Beveiliging van IoT-netwerken en naleving van de RED-richtlijn

Informatic Digital » Middelen » Beveiliging van IoT-netwerken en naleving van de RED-richtlijn

De explosieve groei van IoT- en radioapparaten in huizen, fabrieken, de energiesector, de gezondheidszorg en het transport heeft de manier waarop we verbonden zijn volledig veranderd... en daarmee ook het aanvalsoppervlak voor cybercriminelen. Elke slimme meter, elk draagbaar apparaat en elke industriële sensor is in feite een potentieel toegangspunt tot het netwerk als er vanaf het begin geen rekening is gehouden met beveiliging bij het ontwerp.

In deze context is het beveiligen van IoT-netwerken onder de Richtlijn radioapparatuur (RED) en de aanstaande Cyber ​​Resilience Act (CRA) een cruciaal vraagstuk geworden voor fabrikanten, integratoren, operators en elk bedrijf dat verbonden producten verkoopt in de Europese Unie. Het gaat niet alleen om "het voldoen aan de papierwinkel": de nieuwe wettelijke verplichtingen leggen zeer specifieke eisen op aan cybersecurity, privacy en fraudebescherming, die van invloed zijn op het ontwerp van hardware, firmware, software, connectiviteit en clouddiensten.

Europees juridisch kader: waarom RED en CRA alles veranderen

De afgelopen tien jaar is het IoT enorm gegroeid dankzij technologieën zoals Wi-Fi, Bluetooth en NFC. Deze technologieën hebben talloze producten omgetoverd tot draadloze apparaten die met elkaar en met de cloud kunnen communiceren. Op het gebied van cyberbeveiliging worden deze apparaten echter beschouwd als een van de zwakste punten: veel slimme huisoplossingen missen nog steeds zelfs minimale bescherming, en in industriële en productieomgevingen zijn er nog steeds enorme lacunes in zowel IT- als OT-beveiliging.

De economische gevolgen van deze situatie zijn enorm: de wereldwijde kosten van cybercriminaliteit bedroegen volgens de EU-Raad in 2020 zo'n 5,5 biljoen euro , en recente studies, zoals die van Trend Micro, tonen aan dat bijna 90% van de Duitse energie-, olie- en gas- of productiebedrijven in slechts twaalf maanden tijd te maken kreeg met cyberaanvallen, met een gemiddelde schade van bijna 3 miljoen euro per bedrijf.

De opkomst van wearables en datagestuurde, AI-gedreven bedrijfsmodellen heeft het belang van de bescherming van persoonsgegevens verder benadrukt. Regelgeving zoals de AVG (Verordening (EU) 2016/679) of de voormalige R&TTE-richtlijn 1999/5/EC schieten tekort in het afdekken van de soorten bedreigingen waarmee verbonden apparaten momenteel te maken hebben, met name geavanceerde cyberaanvallen, online fraude en manipulatie van diensten.

Als reactie hierop heeft de Europese Unie de Richtlijn radioapparatuur (RED) 2014/53/EU , die sinds 2016 van kracht is en de R&TTE-richtlijn verving, aangescherpt. De RED regelde al elektromagnetische compatibiliteit, elektrische veiligheid en het efficiënte gebruik van het radiospectrum; nu omvat de richtlijn ook strengere cyberbeveiligingsverplichtingen die van invloed zijn op de meeste verbonden radioapparatuur, waaronder veel IoT-apparaten.

Gedelegeerde Verordening (EU) 2022/30 en Artikelen 3(3)(d)-(f) RED

Het echte keerpunt kwam met de Gedelegeerde Verordening (EU) 2022/30 , die op 29 oktober 2021 werd aangenomen. Deze verordening activeert de artikelen 3(3)(d), (e) en (f) van de NET, waarin wordt bepaald welke categorieën radioapparatuur moeten voldoen aan de nieuwe eisen voor cyberbeveiliging, privacy en bescherming tegen fraude.

