Cyber Resilience Act
De EU-verordening die cyberbeveiliging een productvereiste maakt, net als elektrische veiligheid: geen naleving, geen CE-markering.
Verordening (EU) 2024/2847 werd in het najaar van 2024 aangenomen en geldt voor alle ”producten met digitale elementen”, van slimme lampen tot desktopsoftware. Fabrikanten moeten gedurende de levensduur van het product kwetsbaarheden afhandelen, beveiligingsupdates leveren en een SBOM in de technische documentatie bijhouden. Sinds september 2026 moeten actief misbruikte kwetsbaarheden binnen 24 uur aan ENISA worden gemeld; de overige verplichtingen gelden vanaf december 2027.
Het ontwerp uit 2022 zou iedereen die code op GitHub zet tot fabrikant hebben gemaakt, waartegen onder meer de Python Software Foundation en Eclipse luid protesteerden. De definitieve tekst neemt niet-commerciële open source uit en voegt een lichtere rol toe, de ”open source steward”, voor stichtingen die projecten steunen waarop anderen producten bouwen. De aansprakelijkheid komt terecht waar het geld zit — bij wie het IoT-apparaat verkoopt, niet bij wie de bibliotheek gratis schreef.