Meten. Weten. Verbeteren. Ook als het gaat om de digitale veiligheid van wat u inkoopt.

Vanaf 11 september 2026 moet de fabrikant van een PLC-besturing of gemaalcomputer een actief misbruikte kwetsbaarheid binnen 24 uur melden. Dat is de eerste verplichting uit de Cyber Resilience Act (CRA) die nu echt geldt. Op 11 december 2027 volgt de rest.

Bij veel gemeenten horen we dan: “Dat is toch iets voor leveranciers?” Voor een deel klopt dat. Maar een besturingskast of PLC-besturing/router die je nu aanbesteedt, draait vaak vijftien jaar of langer. De afspraken die je vandaag maakt, bepalen dus hoe je er in 2035 voor staat.

Wat is de CRA eigenlijk?

De CRA is een Europese verordening voor alle producten met digitale elementen. Denk aan hardware en software die met een netwerk of een ander apparaat verbonden is. De eisen liggen bij de fabrikant. Die moet onder meer:

  • het product veilig ontwerpen en standaard veilig instellen;
  • kwetsbaarheden actief opsporen, oplossen en melden;
  • gedurende een vaste ondersteuningsperiode beveiligingsupdates leveren (in principe minimaal vijf jaar);
  • bijhouden uit welke softwarecomponenten het product bestaat (een zogenoemde SBOM, oftewel een softwarestukslijst met daarin een overzicht van alle softwareonderdelen en versies ervan);
  • vanaf december 2027 met een CE-markering aantonen dat het product aan de CRA voldoet.

In de afvalwatersector vliegen de afkortingen je om de oren. Het helpt om ze uit elkaar te houden.

NIS2, in Nederland omgezet in de Cyberbeveiligingswet (Cbw), en de BIO2 gaan over u als organisatie. Hoe richt u uw beveiliging in, wie is verantwoordelijk en hoe gaat u om met incidenten? De Cyberbeveiligingswet is op 15 augustus 2026 in werking getreden en geldt ook voor gemeenten in hun rol als beheerder van afvalwatertransport (kritische infrastructuur).

De CRA gaat over wat u koopt. Is het product veilig, en blijft het dat ook?

Het een kan niet zonder het ander. Van jou wordt verwacht dat je ‘in control’ bent. Dan moet je leverancier je daar wel de middelen voor geven: updates, informatie over kwetsbaarheden en duidelijkheid over hoe lang het product wordt ondersteund.

Wat betekent dit voor afvalwatertransport?

De PLC-besturing of gemaalcomputer in de besturingskast en de router (4G of 5G) zijn beide producten met digitale elementen, die dus onder de CRA vallen zodra ze nieuw op de markt komen.

We zien drie situaties waarin dit voor een gemeente gaat spelen.

1. Je staat voor een aanbesteding

Dit is het moment om het goed te regelen. Neem in de uitvraag op:

  • hoe lang de leverancier beveiligingsupdates garandeert, en voor welke componenten;
  • hoe en binnen welke termijn je als gemeente hoort van een kwetsbaarheid;
  • dat de leverancier een SBOM (softwarestukslijst) kan aanleveren;
  • dat producten die na 11 december 2027 worden geleverd aan de CRA voldoen;
  • wat er gebeurt als een component tijdens de looptijd van het contract niet meer wordt ondersteund.

2. Wat geldt er voor het huidige areaal?

Producten die al vóór december 2027 op de markt waren, hoeven niet alsnog aan de CRA te voldoen, tenzij ze ingrijpend worden gewijzigd. De meldplicht voor kwetsbaarheden geldt wel voor producten die al op de markt zijn. Daar heb je alleen iets aan als je weet welke hardware en softwareversies er in je gemalen draaien, en als je leverancier weet bij wie hij moet aankloppen.

3. Er wordt maatwerksoftware in je installaties gezet

Een systeemintegrator die eigen software op een PLC zet en dat als geheel oplevert: wie is dan de fabrikant in de zin van de CRA? Dat is niet altijd zwart-wit. Juist daarom is het verstandig om in het contract vast te leggen wie verantwoordelijk is voor updates en het melden van kwetsbaarheden.

De CRA is geen reden om bestaande installaties overhaast te vervangen. Het is wel hét moment om de afspraken met uw leveranciers op orde te brengen, zeker bij aanbestedingen die nu in voorbereiding zijn.

Bij LinQiot begeleiden we gemeenten bij aanbestedingen voor hoofdposten/telemetrie, besturingskasten en het onderhoud ervan. We vertalen wetgeving zoals de CRA naar concrete eisen in je uitvraag. In begrijpelijke taal, en zo dat je ze tijdens de looptijd van het contract ook kunt controleren.

Staat er een aanbesteding op de planning? Of wil je weten hoe je huidige areaal ervoor staat? Laten we eens van gedachten wisselen. We komen graag eens langs.

Neem contact op: linqiot.nl/contact