De standaard richt zich op een aantal bijzonder gevoelige productfamilies, waaronder een groot deel van het IoT-ecosysteem voor consumenten en professionals :

• Radioapparatuur met internetverbindingElk apparaat dat direct of indirect met het netwerk kan communiceren. Dit omvat smartphones, tablets, routers, IoT-apparaten voor thuisgebruik, aangesloten industriële sensoren, enzovoort.
• Radioapparatuur voor kinderopvangProducten die uitsluitend zijn ontworpen om toezicht te houden op minderjarigen of te helpen bij de verzorging van minderjarigen, zoals slimme babyfoons.
• Radioapparatuur die valt onder de speelgoedveiligheidsrichtlijn 2009/48/EC.Speelgoed met radiofuncties waarmee informatie kan worden opgenomen, opgeslagen of gedeeld, waarmee interactie met gebruikers (vooral kinderen) mogelijk is, of dat microfoons, luidsprekers of sensoren bevat.
• Draagbare radioapparatenAlles wat ontworpen is om op of over kleding gedragen te worden, zoals smartwatches, activity trackers, headsets, koptelefoons of slimme brillen.

Het is belangrijk op te merken dat bepaalde categorieën van deze verordening zijn uitgesloten omdat ze al een eigen specifiek kader hebben: medische hulpmiddelen (Verordeningen (EU) 2017/745 en 2017/746), apparatuur voor de burgerluchtvaart, elektronische tolheffingssystemen en andere apparaten die onder andere sectorale wetgeving vallen en buiten het toepassingsgebied van de RED vallen.

Aanvankelijk zouden deze nieuwe verplichtingen ingaan op 1 augustus 2024, maar de Europese Commissie heeft besloten de datum met een jaar uit te stellen om de industrie de tijd te geven. De nieuwe verplichte deadline voor naleving van de Gedelegeerde Verordening (EU) 2022/30 is 1 augustus 2025. Fabrikanten, distributeurs en OEM's die radiomodules integreren, moeten deze tijd gebruiken om ontwerpen aan te passen, ontwikkelingsprocessen te waarborgen en conformiteitsdocumentatie op te stellen.

Vereisten op het gebied van cyberbeveiliging, privacy en fraudebestrijding in het netwerk.

Artikel 3(3)(d), (e) en (f) van de RED bevatten de kern van de nieuwe beveiligingsvereisten, bedoeld om de risico's te verminderen die verbonden zijn aan de connectiviteit van radioapparatuur, met name IoT-apparaten.

Artikel 3(3)(d) heeft betrekking op alle met internet verbonden radioapparatuur en vereist dat deze zodanig is ontworpen dat deze het netwerk of de functies ervan niet schaadt, geen misbruik maakt van netwerkbronnen en de dienstverlening niet onaanvaardbaar verslechtert . In de praktijk houdt dit in dat er maatregelen moeten worden genomen om te voorkomen dat een gecompromitteerd apparaat een dienst platlegt, een DDoS-aanval uitvoert of de beschikbaarheid van kritieke netwerken verstoort.

Artikel 3(3)(e) richt zich op de bescherming van persoonsgegevens en de privacy van gebruikers en abonnees. Het vereist dat radioapparatuur die persoonsgegevens verwerkt, waarborgen bevat om ongeoorloofde toegang of onjuiste overdracht van informatie te voorkomen, bijvoorbeeld door middel van robuuste toegangscontroles, versleuteling van gegevens tijdens overdracht en opslag, en de principes van privacy-by-design en dataminimalisatie.

Artikel 3(3)(f) introduceert specifieke eisen voor apparaten die virtuele valuta of monetaire waarden verwerken , dat wil zeggen apparaten die betrokken zijn bij digitale betalingen, elektronische portemonnees of soortgelijke transacties. Deze apparaten moeten beschikken over verbeterde fraudebestrijdingsmechanismen, zoals sterke gebruikersauthenticatiemechanismen, controles op de integriteit van transacties en detectie van verdachte activiteiten.

Artikel 4 van de RED behandelt bovendien een cruciaal punt voor het IoT-ecosysteem : de combinatie van radioapparatuur met software. Fabrikanten zijn verplicht informatie te verstrekken over de conformiteit van de beoogde hardware- en softwarecombinaties, zodat het product na een software-update of -wijziging nog steeds voldoet aan de essentiële eisen van de richtlijn.

Toepassingsgebied: wat wordt beschouwd als radioapparatuur

Om precies te begrijpen wat er onder deze verplichtingen valt, moeten we terugkeren naar de definitie in de richtlijn zelf. Volgens artikel 2(1) van de RED wordt radioapparatuur gedefinieerd als elk elektrisch of elektronisch product dat radiogolven uitzendt en/of ontvangt voor radiocommunicatie of radionavigatie, of dat daarvoor accessoires (zoals een antenne) nodig heeft.

