogingen, en ingrepen in de besturing moeten herleidbaar zijn.

Software en zelflerend gedrag

Software die een veiligheidsfunctie vervult en los in de handel wordt gebracht, kan een veiligheidscomponent zijn. Voor veiligheidscomponenten met zelflerend gedrag en machines waarin die zijn ingebouwd, gelden strengere regels. Gebruikt zo’n veiligheidsfunctie AI, dan kan ook de AI Act gelden.

Wanneer een aangemelde instantie?

Voor machines en producten in bijlage I geldt een strengere conformiteitsbeoordeling. Voor de categorieën in deel A is een aangemelde instantie altijd nodig. Voor deel B kun je ook kiezen voor een interne beoordeling, als je de geharmoniseerde normen volledig toepast.

Ingrijpende wijzigingen

Wie een machine na het in de handel brengen ingrijpend wijzigt, fysiek of digitaal, en daarmee een nieuw gevaar of een groter risico veroorzaakt, kan de verplichtingen van een fabrikant krijgen. Dat is relevant voor integratoren die bestaande machines uitbreiden, verbinden of van nieuwe software voorzien.

Wat verandert er met de Machineverordening?

De Machineverordening geldt rechtstreeks in alle EU-lidstaten en vervangt de Machinerichtlijn 2006/42/EG. Machines die je vanaf 20 januari 2027 in de handel brengt, moeten aan de nieuwe eisen voldoen. Machines die vóór 20 januari 2027 rechtmatig in de handel zijn gebracht, mogen blijven circuleren.

Cybersecurity is onderdeel van de essentiële veiligheids- en gezondheidseisen in bijlage III. Punt 1.1.9 gaat over bescherming tegen corruptie: een verbinding of een ingreep op afstand mag niet tot een gevaarlijke situatie leiden. Punt 1.2.1 gaat over de veiligheid en betrouwbaarheid van besturingssystemen.

Daarnaast stelt de verordening eisen aan software die een veiligheidsfunctie vervult, en aan machines met zelflerend gedrag. Voor een aantal categorieën in bijlage I is beoordeling door een aangemelde instantie verplicht. Wie een machine ingrijpend aanpast, kan de verplichtingen van een fabrikant krijgen; dat is relevant voor integratoren die bestaande machines uitbreiden of verbinden.

Hoe Machineverordening Readiness Scan je helpt

Wat we doen: We bepalen of je product een machine, niet-voltooide machine, verwisselbaar uitrustingsstuk of veiligheidscomponent is; We toetsen of je product in bijlage I valt en welke conformiteitsbeoordeling dan geldt; We leggen je technisch dossier en risicobeoordeling naast de essentiële eisen van bijlage III, inclusief de punten 1.1.9 en 1.2.1; We kijken specifiek naar software, verbindingen en updates die veiligheidsfuncties raken.

Wat er niet in zit: Geen CE-markering of certificering: die verantwoordelijkheid blijft bij jou als fabrikant; Geen metingen, testen of beoordeling door een aangemelde instantie; Geen juridisch oordeel over aansprakelijkheid of contracten; Geen uitvoering van ontwerpwijzigingen; wel advies over de aanpak.

Veelgestelde vragen

Wanneer geldt de nieuwe Machineverordening?

De Machineverordening (EU) 2023/1230 is van toepassing vanaf 20 januari 2027. Machines die je vanaf dat moment in de handel brengt, moeten eraan voldoen.

Wat verandert er ten opzichte van de Machinerichtlijn?

Een verordening geldt direct in alle lidstaten; een richtlijn moest eerst in nationale wetgeving worden omgezet. Inhoudelijk komen er onder meer eisen bij voor cybersecurity van veiligheidsfuncties, voor software die een veiligheidsfunctie vervult en voor machines met zelflerend gedrag. Ook mag de gebruiksaanwijzing digitaal worden geleverd.

Wat zegt de Machineverordening over software en updates?

Software die een veiligheidsfunctie vervult en los in de handel wordt gebracht, kan een veiligheidscomponent zijn. Besturingssystemen moeten zo zijn ontworpen dat software en data die de veiligheid bepalen, beschermd zijn tegen corruptie, en ingrepen in die software moeten herleidbaar zijn.

