Een smart-tv, laptop, smartphone of ander verbonden apparaat is meer dan alleen hardware. Software en beveiligingsupdates bepalen mede of een product goed én veilig blijft werken. Vanuit consumentenrecht en de update-verplichting had dit al gevolgen voor garantie, maar met de komst van de CRA komen hier gevolgen voor cybersecurity en aansprakelijkheid bij.
De Cyber Resilience Act (CRA)
De CRA maakt cybersecurity expliciet onderdeel van productveiligheid. De belangrijkste regels gelden vanaf 11 december 2027. Fabrikanten moeten kwetsbaarheden aanpakken en duidelijk maken hoe lang een product ondersteuning krijgt. Ook retailers en distributeurs krijgen verplichtingen. Is er reden om aan te nemen dat een product niet cyberveilig is? Dan kan dat gevolgen hebben voor de verkoop.
De verkoper blijft aanspreekpunt
Bij consumentenkoop moet een product voldoen aan wat een consument er redelijkerwijs van mag verwachten. Bij producten met digitale elementen horen daar ook noodzakelijke software- en beveiligingsupdates bij. Blijven noodzakelijke updates uit, dan kan een product dus niet meer voldoen, ook al werkt het technisch nog.
Voorbeeld
Een consument koopt een smart-tv. Na enkele jaren stopt de fabrikant met beveiligingsupdates voor het besturingssysteem, terwijl de tv nog volop wordt gebruikt voor streamingapps en andere online diensten. Ontstaat daardoor een serieus beveiligingsrisico, dan is de vraag niet alleen of de tv nog beeld geeft. Ook telt mee of de consument het product nog veilig kan gebruiken en of hij de ondersteuning krijgt die hij redelijkerwijs mocht verwachten.
Meer dan een garantie- of prijskwestie
Voor retailers kunnen gebrekkige updates verschillende gevolgen hebben:
- Een consument kan de verkoper aanspreken omdat het product niet meer voldoet
- Een beveiligingslek kan leiden tot een daadwerkelijk cyberrisico
- Toezichthouders kunnen optreden als niet aan de regels wordt voldaan
- Er kunnen kosten ontstaan voor vervanging, terugbetaling of klachtenafhandeling
- Aansprakelijkheid kan verder spelen binnen de leveranciersketen
Daarmee wordt duidelijk dat een goedkoop product met een kort of onduidelijk updatebeleid uiteindelijk juist meer risico kan opleveren.
Stel vragen bij de inkoop
Vraag leveranciers daarom steeds vaker naar het digitale leven van een product:
- Hoe lang worden software- en beveiligingsupdates geleverd?
- Tot wanneer wordt het product ondersteund?
- Hoe worden beveiligingsproblemen opgelost?
- Hoe worden retailers en consumenten hierover geïnformeerd?
- Wat gebeurt er als een product door ontbrekende updates niet meer veilig is?
Wil je meer weten over de CRA? Kijk dan op Cyber Resiliance Act (CRA).
Wil je meer weten over garantie en consumentenkoop? Kijk dan op Consumentenkooprecht.
