Column

Het Nationaal Cyber Resilience Center

Onderkop

door Prof. dr Chris Verhoef

Na de onrust over Tesla dat voertuigen op afstand kan overnemen en stilzetten, viel vorig jaar Yutong de eer te beurt. Tienduizenden van hun elektrische bussen rijden rond in Europa, en in Noorwegen stelde men vast dat er via Roemeense SIM-kaarten een constante mobiele dataverbinding wordt opgebouwd voor software-updates, real-time locatiemonitoring en remote defectdetectie. De Noren stelden ook vast dat bussen van VDL dit soort problemen niet kennen. Chapeau!

“Fabrikanten mogen veelal zelf verklaren dat alles in orde is. De slager keurt zijn eigen vlees.”

Deze Chinese remote control biedt de mogelijkheid tot overnemen of stilzetten van de vloot. Erg verstandig is zo’n actie natuurlijk niet. Digitale spionage ligt meer voor de hand: inzittenden, wearables, de digitale omgeving (WiFi, Zigbee, Bluetooth, etc), en de fysieke omgeving zijn nauwkeurig in kaart te brengen.

Daar waar Google van de Ierse privacywaakhond 403 miljoen euro kreeg opgelegd wegens verwerken van locatiegegevens en reispatronen, kan Yutong ongestraft exact hetzelfde doen: die data bijeen gebost levert je ook gebruikersgegevens plus reispatronen. De oogst van China (of voor hetzelfde geld de VS) valt in het niet bij een sleepnet door de AIVD. Daarom is het goed dat er een Cyber Resilience Act (CRA) is, die paal en perk moet stellen aan dit soort uitwassen.

De invulling van die wet is echter magertjes wegens de zelfbeoordeling: fabrikanten mogen veelal zelf verklaren dat alles in orde is. De slager keurt zijn eigen vlees. Alleen bij kritieke toepassingen moet een notified body worden ingeschakeld voor compliance met de CRA.

Eind 2024 is de wet in werking getreden, onlangs werd de meldplicht actief, en eind 2027 is volledige toepassing van kracht. Er is een database met de door de EU erkende notified bodies. Voor elke verordening bestaat een overzicht waar fabrikanten kunnen aankloppen. Van hogedruksystemen tot recreatievaartuigen. Voor de CRA is er nog geen enkele organisatie goedgekeurd.

Blijkbaar is de IT-industrie hier nog niet op gesprongen, en dat is maar goed ook, want die zijn medeveroorzakers van alle misère. De wet geeft alle mogelijkheden om dit goed te krijgen, maar de implementatie ervan maakt of breekt de effectiviteit ervan. Ik pleit daarom voor een Nationaal Cyber Resilience Center, met voldoende budget, verantwoordelijkheid en doorzettingsmacht.