Wanneer heb ik een aangemelde instantie nodig?

Voor machines en producten die in bijlage I staan. Voor de categorieën in deel A is beoordeling door een aangemelde instantie altijd verplicht. Voor deel B kun je ook kiezen voor een interne beoordeling, als je de geharmoniseerde normen volledig toepast.

Geldt de verordening ook voor machines die al op de markt zijn?

Machines die vóór 20 januari 2027 rechtmatig in de handel zijn gebracht, mogen blijven circuleren. Voor elk exemplaar dat je vanaf die datum in de handel brengt, gelden de nieuwe eisen. Pas je een machine ingrijpend aan, dan kan dat een substantiële wijziging zijn.

Wat betekent de Machineverordening voor de cybersecurity van mijn machine?

Je machine moet beschermd zijn tegen corruptie: een verbinding met een ander apparaat of een ingreep op afstand mag niet tot een gevaarlijke situatie leiden (bijlage III, punt 1.1.9). Besturingssystemen moeten veilig en betrouwbaar zijn, ook bij fouten en kwaadwillige pogingen (punt 1.2.1). Voor verbonden machines is dit vaak het grootste nieuwe onderdeel van het dossier.

Wanneer stopt 2G?

KPN zet zijn 2G-netwerk in Nederland uit op 1 december 2027. Bij andere providers kan dat op een ander moment zijn; vraag je provider wat voor jouw simkaarten geldt.

Ook buiten Nederland gaan 2G en 3G uit, maar het moment verschilt per land. Gebruik je apparaten of simkaarten in het buitenland, controleer dan per land wanneer 2G stopt. KPN publiceert daarvoor een overzicht per land.

Waarom stopt KPN met 2G?

Volgens KPN bestaat het 2G-netwerk sinds de jaren negentig en wordt het steeds lastiger om het veilig en energie-efficiënt aan te bieden. Door 2G uit te schakelen, kan KPN zijn andere netwerken verbeteren en uitbreiden.

Wat verandert er voor bellen en sms?

Vanaf 1 december 2027 kun je bij KPN in Nederland alleen nog via 4G bellen (VoLTE). Een apparaat dat spraak gebruikt, moet 4G-bellen ondersteunen.

Sms via 4G en 5G werkt anders dan via 2G. Gebruikt een apparaat sms, bijvoorbeeld voor meldingen of configuratie, controleer dan of het na de overstap nog werkt zoals bedoeld.

Naar welk netwerk?

KPN noemt als alternatieven LoRa, 4G en 5G, LTE-M en NB-IoT. Welk netwerk past, verschilt per apparaat en toepassing.

Waarom 2G nu aandacht vraagt

Veel IoT-apparaten gebruiken nog 2G, vanwege de goede dekking en het lage stroomverbruik. KPN heeft aangekondigd 2G op 1 december 2027 uit te schakelen. Andere netwerken in Nederland en daarbuiten hanteren hun eigen planning; vraag je provider wat voor jouw simkaarten geldt.

Alternatieven zijn onder meer 4G (LTE Cat-1), LTE-M en NB-IoT, of een niet-mobiel netwerk zoals LoRaWAN. De keuze hangt af van dekking, stroomverbruik, datavolume en de levensduur van het apparaat.

Een nieuwe radiomodule kan gevolgen hebben voor je product: andere firmware, nieuwe tests onder de radioapparatuurrichtlijn en een bijgewerkt technisch dossier. Ook dat nemen we mee.

Hoe 2G-migratiescan je helpt

Wat we doen: We inventariseren met je welke apparaten, modems en simkaarten 2G gebruiken, ook als terugvaloptie; We bepalen per apparaatgroep de impact en de urgentie; We vergelijken de alternatieven voor je situatie, zonder voorkeur voor een netwerk of leverancier; We stellen een gefaseerd vervangplan op per asset, inclusief de gevolgen voor firmware en productdocumentatie.

