Gepubliceerd op 9 november 2025 · Laatst bijgewerkt op 10 oktober 2026
Wie een slim apparaat aan een consument verkoopt, moet ervoor zorgen dat de koper de software-updates krijgt die nodig zijn om het product veilig en werkend te houden, zolang de consument dat redelijkerwijs mag verwachten. Die plicht geldt sinds 1 januari 2022 voor de verkoper; voor fabrikanten komen daar strengere Europese eisen bij, zoals de Cyber Resilience Act, waarvan de hoofdverplichtingen vanaf 11 december 2027 gelden.
Op deze pagina leest u welke updateplicht er nu al geldt, welke Europese regels voor connected products eraan komen, welke toezichthouder waarvoor bevoegd is en hoe het zit met aansprakelijkheid bij een gebrekkige update.
Inhoudsopgave
Welke updateplicht heeft de verkoper tegenover consumenten?
Sinds 1 januari 2022 gelden in Nederland de regels uit de Europese richtlijnen over de verkoop van goederen en de levering van digitale inhoud (Richtlijnen (EU) 2019/770 en 2019/771), die in Boek 7 BW zijn opgenomen. Bij goederen met digitale elementen, zoals een slimme thermostaat of smart-tv, moet de verkoper de consument informeren over updates, waaronder beveiligingsupdates, en ervoor zorgen dat de consument ze krijgt.
Hoe lang die plicht duurt, staat niet in een vast aantal jaren. Het gaat om de periode die de consument redelijkerwijs mag verwachten, gelet op het soort product en het doel ervan. Blijft een noodzakelijke update uit, dan is het product niet conform en heeft de consument recht op herstel, vervanging, prijsvermindering of ontbinding.
Installeert de consument een update niet die hem tijdig en met duidelijke instructies is aangeboden, dan is de verkoper niet aansprakelijk voor een gebrek dat alleen daardoor ontstaat. Meer over de rechten van consumenten bij gebreken leest u in ons artikel over vertraging en non-conformiteit.
Wat regelt de Cyber Resilience Act?
De Cyber Resilience Act (Verordening (EU) 2024/2847) stelt cyberbeveiligingseisen aan producten met digitale elementen, zowel hardware als software. De verordening is op 10 december 2024 in werking getreden; de meeste verplichtingen gelden vanaf 11 december 2027.
De meldplicht voor actief misbruikte kwetsbaarheden en ernstige incidenten geldt al eerder, vanaf 11 september 2026. Fabrikanten moeten een ondersteuningsperiode vaststellen waarin zij beveiligingsupdates leveren. Die periode is in de regel ten minste vijf jaar, tenzij het product naar verwachting korter wordt gebruikt.
- Producten moeten bij het ontwerp al rekening houden met cyberbeveiliging (security by design).
- Fabrikanten moeten kwetsbaarheden behandelen en beveiligingsupdates kosteloos aanbieden.
- Importeurs en distributeurs moeten controleren of de fabrikant aan de eisen heeft voldaan.
- Producten krijgen een CE-markering als zij aan de eisen voldoen.
Welke andere productveiligheidsregels gelden voor connected products?
Sinds 13 december 2024 geldt de Verordening algemene productveiligheid (GPSR, Verordening (EU) 2023/988) voor consumentenproducten. Die verordening vervangt de oude richtlijn en houdt bij de beoordeling van de veiligheid ook rekening met cyberbeveiliging en met software-updates die het product na de verkoop veranderen.
Voor draadloze apparaten, zoals producten met wifi of bluetooth, gelden sinds 1 augustus 2025 aanvullende cyberbeveiligingseisen onder de Europese radioapparatuurrichtlijn. Gaat het om persoonsgegevens, dan blijft ook de AVG van toepassing; lees daarover ons artikel over privacy bij smart homes.
Welke toezichthouder is bevoegd?
Het toezicht is verdeeld over meerdere instanties. Welke instantie bevoegd is, hangt af van de regel die is geschonden.
- De Nederlandse Voedsel- en Warenautoriteit (NVWA) houdt toezicht op de veiligheid van consumentenproducten onder de GPSR.
- De Rijksinspectie Digitale Infrastructuur (RDI) houdt toezicht op radioapparatuur en de cyberbeveiligingseisen daarvoor.
- De Autoriteit Consument & Markt (ACM) handhaaft de consumentenregels, waaronder de informatieplicht over updates.
- De Autoriteit Persoonsgegevens houdt toezicht op de verwerking van persoonsgegevens door het apparaat.
