Smart tv’s, slimme thermostaten en andere internetverbonden producten brengen bedrijven in een lastig parket met nieuwe juridische uitdagingen. Fabrikanten en verkopers zijn sinds 2022 wettelijk verplicht om updates te leveren en duidelijk te maken hoe lang ze die ondersteuning bieden.
Deze verplichting geldt niet alleen voor nieuwe producten, maar ook voor tweedehands en geïmporteerde apparaten.
De Cyber Resilience Act maakt de regels nog strenger. Bedrijven moeten technische producten vijf jaar lang beveiligen met updates.
Dit raakt direct aan productaansprakelijkheid, vooral als software-updates niet goed werken of schade veroorzaken.
Bedrijven moeten hun verantwoordelijkheden kennen, zeker in de wirwar van toeleveringsketens. Van wettelijke verplichtingen tot waarschuwingsplichten en productaansprakelijkheid: elke partij in de keten krijgt zijn eigen taken en risico’s op het bord.
Wettelijke verplichtingen voor software-updates bij connected producten
Sinds april 2022 moeten verkopers van digitale producten en slimme apparaten updates aanbieden. De regels zorgen ervoor dat consumenten recht hebben op veilige en werkende producten, en dat niet voor maar een paar maanden.
Recht op updates voor consumenten
Sinds 27 april 2022 hebben consumenten wettelijk recht op software-updates bij digitale producten en slimme apparaten. Deze verplichting geldt voor alle verkopers, dus ook als je tweedehands of geïmporteerde producten verkoopt.
Het recht op updates geldt voor allerlei producten:
- Slimme apparaten die verbinding maken met internet
- Apps en digitale diensten
- Games en andere software
- Connected consumentenproducten
Verkopers moeten hun digitale producten laten blijven werken zoals bedoeld. Ze moeten dus beveiligingsupdates én functionele updates leveren.
De wet geldt ook voor producten die gratis worden aangeboden. Je kunt je als marktdeelnemer dus niet aan de verplichting onttrekken omdat je iets kosteloos weggeeft.
Duur en aard van verplichte updates
Hoe lang je updates moet leveren, hangt af van het soort product en hoe lang het redelijkerwijs mee moet gaan. Voor de meeste consumentenproducten geldt een minimale updateperiode die aansluit bij wat een consument mag verwachten.
De Cyber Resilience Act (CRA), sinds 10 december 2024 van kracht, legt de lat nog hoger. Fabrikanten moeten hun hardware en software vijf jaar blijven voorzien van beveiligingsupdates.
Updates moeten verschillende onderdelen dekken:
- Beveiligingsupdates om kwetsbaarheden te dichten
- Functionaliteitsupdates zodat het product blijft werken
- Compatibiliteitsupdates voor nieuwe systemen
Installeer je als consument een update niet, dan kun je je recht op garantie kwijtraken. Dat geldt vooral als het product daardoor niet meer goed werkt.
Handhaving en toezicht door autoriteiten
Verschillende autoriteiten houden toezicht op de updateverplichtingen. De RDI (Rijksdienst voor Identiteitsgegevens) en andere toezichthouders controleren of bedrijven zich aan de wet houden.
De NVWA (Nederlandse Voedsel- en Warenautoriteit) let scherp op veilige producten. Ze kunnen bedrijven aanpakken die hun updateverplichtingen laten liggen.
Sancties lopen uiteen van waarschuwingen tot boetes. In ernstige gevallen halen ze producten van de markt als die niet aan veiligheidseisen voldoen.
Consumenten kunnen klachten indienen bij de juiste autoriteiten als verkopers hun updateverplichtingen niet nakomen. Dat geeft consumenten wat meer slagkracht tegenover bedrijven die de regels negeren.
Productveiligheidseisen en juridische kaders voor connected producten
Connected producten vallen onder strenge Europese veiligheidseisen. Fabrikanten en importeurs moeten zich daaraan houden. Nationale toezichthouders zoals de NVWA zien erop toe, voor alles wat op de EU-markt komt.
Verordening Algemene Productveiligheid (GPSR)
De GPSR stelt verplichte veiligheidseisen voor alle consumentenproducten op de EU-markt. Deze verordening geldt vanaf december 2024 voor connected producten en vervangt de oude richtlijn.
Fabrikanten moeten aantonen dat hun producten veilig zijn bij normaal gebruik. Dat geldt ook voor software-updates die later volgen.
Connected producten moeten voldoen aan cybersecurity-eisen. Fabrikanten moeten beveiligingslekken melden en updates leveren.