Wat er niet in zit: Geen levering of verkoop van hardware of simkaarten; Geen installatie of vervanging op locatie; Geen radiotesten of certificering; Geen garantie op de dekking van een specifiek netwerk.

Veelgestelde vragen

Stopt 2G bij alle providers op 1 december 2027?

Nee. Die datum geldt voor het 2G-netwerk van KPN in Nederland. Bij andere providers kan het moment anders zijn, en buiten Nederland verschilt het per land.

Kan ik na 1 december 2027 nog via 2G bellen bij KPN?

Nee. Vanaf 1 december 2027 kun je bij KPN in Nederland alleen nog via 4G bellen (VoLTE). Controleer of je apparaat 4G-bellen ondersteunt.

Werkt sms nog na de overstap?

Sms via 4G en 5G werkt anders dan via 2G, en dat kan gevolgen hebben voor je gebruik. Test apparaten die sms gebruiken op het nieuwe netwerk voordat je ze uitrolt.

Wanneer stopt 2G in Nederland?

KPN schakelt het 2G-netwerk uit op 1 december 2027. Andere providers hanteren hun eigen planning; vraag je provider wat voor jouw simkaarten geldt.

Hoe weet ik of mijn apparaten op 2G draaien?

Kijk naar het modem of de module in het apparaat: het typenummer en de datasheet laten zien welke netwerken het ondersteunt. Een module die alleen GSM of GPRS ondersteunt, draait op 2G. Ook apparaten met een 4G-modem kunnen 2G als terugvaloptie gebruiken; dat zie je in de configuratie of in de verbindingsgegevens van je provider of platform.

LoRaWAN, LTE-M of NB-IoT: wat past bij welk apparaat?

LoRaWAN past bij apparaten die weinig data versturen en lang op een batterij moeten werken, met een eigen of gedeeld netwerk. LTE-M past bij apparaten die meer data versturen of bewegen. NB-IoT past bij vaste apparaten die weinig data versturen, ook op lastig bereikbare plekken. De dekking op locatie en de levensduur van het apparaat bepalen mee.

Wat gebeurt er met apparaten die niet op tijd vervangen zijn?

Apparaten die alleen via 2G communiceren, kunnen na de uitschakeling niet meer via het KPN-netwerk verbinden. Ze sturen dan geen data meer en zijn niet meer op afstand bereikbaar, tenzij ze een ander netwerk kunnen gebruiken.

Wat is de Cyberbeveiligingswet?

De Cyberbeveiligingswet (Cbw) geldt sinds 15 augustus 2026. Ze voert de Europese NIS2-richtlijn uit in Nederland en vervangt de Wet beveiliging netwerk- en informatiesystemen (Wbni).

De wet geldt voor organisaties die essentiële of belangrijke diensten verlenen in achttien sectoren, waaronder energie, drinkwater, digitale infrastructuur, gezondheidszorg, overheid en vervoer. Die organisaties moeten zich registreren in het nationale entiteitenregister, passende en evenredige maatregelen nemen om de risico’s voor hun netwerk- en informatiesystemen te beheersen, en significante incidenten melden. Het bestuur keurt de maatregelen goed en ziet toe op de uitvoering.

Val je zelf onder de wet?

Dat hangt af van je sector en de omvang van je organisatie. Volgens het NCSC kunnen ook grotere bedrijven in andere sectoren en sommige toeleveranciers onder de wet vallen. Organisaties stellen zelf vast of de wet voor hen geldt; het NCSC heeft daarvoor een check.

Hoor je niet bij een van de sectoren uit de wet, dan geldt de wet niet voor je en hoef je je niet te registreren.

Waarom je klant naar je beveiliging vraagt

De Cyberbeveiligingswet schrijft tien zorgplichtmaatregelen voor. Eén daarvan is de beveiliging van de toeleveringsketen, inclusief de relaties met rechtstreekse leveranciers en dienstverleners. Een organisatie is namelijk afhankelijk van hoe veilig haar leveranciers zelf zijn.

Het NCSC raadt organisaties aan hun rechtstreekse leveranciers in kaart te brengen en met hen in gesprek te gaan over hun weerbaarheid. Als leverancier kun je die vragen dus verwachten.