Deze definitie wordt genuanceerd door de uitzonderingen in artikel 1(2), 1(3) en bijlage I , die bepaalde specifiek gereguleerde apparatuur uitsluiten. Bovendien voegt Gedelegeerde Verordening 2022/30 de voorwaarde toe dat het apparaat verbinding moet kunnen maken met internet om te voldoen aan de cybersecurity-eisen van artikel 3(3)(d)-(f).

In de praktijk zullen de meeste producten met IoT-functionaliteit en draadloze connectiviteit die in de EU op de markt worden gebracht, onder het toezicht van de RED vallen: van een slimme thermostaat tot een industriële controller met een mobiele module, inclusief wearables, thuisrouters, slimme luidsprekers of slimme gebouwoplossingen.

Geharmoniseerde normen EN 18031: de technische routekaart

Om het voor fabrikanten gemakkelijker te maken aan te tonen dat ze aan de normen voldoen, heeft de Europese Commissie CEN en CENELEC de opdracht gegeven technische normen te ontwikkelen die wettelijke eisen vertalen in concrete controles en tests. Dit werk heeft geresulteerd in de geharmoniseerde normen van de EN 18031-reeks.

Sinds 28 januari 2025 zijn drie EN 18031-normen geharmoniseerd in het kader van de RED , wat een relatief duidelijk traject biedt voor cybersecurity-evaluatie:

• NL-18031 1: definieert de basisvereisten voor cyberbeveiliging van radioapparatuur, waaronder authenticatie, encryptie, beheer van inloggegevens, veilige opstartmechanismen en firmware-updateprocessen.
• NL-18031 2Het richt zich op privacybescherming voor teams die persoonlijke of locatiegegevens verwerken, met maatregelen voor dataminimalisatie, gebruikerscontrole en bescherming tegen datalekken.
• NL-18031 3Het behandelt de beveiliging van apparaten die betrokken zijn bij digitale betalingen en virtueel geld, en versterkt de integriteit van transacties en de bescherming tegen fraude.

Toch is het simpelweg "aanvinken" van het vinkje om aan de norm te voldoen niet voldoende . Sommige clausules in deze normen bevatten beperkingen en dekken niet alle scenario's. Producten die bijvoorbeeld zonder verplicht wachtwoord kunnen worden gebruikt, geen adequate ouderlijke controle bieden of optionele beveiligingsinstellingen hebben, vereisen mogelijk aanvullende maatregelen of een grondigere evaluatie.

In dergelijke gevallen is het raadzaam een ​​aangemelde instantie in te schakelen . Deze instanties, aangewezen door de lidstaten, zijn verantwoordelijk voor het uitvoeren van conformiteitsbeoordelingen wanneer een onafhankelijke derde partij vereist is. De Commissie houdt een officiële lijst van aangemelde instanties bij, en samenwerking met een van deze instanties draagt ​​bij aan de waarborging dat het product aan alle specifieke eisen voldoet, zelfs wanneer de directe toepassing van geharmoniseerde normen onvoldoende is.

RED en de Cyber ​​Resilience Act: overlappingen en tijdlijn

De Cyber ​​Resilience Act (CRA) voegt een extra regelgevende laag toe aan het Europese ecosysteem voor cyberbeveiliging. De reikwijdte ervan is zelfs breder dan die van de RED Act, aangezien deze van toepassing is op vrijwel alle "producten met digitale elementen": chips, software, apparaten, applicaties, enz., en de gehele levenscyclus bestrijkt, van ontwerp tot updates en kwetsbaarheidsbeheer.

De CRA stelt basisvereisten vast, zoals de verplichting om gedurende meerdere jaren beveiligingsupdates te leveren (in de concepten werd vijf jaar als referentie genoemd), evenals specifieke verplichtingen voor kwetsbaarheidsbeheer, verantwoorde openbaarmaking, gebruikersinformatie en incidentrapportage. Producten worden ingedeeld in categorieën met verschillende nalevingsschema's: zelfbeoordeling voor niet-kritieke producten, beoordeling door een derde partij of toepassing van normen voor kritieke klasse I, en beoordeling door een nationale instantie voor kritieke klasse II.