Belangrijke verplichtingen onder GPSR:
- Risicoanalyse uitvoeren voor alle productfuncties
- Gebruikersinstructies in begrijpelijke taal geven
- Incident-meldingssysteem opzetten
- Traceerbaarheid regelen in de keten
De verordening geldt voor non-food consumentenproducten voor particulier gebruik. Professionele apparatuur valt onder andere regels.
Europese en nationale regelgeving
Nederland heeft de Europese productaansprakelijkheidsrichtlijn verwerkt in artikel 6:185 BW. Fabrikanten zijn aansprakelijk voor schade door gebrekkige producten.
De vernieuwde EU-richtlijn productaansprakelijkheid geldt vanaf december 2026. Die uitbreiding geldt specifiek voor software en digitale onderdelen in connected producten.
Nieuwe aansprakelijkheidsregels:
- Software telt als product, net als fysieke spullen
- Aansprakelijkheid voor gebrekkige updates en patches
- Bewijs-omkering bij complexe digitale systemen
- Langere aansprakelijkheidsperiodes voor software
Fabrikanten moeten cybersecurity-maatregelen nemen. Slechte beveiliging kan leiden tot aansprakelijkheid voor schade bij gebruikers.
De regels gelden voor producten die na 9 december 2026 op de markt komen. Voor bestaande producten blijven de oude regels gelden.
Toezicht op productveiligheid
De NVWA bewaakt productveiligheid voor consumentenproducten in Nederland. Ze kunnen onveilige connected producten uit de handel halen.
NVWA-bevoegdheden zijn onder meer:
- Producten onderzoeken en testen
- Verkoop verbieden bij gebreken
- Terugroepacties afdwingen
- Boetes uitdelen aan overtreders
De RDI (Rijksdienst voor Identiteitsgegevens) let op cybersecurity-aspecten. Ze werken samen met de NVWA als het om connected producten gaat.
Toezichtprocedures:
- Marktonderzoek naar risicovolle producten
- Steekproeven bij importeurs en fabrikanten
- Internationale samenwerking via het RAPEX-systeem
- Publieke waarschuwingen voor gevaarlijke producten
Fabrikanten moeten meewerken aan onderzoeken. Doen ze dat niet, dan volgen strengere maatregelen en hogere boetes.
Consumenten kunnen onveilige producten melden via de NVWA-website. Zulke meldingen leiden vaak tot verder onderzoek.
Specifieke rollen en verantwoordelijkheden van marktdeelnemers
De GPSR stelt duidelijke eisen aan iedereen in de keten. Elke partij krijgt zijn eigen verplichtingen rondom productveiligheid en software-updates.
Fabrikant en gemachtigde vertegenwoordiger
De fabrikant draagt de hoofdverantwoordelijkheid voor productveiligheid. Die partij moet zorgen dat connected producten aan alle veiligheidseisen voldoen voordat ze op de markt verschijnen.
Fabrikanten voeren een interne risicoanalyse uit. Ze moeten software-kwetsbaarheden en update-behoeften in kaart brengen.
Belangrijke verplichtingen voor fabrikanten:
- Technische documentatie opstellen en bijhouden
- Compliance systeem inrichten
- Veiligheidsincidenten melden bij de autoriteiten
- Terugroepacties organiseren bij gevaarlijke producten
De fabrikant moet ook zorgen voor traceerbaarheid van producten. Elk product moet door de keten gevolgd kunnen worden.
Een gemachtigde vertegenwoordiger mag namens de fabrikant optreden binnen de EU. Die persoon krijgt specifieke taken via een schriftelijke machtiging.
Importeur en distributeur
Importeurs halen producten van buiten de EU naar de Europese markt. Ze moeten checken of de fabrikant aan alle GPSR-eisen voldoet voordat ze iets importeren.
De importeur moet controleren of:
- Er een EU-verantwoordelijke op het product staat
- Technische documentatie aanwezig is
- Het product correct is gemarkeerd
Distributeurs verkopen producten aan eindgebruikers of andere partijen. Ze hebben een zorgplicht om alleen veilige producten te verkopen.
Distributeurs moeten in actie komen als ze weten dat een product gevaarlijk is. Ze stoppen de verkoop en informeren de autoriteiten.
Beide partijen werken samen bij terugroepacties. Ze moeten hun klanten snel laten weten als er veiligheidsproblemen zijn.
Aansprakelijkheid bij online marktplaatsen
Online marktplaatsen hebben onder de GPSR een paar stevige verplichtingen. Ze moeten echt in de gaten houden welke producten op hun site verschijnen.