Waar gaan de vragen over?

Je klant bepaalt zelf welke maatregelen passend zijn, met risicomanagement als basis. De zorgplicht noemt onder meer: incidentrespons, bedrijfscontinuïteit zoals back-ups en herstelplannen, beveiliging bij het verwerven, ontwikkelen en onderhouden van systemen (inclusief de respons op en bekendmaking van kwetsbaarheden), beveiliging rond personeel, toegang en assets, en waar passend multifactorauthenticatie.

Als leverancier gaat het om je bijdrage aan die onderwerpen, bijvoorbeeld: hoe je kwetsbaarheden in je product afhandelt, hoe je je klant informeert over een incident, en wie bij jou toegang heeft tot zijn systemen of data.

Waarom NIS2 ook leveranciers raakt

De Cyberbeveiligingswet verplicht essentiële en belangrijke entiteiten om passende maatregelen te nemen voor hun netwerk- en informatiesystemen. De beveiliging van de toeleveringsketen hoort daar expliciet bij.

Ook als je zelf niet onder de wet valt, krijg je ermee te maken: je klanten vragen naar je beveiligingsbeleid, de afhandeling van kwetsbaarheden en incidenten, toegangsbeheer en de beveiliging van je producten en diensten.

Hoe NIS2-leveranciersdossier je helpt

Wat we doen: We verzamelen de eisen die je klanten stellen, bijvoorbeeld in vragenlijsten of inkoopvoorwaarden; We brengen in kaart wat je al hebt geregeld voor je producten en diensten, en wat nog ontbreekt; We stellen het dossier op met beleid, maatregelen en bewijsstukken; We helpen je de vragenlijsten van je klanten te beantwoorden.

Wat er niet in zit: Geen advies voor organisaties die zelf onder de Cyberbeveiligingswet vallen; Geen certificering, zoals ISO/IEC 27001; Geen audit namens je klant of een toezichthouder; Geen juridisch oordeel en geen opstellen van contracten.

Veelgestelde vragen

Moet ik me als leverancier registreren bij het NCSC?

Alleen als je organisatie zelf onder de Cyberbeveiligingswet valt. Hoor je niet bij een van de sectoren uit de wet, dan geldt de wet niet voor je en hoef je je niet te registreren. Gebruik bij twijfel de check van het NCSC.

Wie bepaalt welke maatregelen passend zijn?

De organisatie die onder de wet valt, bepaalt zelf welke maatregelen passend zijn. Risicomanagement is daarbij de basis.

Sinds wanneer geldt de Cyberbeveiligingswet?

Sinds 15 augustus 2026. De wet voert de Europese NIS2-richtlijn uit in Nederland.

Val ik als leverancier zelf onder de Cyberbeveiligingswet?

Dat hangt af van je sector en de omvang van je organisatie. Veel mkb-leveranciers vallen er zelf niet onder, maar krijgen er via hun klanten wel mee te maken. Twijfel je, gebruik dan de check van het NCSC.

Welke eisen mag mijn klant aan mij stellen?

Je klant moet de beveiligingsrisico’s in zijn keten beheersen en mag daarom eisen stellen aan zijn leveranciers. Vaak gaat het om je beveiligingsbeleid, de afhandeling van kwetsbaarheden en incidenten, toegangsbeheer, back-ups en de beveiliging van je producten. Wat precies, spreek je met je klant af.

Is er een NIS2-certificaat voor leveranciers?

Nee, de Cyberbeveiligingswet kent geen apart certificaat voor leveranciers. Klanten vragen vaak om beleid en bewijs, en soms om een bestaand certificaat zoals ISO/IEC 27001. Een goed onderbouwd dossier volstaat vaak.

Wat hoort er in een leveranciersdossier?

Een beschrijving van je organisatie en je producten of diensten, je beveiligingsbeleid, de maatregelen die je hebt genomen, hoe je kwetsbaarheden en incidenten afhandelt en meldt aan je klant, toegangsbeheer, en bewijsstukken bij elk onderdeel.

Wanneer is AI in een machine hoog-risico?