Welke instantie in Nederland het markttoezicht onder de Cyber Resilience Act krijgt, wordt in de Nederlandse uitvoeringswetgeving geregeld.
Wie is aansprakelijk bij een gebrekkige update?
Tegenover de consument is in de eerste plaats de verkoper aansprakelijk als het product door een ontbrekende of gebrekkige update niet conform is. Veroorzaakt het gebrek letsel of schade aan privézaken, dan kan de benadeelde ook de producent aanspreken op grond van de productaansprakelijkheid (artikel 6:185 BW).
De nieuwe Europese richtlijn productaansprakelijkheid (Richtlijn (EU) 2024/2853) geldt voor producten die na 9 december 2026 in de handel worden gebracht. Software valt dan uitdrukkelijk onder het begrip product, en een fabrikant blijft verantwoordelijk voor updates die onder zijn controle vallen. Voor eerder verkochte producten blijven de huidige regels gelden. Lees ook ons artikel over contractuele en wettelijke productaansprakelijkheid.
Waar let u als fabrikant of importeur op?
Bereid u nu voor op de eisen die vanaf 2026 en 2027 gelden.
- Leg per product de ondersteuningsperiode voor beveiligingsupdates vast en vermeld die bij het product.
- Richt vóór 11 september 2026 een procedure in om actief misbruikte kwetsbaarheden en ernstige incidenten te melden.
- Controleer of draadloze producten voldoen aan de cyberbeveiligingseisen die sinds 1 augustus 2025 gelden.
- Leg in contracten met toeleveranciers van software vast wie updates levert en wie aansprakelijk is.
Waar let u als verkoper of webwinkel op?
U bent het eerste aanspreekpunt van de consument.
- Informeer de koper over updates en over de periode waarin u die verwacht te leveren.
- Maak afspraken met de fabrikant of leverancier over het leveren van updates, zodat u verhaal heeft.
- Bewaar bewijs dat u updates tijdig en met instructies heeft aangeboden.
- Controleer of uw algemene voorwaarden de wettelijke rechten van consumenten niet beperken.
Wat kunnen wij voor u doen bij software-updates en productveiligheid?
Onze ICT-rechtadvocaten adviseren fabrikanten, importeurs en verkopers van connected products.
- Wij brengen in kaart welke regels voor uw product gelden: consumentenrecht, GPSR, radioapparatuurrichtlijn en Cyber Resilience Act.
- Wij stellen de informatie over updates en de ondersteuningsperiode op die u aan klanten verstrekt.
- Wij beoordelen en onderhandelen contracten met softwareleveranciers over updates en aansprakelijkheid.
- Wij staan u bij als de NVWA, RDI of ACM een onderzoek instelt of een maatregel oplegt.
- Wij beoordelen claims van afnemers of consumenten over een gebrekkige update (artikelen 7:17 en 6:185 BW).
Samengevat
- Sinds 1 januari 2022 moet de verkoper consumenten de noodzakelijke updates leveren, zolang zij dat redelijkerwijs mogen verwachten.
- De Cyber Resilience Act geldt grotendeels vanaf 11 december 2027; de meldplicht vanaf 11 september 2026.
- Toezicht ligt bij onder meer de NVWA, de Rijksinspectie Digitale Infrastructuur en de ACM.
- Voor producten die na 9 december 2026 in de handel komen, valt software onder de nieuwe productaansprakelijkheidsregels.
Veelgestelde vragen
Hoe lang moet ik updates leveren?
Tegenover consumenten zolang zij dat redelijkerwijs mogen verwachten, afhankelijk van het product. Onder de Cyber Resilience Act moet de fabrikant een ondersteuningsperiode vaststellen van in de regel ten minste vijf jaar.
Geldt de updateplicht ook voor tweedehands producten?
Verkoopt u als ondernemer een tweedehands product met digitale elementen aan een consument, dan gelden de consumentenregels ook. Wat de consument redelijkerwijs mag verwachten, kan bij een ouder product wel anders zijn.
Wat betekent RDI?
RDI staat voor Rijksinspectie Digitale Infrastructuur, de toezichthouder voor onder meer radioapparatuur en digitale infrastructuur. De RDI is de opvolger van Agentschap Telecom.
Ben ik als verkoper aansprakelijk als de fabrikant geen updates meer levert?
Tegenover de consument wel, zolang de redelijke updateperiode loopt. U kunt de schade daarna op uw leverancier proberen te verhalen als u daarover afspraken heeft gemaakt.