Elk product moet een EU-verantwoordelijke hebben. Staat die info er niet bij? Dan mag het product niet in de verkoop.
Verplichtingen voor marktplaatsen:
- Controleren op productveiligheidsinformatie
- Gevaarlijke producten snel verwijderen
Ze moeten ook samenwerken met toezichthouders. Daarnaast moeten ze informatie over verkopers kunnen delen.
Fulfilmentdienstverleners krijgen soms ook verantwoordelijkheid. Dit gebeurt als ze producten opslaan of verzenden voor verkopers buiten de EU.
In zo’n geval moeten ze hun naam als EU-verantwoordelijke op het product zetten. Daarmee krijgen ze de taken van een importeur op hun bord.
Waarschuwingsplichten, instructies en meldingen
Bedrijven die connected products verkopen, moeten consumenten goed informeren over risico’s en veiligheidsmaatregelen. De wet vraagt om duidelijke waarschuwingen, instructies en een centraal contactpunt.
Essentiële informatievoorziening aan consumenten
Marktdeelnemers horen consumenten te voorzien van cruciale informatie over hun connected products. Dat moet helder en begrijpelijk zijn.
Verplichte informatie omvat:
- Beveiligingsrisico’s van het product
- Hoe lang er updates beschikbaar blijven
- Welke gegevens het apparaat verzamelt
- Een contactpunt voor vragen over veiligheid
Deze info moet gewoon in het Nederlands staan. Engelse teksten zijn niet genoeg.
Consumenten moeten deze informatie vóór aankoop krijgen. Zo kunnen ze een bewuste keuze maken over de veiligheid.
Waarschuwingen en veiligheidsinstructies
Waarschuwingen moeten echt specifiek zijn. Vage teksten als “wees voorzichtig” schieten tekort.
Effectieve waarschuwingen bevatten:
- Concrete risico’s die kunnen ontstaan
- Stappen om problemen te voorkomen
- Wat je moet doen bij veiligheidsproblemen
- Wanneer het apparaat niet meer veilig is
Instructies moeten uitleggen hoe je updates installeert. Veel mensen laten updates liggen omdat ze niet weten hoe het werkt.
Bedrijven horen ook te melden wanneer de ondersteuning stopt. Dan kan de consument zelf beslissen of hij het product nog wil gebruiken.
Centraal contactpunt en communicatie
Elk bedrijf moet een centraal contactpunt hebben voor veiligheidskwesties. Dit contactpunt behandelt vragen en meldingen over connected products.
Het contactpunt moet bereikbaar zijn via meerdere kanalen. Denk aan e-mail, telefoon of een online formulier.
Taken van het contactpunt:
- Veiligheidsvragen beantwoorden
- Meldingen over problemen ontvangen
- Urgente kwesties doorzetten naar de juiste afdeling
- Informeren over nieuwe updates
Bedrijven moeten redelijk vlot reageren op veiligheidsmeldingen. Bij ernstige problemen is een reactietijd van 24 tot 48 uur normaal.
Het contactpunt werkt samen met toezichthouders zoals de NVWA. Zo kunnen ze snel handelen bij veiligheidsproblemen.
Productaansprakelijkheid en omgang met gebreken
Bedrijven met connected products zijn aansprakelijk voor schade door productgebreken, ook als het gaat om software of cybersecurity. De nieuwe EU-richtlijn maakt schadeclaims makkelijker en stelt strengere eisen aan terugroepacties.
Definitie van gebrekkige producten
Een product heeft een gebrek als het niet de veiligheid biedt die je mag verwachten. Dat geldt voor fysieke onderdelen, maar ook voor software en digitale snufjes.
Connected products kunnen gebrekkig zijn door:
- Softwarefouten die risico’s veroorzaken
- Cybersecurity-zwakheden waardoor hackers binnenkomen
- Foutieve AI-algoritmes die raar gedrag vertonen
- Ontbrekende of foute updates die problemen niet verhelpen
De fabrikant moet aantonen dat het product veilig was toen het op de markt kwam. Bij connected products geldt dit ook voor latere software-updates.
Marktdeelnemers kunnen zich niet verschuilen achter ingewikkelde technologie. De nieuwe richtlijn zegt dat onbekende technische problemen geen vrijbrief zijn.
Schadevergoeding en claims
Consumenten kunnen verschillende soorten schade claimen bij gebrekkige connected products. Voor technisch complexe producten is de bewijslast lichter geworden.