De AI Act (Verordening (EU) 2024/1689) werkt met risiconiveaus. Voor machines en robots is vooral artikel 6, lid 1, van belang: een AI-systeem dat een veiligheidscomponent is van een product onder de harmonisatiewetgeving in bijlage I, zoals de Machineverordening, is hoog-risico als dat product een conformiteitsbeoordeling door een derde partij moet ondergaan.

Hoog-risico-AI vraagt onder meer om risicobeheer, datagovernance, technische documentatie, logging, menselijk toezicht, nauwkeurigheid en robuustheid. Ook AI-functies die niet hoog-risico zijn, kunnen verplichtingen hebben, bijvoorbeeld rond transparantie.

De verplichtingen van de AI Act gaan gefaseerd in, met langere termijnen voor hoog-risico-AI in producten. Omdat er wijzigingen in die planning zijn voorgesteld, noemen we hier geen datum. In de classificatie gaan we uit van de tekst die op dat moment geldt.

Hoe AI in robotica je helpt

Wat we doen: We inventariseren alle AI- en ML-functies in je product en hun rol; We bepalen per functie of het een veiligheidscomponent is en hoe dat samenhangt met de Machineverordening; We toetsen de functies aan de verboden praktijken, de hoog-risico-categorieën en de transparantieverplichtingen; We vertalen de uitkomst naar je verplichtingen als aanbieder, importeur of gebruiker.

Wat er niet in zit: Geen conformiteitsbeoordeling of certificering; Geen technische validatie of testen van je AI-model; Geen juridisch oordeel over aansprakelijkheid; Geen inrichting van een organisatiebreed AI-managementsysteem.

Veelgestelde vragen

Wanneer is AI in een machine een veiligheidscomponent?

Als de AI een veiligheidsfunctie vervult voor de machine, of als falen of slecht functioneren ervan de gezondheid of veiligheid van personen in gevaar brengt. Denk aan AI die personen detecteert en de machine laat stoppen, of die de snelheid begrenst als iemand nadert.

Wat betekent hoog-risico onder de AI Act voor een robotbouwer?

Je moet onder meer een risicobeheersysteem hebben, de kwaliteit van trainings- en testdata borgen, technische documentatie opstellen, gebeurtenissen loggen, menselijk toezicht mogelijk maken en zorgen voor nauwkeurigheid, robuustheid en cybersecurity. De beoordeling loopt mee in de conformiteitsbeoordeling van je machine.

Hoe hangen de AI Act en de Machineverordening samen?

De Machineverordening staat in bijlage I van de AI Act. Machines met AI in een veiligheidsfunctie kunnen daardoor onder beide regels vallen: de Machineverordening stelt eisen aan de machine, de AI Act aan het AI-systeem.

Welke documentatie verwacht de AI Act?

Technische documentatie volgens bijlage IV: onder meer een beschrijving van het systeem en het beoogde doel, het ontwikkelproces, de gebruikte data, het risicobeheer, de prestaties en het toezicht na het in de handel brengen. Voor producten onder bijlage I mag je één set documentatie maken, samen met die van je machine.

Productregels en operatieregels

Verordening (EU) 2019/945 stelt eisen aan drones met een klasse-markering (C0 tot en met C6), waaronder de CE-markering en een klasse-identificatielabel. Ook functies zoals directe identificatie op afstand (remote ID) volgen uit deze verordening.

Verordening (EU) 2019/947 regelt de operatie: de categorieën ‘open’, ‘specifiek’ en ‘gecertificeerd’, de registratie van exploitanten, de bevoegdheid van piloten en, in de specifieke categorie, een operationele risicobeoordeling. Verordening (EU) 2021/664 regelt vluchten in aangewezen U-space-luchtruim.

Een verbonden drone bevat software en maakt verbinding. Of en hoe de Cyber Resilience Act daarnaast geldt, nemen we mee in het dossier.

Hoe Drone-dossier je helpt

Wat we doen: We bepalen in welke categorie je toepassing valt en welke klasse-eisen voor je drone gelden; We brengen de producteisen in kaart, inclusief CE-markering en directe identificatie op afstand; We beoordelen wat de operatie vraagt: registratie, bevoegdheden en waar nodig een risicobeoordeling volgens SORA; We kijken of U-space-luchtruim en de Cyber Resilience Act voor je relevant zijn.

