Wat ENISA op 4 november 2026 publiceerde
Het Europese agentschap voor cyberbeveiliging ENISA publiceerde op 4 november 2026 een technisch advies over veilige updatemechanismen. Het volgt een update in zeven stappen, van bouwen en ondertekenen tot installeren en de uitkomst vastleggen, en geeft per stap dreigingen met echte voorbeelden zoals SolarWinds, Notepad++ en de storing van CrowdStrike op 19 juli 2024. Daarna volgen beheersmaatregelen: ondertekende metadata, signeersleutels in een HSM, drempelhandtekeningen, antirollback, gefaseerde uitrol en terugval naar een werkende versie. ENISA rekent ook AI-modellen tot de dingen die via een updatekanaal binnenkomen. Het advies is niet bindend en geeft geen vermoeden van conformiteit.
Hoe de CRA, de AI Act en de productaansprakelijkheid op elkaar aansluiten
De Cyberweerbaarheidsverordening vraagt vanaf 11 december 2027 dat fabrikanten kwetsbaarheden onverwijld verhelpen, beveiligingsupdates waar mogelijk los van nieuwe functies leveren, een ondersteuningsperiode van in beginsel ten minste vijf jaar vaststellen en elke beveiligingsupdate tien jaar beschikbaar houden. Voor AI-systemen met een hoog risico kan een modelupdate een ingrijpende wijziging zijn die een nieuwe conformiteitsbeoordeling vraagt, tenzij het een systeem betreft dat blijft leren en de wijziging bij de eerste conformiteitsbeoordeling vooraf was bepaald en gedocumenteerd. Die eisen gelden voor de systemen van bijlage III vanaf 2 december 2027. De nieuwe productaansprakelijkheidsrichtlijn, om te zetten uiterlijk 9 december 2026, ontneemt de fabrikant het verweer dat een gebrek pas later ontstond, wanneer het gebrek voortkomt uit software-updates of uit het ontbreken van updates die nodig zijn voor de veiligheid en die onder zijn zeggenschap vallen. Gebrek, schade en oorzakelijk verband moet de benadeelde nog steeds aantonen.
Wat afnemers in hun contract regelen
Voor inkopers, overheden en leveranciers gaat het om concrete afspraken over beveiligingsupdates in leverancierscontracten: een ondersteuningsperiode met einddatum, wie de signeersleutels beheert, gefaseerde uitrol en terugval, vooraf melden van modelupdates die de prestaties raken, logging van de updatestatus en continuïteit als de updatedienst stopt. Gemeenten, ziekenhuizen en bedrijven die camera's, sensoren of netwerkapparatuur tien jaar of langer gebruiken, hebben daar het meeste belang bij, omdat zij het updatekanaal zelf nooit zien. Het artikel geeft een checklist langs de stappen van het ENISA-advies en verbindt die met de CRA, de AI Act en de aansprakelijkheid in de keten.
Meer lezen