Vergoedbare schadetypen:
- Fysieke schade aan personen
- Psychische schade (moet medisch vastgesteld zijn)
- Materiële schade aan eigendommen
- Dataverlies door softwareproblemen
- Schade aan producten voor gemengd gebruik (privé/zakelijk)
De rechter mag sneller aannemen dat er een verband is tussen het gebrek en de schade. Vooral bij AI-systemen en ingewikkelde software, waar de werking voor consumenten niet te volgen is.
Bedrijven moeten rekening houden met hogere schadevergoedingen. Kleine schades komen nu ook direct voor rekening van de producent.
Terugroepacties en meldplichten
Productveiligheid vraagt om snelle actie bij gebreken. Fabrikanten moeten terugroepacties organiseren en autoriteiten waarschuwen.
Verplichte stappen bij gebreken:
- Direct melden bij toezichthouders
- Consumenten waarschuwen via alle kanalen
- Software-updates uitrollen om problemen te fixen
- Fysiek terugroepen als updates niet genoeg zijn
Connected products maken terugroepacties lastiger. Fabrikanten moeten gebruikers bereiken via apps, e-mail en andere digitale routes. Soms kan een remote update een terugroep voorkomen.
Marktdeelnemers in de keten hebben ook meldplichten. Importeurs, leveranciers en online platforms moeten samenwerken bij terugroepacties. Ze kunnen aansprakelijk worden gesteld als er vertraging ontstaat.
Goede documentatie van alle stappen is belangrijk voor juridische bescherming.
Huidige uitdagingen, praktijkvoorbeelden en toekomstontwikkelingen
Connected products brengen allerlei juridische vraagstukken met zich mee. Software-updates zijn steeds belangrijker voor veiligheid, terwijl digitale producten en non-food consumentenproducten om nieuwe regels vragen.
Belang van tijdige software-updates
Software-updates zijn echt cruciaal voor de veiligheid van connected products. Beveiligingslekken kunnen binnen een paar uur na ontdekking worden misbruikt.
Fabrikanten hebben de wettelijke plicht om bekende risico’s snel te verhelpen. Uitgestelde updates kunnen tot claims en boetes leiden.
Praktische uitdagingen:
- Consumenten negeren update-meldingen regelmatig
- Automatische updates maken producten soms tijdelijk onbruikbaar
- Oudere systemen ondersteunen geen remote updates
De NVWA heeft in 2024 meerdere waarschuwingen gegeven over slimme apparaten met oude software. Zulke gevallen laten zien dat fabrikanten juridisch verantwoordelijk blijven, zolang het product gebruikt wordt.
Deepfakes en misleiding zijn een nieuwe dreiging. Criminelen sturen nep-update-meldingen om malware te verspreiden via wat lijkt op legitieme software-updates.
Nieuwe trends rondom digitale en non-food consumentenproducten
Digitale producten en non-food consumentenproducten veranderen snel. Slim speelgoed, fitnesstrackers en huishoudelijke apparaten verzamelen steeds meer persoonlijke data.
Opkomende productcategorieën:
- AI-gestuurde keukenapparatuur
- Slimme gezondheidsmonitoren
- Connected voertuigaccessoires
- Draagbare beveiligingsapparatuur
De wetgeving loopt hopeloos achter op de techniek. Bestaande regels dekken lang niet alle risico’s van Internet of Things-apparaten.
Cloud-kosten spelen ook een rol. Fabrikanten stoppen soms onverwacht met cloud-services voor oudere producten. Daardoor kunnen apparaten ineens waardeloos worden.
Consumenten hebben weinig rechten als digitale functies wegvallen. De garantiewetgeving is vaag over software-ondersteuning na aankoop.
Kunstmatige intelligentie in consumentenproducten levert weer andere aansprakelijkheidsvragen op. Wie is er eigenlijk verantwoordelijk als AI-algoritmes fouten maken en schade veroorzaken?
Samenwerking tussen toezichthouders en bedrijven
De NVWA werkt steeds nauwer samen met fabrikanten van connected products. Dat is ook wel nodig, want klassieke productcontroles schieten tekort bij software-gerelateerde risico’s.
Nieuwe samenwerkingsvormen:
- Samen risico’s beoordelen van software-updates
- Real-time melding van beveiligingsincidenten
- Gedeelde databases met kwetsbaarheden
Toezichthouders bouwen gespecialiseerde expertise op rond cybersecurity en software-updates. De NVWA heeft recent IT-specialisten aangenomen voor toezicht op digitale producten.
Bedrijven krijgen meer verantwoordelijkheid voor zelfregulering. Wie veiligheidsproblemen proactief meldt, krijgt vaak mildere sancties.