Tot nu toe is er binnen de Europese instellingen al politiek akkoord bereikt over de CRA , hoewel de belangrijkste vereisten pas ongeveer drie jaar na de inwerkingtreding van kracht zullen worden. De verplichting om kwetsbaarheden en cyberincidenten te melden zou echter al vóór eind 2025 kunnen ingaan, waardoor veel bedrijven hun incidentresponsprocessen zullen moeten versterken.

Er is een duidelijke overlap tussen RED en CRA: de meeste radioapparatuur bevat immers ook digitale componenten . Bovendien omvat CRA dezelfde cybersecuritydoelstellingen als artikel 3(3)(d)-(f) van RED. Het belangrijkste verschil zit hem echter in de timing: de verplichtingen onder RED en de bijbehorende gedelegeerde verordening treden in werking op 1 augustus 2025, terwijl het grootste deel van CRA pas later van kracht wordt.

In de praktijk betekent dit dat een fabrikant van slimme thermostaten die in september 2025 een product op de markt brengt, een zelfbeoordeling moet uitvoeren op basis van ten minste de RED-vereisten (of een beroep moet doen op een aangemelde instantie). Later, wanneer de CRA volledig van toepassing is, moeten ze mogelijk een tweede beoordeling uitvoeren binnen dat kader, hoewel enige convergentie wordt verwacht: de RED-vereisten kunnen uiteindelijk een onderdeel worden van de CRA-vereisten, waardoor hergebruik van bewijsmateriaal en documentatie wordt vergemakkelijkt.

Technische beveiliging van IoT-netwerken en -apparaten

Naast het voldoen aan wettelijke voorschriften vereist het beveiligen van een IoT-netwerk een alomvattende systeembenadering . Het beveiligen van alleen het apparaat of alleen de cloud is onvoldoende: hardware, firmware, connectiviteit, API's, backend en operationele processen moeten allemaal in overweging worden genomen.

Belangrijke technische verdedigingsmechanismen omvatten werkwijzen die reeds voldoen aan de eisen van EN 18031, ETSI EN 303 645 of NIST 8259:

• Beveiligd opstarten en firmwarevalidatieVoorkomt de uitvoering van ongeautoriseerde code bij het opstarten van het apparaat, verifieert cryptografische handtekeningen en waarborgt de integriteit van de firmware.
• Verharding van interfacesSchakel onnodige poorten en services uit, segmenteer netwerken en beveilig beheerinterfaces met sterke authenticatie en, waar mogelijk, beperkte toegang.
• Communicatie-encryptie: gebruik moderne protocollen zoals TLS 1.2+ of 1.3 voor al het dataverkeer, inclusief telemetrie, besturingscommando's en beheerkanalen.
• Robuust beheer van inloggegevensVerwijder standaard inloggegevens, dwing de wijziging af bij het eerste gebruik, hanteer een strikt wachtwoordbeleid en implementeer, waar nodig, mechanismen voor multifactorauthenticatie.
• Automatische en veilige updates: Over-the-Air (OTA) updateprocessen opzetten met cryptografische verificatie, versleutelde kanalen en terugdraaimogelijkheid in geval van storing.
• API-beveiligingAuthenticeer en autoriseer alle oproepen van derden, beperk machtigingen volgens het principe van minimale bevoegdheden en controleer de toegang tot belangrijke resources.
• Gedragsmonitoring en -analysePas oplossingen voor anomaliedetectie toe, vaak aangedreven door AI, om ongebruikelijk apparaatgedrag, verkeersoverbelasting of typische malwarepatronen te identificeren.
• Beveiliging van de toeleveringsketenControleer de herkomst van hardware- en softwarecomponenten, voer een firmware-analyse uit en eis veiligheidsgaranties van leveranciers.

Tegelijkertijd moet privacy van nature geïntegreerd zijn . Dit houdt niet alleen in dat gegevens worden versleuteld, maar ook dat de verzamelde informatie tot een minimum wordt beperkt, er duidelijke gebruikersinstellingen worden aangeboden, onnodige tracking wordt vermeden en de gegevensverwerking, zowel in het ontwerp als in de standaardinstellingen, in overeenstemming is met de AVG-principes.

Praktische naleving van RED: belangrijke processen en agenten

Voor fabrikanten is het voldoen aan RED en Gedelegeerde Verordening 2022/30 niet alleen een technische kwestie , maar ook een kwestie van processen en governance. Het is raadzaam om een ​​duidelijk overzicht te hebben van alle betrokken producten, hun architectuur, de gegevens die ze verwerken en de betalings- of monetisatiefuncties die de vereisten van artikel 3(3)(f) kunnen activeren.