Wat er niet in zit: Geen aanvraag van vergunningen of operationele autorisaties namens jou; Geen typecertificering, testvluchten of beoordeling door een aangemelde instantie; Geen juridisch oordeel over aansprakelijkheid of verzekering; Geen opleiding van piloten.

Veelgestelde vragen

Wat is het verschil tussen productregels en operatieregels voor drones?

Productregels (Verordening (EU) 2019/945) gaan over de drone zelf: klasse-markering, CE-markering en functies zoals remote ID. Operatieregels (Verordening (EU) 2019/947) gaan over hoe, waar en door wie er wordt gevlogen. Als bouwer heb je vooral met het eerste te maken, als operator met het tweede.

Welke C-klasse heeft mijn drone nodig?

Dat hangt onder meer af van het gewicht, de functies en de categorie waarin de drone wordt ingezet. De klassen C0 tot en met C4 horen bij de open categorie, C5 en C6 bij standaardscenario’s in de specifieke categorie.

Wanneer val ik in de specifieke categorie?

Als je vlucht niet binnen de grenzen van de open categorie past, bijvoorbeeld bij vliegen buiten zicht, hoger dan 120 meter, boven mensenmenigten of met een drone van 25 kilo of zwaarder. Dan heb je een operationele autorisatie nodig of vlieg je volgens een standaardscenario.

Wat is een SORA?

SORA staat voor Specific Operations Risk Assessment: een methode om de risico’s van een vlucht in de specifieke categorie te beoordelen en de passende maatregelen te bepalen. Op basis daarvan vraag je een operationele autorisatie aan.

Wat betekent U-space voor zakelijke vluchten?

In aangewezen U-space-luchtruim moet je gebruikmaken van U-space-diensten, zoals netwerkidentificatie, geo-awareness, vluchtautorisatie en verkeersinformatie. De regels staan in Verordening (EU) 2021/664.

Wat we doen

• We houden een intake met je team over het product, de markt en je planning.
• We bekijken de productdocumentatie: architectuur, radiomodules, firmware- en updateproces, AI-functies en beoogd gebruik.
• We toetsen het product per regeling: CRA, RED-cybersecurity, Machineverordening, AI Act, droneregels, 2G-afhankelijkheid en de NIS2-eisen van je afnemers.
• We zetten de vervolgstappen op volgorde van deadline en risico.

Wat er níet in zit

• Geen volledige gap-analyse per regeling; daarvoor zijn de vervolgpakketten
• Geen CE-markering, certificering of conformiteitsverklaring
• Geen juridisch oordeel
• Geen testen of metingen aan het product

Veelgestelde vragen over de regelscan

Wat is het verschil tussen de zelfscan en de Sensor- en IoT-regelscan?

De zelfscan is gratis en geeft binnen een paar vragen een indicatie op basis van je eigen antwoorden. In de Sensor- en IoT-regelscan beoordelen we je product zelf, met je team en je documentatie, en leggen we de uitkomst vast in een onderbouwde scope-memo.

Welke regels neem je mee?

De Cyber Resilience Act, de cybersecurity-eisen uit de radioapparatuurrichtlijn (RED), de Machineverordening, de AI Act, de EU-droneregels, de uitschakeling van 2G en de eisen die afnemers onder de Cyberbeveiligingswet (NIS2) aan hun leveranciers stellen.

Wat moet ik aanleveren?

Wat je al hebt: een productbeschrijving, de architectuur of een blokschema, de gebruikte radiomodules, hoe updates werken, welke AI-functies erin zitten en aan wie je levert. Ontbreekt er iets, dan halen we het op in de intake.

Wat gebeurt er na de scan?

Je weet welke regels gelden en wat de volgende stap is. Dat kan een vervolgpakket zijn, zoals de CRA- en RED-gap-analyse of de Machineverordening Readiness Scan, maar je kunt de stappen ook zelf oppakken.