Hybride toezichtmodellen komen op. Bedrijven moeten verplichte rapportages indienen over updates en beveiligingsmaatregelen. Dat scheelt inspecties.
Internationale samenwerking tussen toezichthouders wordt steeds belangrijker. Connected products gaan de hele wereld over, maar softwareproblemen kunnen lokaal flink wat ellende veroorzaken.
Veelgestelde Vragen
Fabrikanten en verkopers van slimme apparaten moeten zich houden aan nieuwe Europese regels voor updates en veiligheid. Deze wetten gelden voor alle internetverbonden producten vanaf december 2026.
Wat zijn de wettelijke eisen voor het updaten van software in ‘connected products’?
De Cyber Resilience Act schrijft voor dat fabrikanten techproducten vijf jaar lang van beveiligingsupdates moeten voorzien. Deze regel geldt voor alle apparaten die je op het internet kunt aansluiten.
Verkopers moeten zorgen dat klanten tijdig de juiste updates ontvangen. Dit geldt niet alleen voor nieuwe producten, maar ook voor geïmporteerde en tweedehandse apparaten.
De verplichte updateperiode hangt af van de prijs en het type product. Duurdere producten krijgen meestal langer updates, wat ergens ook wel logisch klinkt.
Consumenten hebben recht op software- en beveiligingsupdates als ze slimme apparaten kopen, zoals smart tv’s, printers of babyfoons. Deze verplichting geldt trouwens ook voor games, apps en streamingdiensten.
Hoe zorgt men voor productveiligheid bij IoT-apparaten in overeenstemming met de Europese regelgeving?
Fabrikanten moeten cybersecurity garanderen zolang het product wordt gebruikt. De Cyber Resilience Act voegt nieuwe verplichtingen toe voor de veiligheid van connected producten.
Bedrijven beheren zelf de software-updates om apparaten veilig te houden. Ze moeten regelmatig patches uitrollen bij bekende kwetsbaarheden.
De nieuwe regels gelden voor producten die op of na 9 december 2026 op de markt verschijnen. Fabrikanten krijgen dus nog wat tijd om hun processen aan te passen.
Wat zijn de gevolgen van de Algemene Verordening Gegevensbescherming (AVG) voor ‘connected products’?
Connected products verzamelen vaak persoonlijke gegevens van gebruikers. Fabrikanten moeten deze gegevens beschermen volgens de AVG.
Updates mogen de privacy-instellingen niet zomaar aanpassen en mogen geen extra gegevens verzamelen zonder toestemming. Gebruikers houden dus de controle over hun eigen data.
Bij datalekken door slechte beveiliging kunnen forse boetes volgen. Tijdig updaten voorkomt veel problemen.
Welke aansprakelijkheidsrisico’s bestaan er voor fabrikanten van ‘connected products’ bij gebreken in de software?
Nieuwe Europese regels maken de aansprakelijkheid in de toeleveringsketen duidelijker. Fabrikanten zijn sterker verantwoordelijk voor fouten in de software.
Als beveiligingsupdates uitblijven en gebruikers daardoor schade lijden, kan men de fabrikant aansprakelijk stellen. De bewijslast ligt bij de verkoper, niet bij de consument.
Bij problemen binnen een jaar moet de verkoper aantonen dat het product bij levering in orde was.
Op welke manier beïnvloedt de nieuwe cybersecuritywetgeving het beheer van software-updates?
De Cyber Resilience Act legt extra verplichtingen op voor het beheer van software-updates. Bedrijven moeten een updatebeleid opstellen en dat ook echt uitvoeren.
Updates moeten snel beschikbaar komen na het ontdekken van kwetsbaarheden. Fabrikanten moeten processen inrichten om snel te reageren.
Automatische updates krijgen de voorkeur, want dat beschermt gebruikers beter. Handmatig installeren leidt vaak tot uitstel en dus meer risico.
Hoe kunnen bedrijven naleving van intellectuele eigendomsrechten waarborgen bij het uitrollen van software-updates?
Bedrijven moeten goed nagaan of updates geen patenten of auteursrechten van anderen schenden. Dat betekent dat je nieuwe code en functies echt kritisch moet analyseren.
Zorg dat licentieovereenkomsten met softwareleveranciers duidelijk maken wie er verantwoordelijk is voor intellectuele eigendom in updates. Contracten moeten deze risico’s goed afdekken.
Gebruik je open source software? Dan moet je de licentievoorwaarden volgen. Sommige licenties vragen bijvoorbeeld om wijzigingen openbaar te maken—iets wat je snel over het hoofd ziet.