In veel gevallen kan een zelfevaluatie worden uitgevoerd , mits het product is ontworpen volgens geharmoniseerde normen en er een degelijke technische documentatie beschikbaar is. Voor complexe scenario's of wanneer de norm de toepassing niet volledig dekt, biedt het inschakelen van een aangemelde instantie echter juridische en technische zekerheid.

Terwijl de industrie wacht op de ontwikkeling van geharmoniseerde normen en CRA-beoordelingssystemen, zijn er initiatieven zoals PSA Certified ontstaan , die certificeringskaders bieden die aansluiten op de nieuwe regelgeving (RED, CRA en de Britse PSTI). PSA Certified Level 1 bevat bijvoorbeeld een speciaal onderdeel over regelgeving, waar fabrikanten hun naleving van de wettelijke vereisten kunnen documenteren en deze documentatie ter onafhankelijke beoordeling kunnen indienen.

Dit soort regelingen, afgestemd op wereldwijde best practices zoals EN 303 645 en NIST 8259 , stellen OEM's, softwareleveranciers en chipfabrikanten in staat om vooruit te lopen op de toekomst door vanaf nu de controles te integreren die vereist zijn door zowel RED als CRA en andere nationale kaders.

IoT-platformen, updates en wagenparkbeheer

Een ander cruciaal aspect van het beveiligen van IoT-netwerken is de mogelijkheid om grote aantallen apparaten centraal te beheren . Zonder een robuust beheerplatform wordt het toepassen van patches, het vernieuwen van certificaten of het detecteren van verdacht gedrag op grote schaal vrijwel onmogelijk.

In dit gebied worden uitgebreide IoT-oplossingen die data-orkestratie, apparaatbeheer, draadloze updates (OTA) en AI-functionaliteiten voor besluitvorming combineren, steeds belangrijker. Functies zoals wederzijdse SSL-authenticatie, periodieke certificaatrotatie en veilige firmware-updates versterken zowel het eindpunt als het netwerk.

Sommige platforms integreren ook IoT-specifieke cybersecuritytools, waaronder runtimebeveiliging en continue kwetsbaarheidsanalyse . Dit maakt het gemakkelijker om afwijkend gedrag van geïmplementeerde apparaten te detecteren, kwetsbaarheden te ontdekken zowel vóór als na de implementatie in productie, en prioriteit te geven aan maatregelen om deze te verhelpen.

Tegelijkertijd vormen deze platforms de basis voor op dienstverlening gebaseerde bedrijfsmodellen : datamonetarisatie, abonnementsmodellen, geavanceerde AI/ML-gebaseerde diensten, enzovoort. De inspanningen die worden geïnvesteerd in RED-compliance en verbeterde beveiliging verminderen dus niet alleen de risico's, maar openen ook de deur naar nieuwe inkomstenstromen en toegevoegde waarde.

Deze gehele aanpak, mits doordacht ontworpen, toont een duidelijke toewijding aan veiligheid en regelgeving van de kant van fabrikanten en technologieleveranciers, iets wat steeds meer gewaardeerd wordt door zowel eindklanten als toezichthouders.

Bedrijven die diensten verlenen op het gebied van testen, certificering en conformiteitsbeoordeling spelen ook een belangrijke rol. Zij bieden technische audits, laboratoriumtesten en zelfs gespecialiseerde trainingen over RED, CRA en andere regelgeving. Door gebruik te maken van hun expertise kunnen organisaties die voor het eerst met dit regelgevingskader te maken krijgen, het leerproces aanzienlijk versnellen.

Kortom, de versterking van IoT-netwerken in het kader van de RED en de toekomstige CRA vereist een heroverweging van het ontwerp van verbonden producten, het versterken van veilige ontwikkelings-, monitoring- en updateprocessen, en een grondig begrip van hoe elk apparaat past in het complexe geheel van Europese regelgeving. Wie deze uitdaging eerder aangaat, is beter gepositioneerd om risico's te beperken, boetes te voorkomen en tegelijkertijd de kans te grijpen zich te onderscheiden door middel van veiligheid, vertrouwen en kwaliteit in een steeds veeleisender wordende IoT-markt.