Heb jij een interessante vraag op het snijvlak van privacy, cybersecurity en recht? Stuur je vraag naar juridischevraag@security.nl. Elke week geeft ict-jurist Arnoud Engelfriet in deze rubriek antwoord.

Juridische vraag: Uit een recent onderzoek van de Consumentenbond blijkt dat de gezichtsherkenning van veel telefoons eenvoudig is te omzeilen. Maar liefst 69 procent van de mobiele telefoons die de Consumentenbond onderzocht zakte voor de gezichtsherkenningstest. Dat lijkt mij nogal een probleem.

Nu vroeg ik me af, vanaf 11 september 2026 moeten fabrikanten "ernstige problemen" met hun digitale producten melden via het digitale meldloket van het Nationaal Cyber Security Centrum (NCSC). Is het aanbieden van een niet veilige gezichtsherkenning op een smartphone een "ernstig probleem"?

Antwoord: De Verordening cyberweerbaarheid, in het Engels de Cyber Resilience Act, stelt strenge regels aan de cyberbeveiliging van "producten met digitale elementen" zoals de wet dat noemt. Grofweg is dat alles waar software in zit, of het nou via een netwerk kan communiceren of niet. Telefoons voldoen aan de definitie en moeten dus zich aan die regels houden.

Deel van de CRA is een meldplicht voor "ernstige incidenten", wat volgens artikel 14 incidenten zijn die

1. negatieve gevolgen hebben of kunnen hebben voor het vermogen van een product met digitale elementen om de beschikbaarheid, authenticiteit, integriteit of vertrouwelijkheid van gevoelige of belangrijke gegevens of functies te beschermen, of

2. hebben geleid of kunnen leiden tot de invoering of uitvoering van kwaadwillige code in een product met digitale elementen of in de netwerk- en informatiesystemen van een gebruiker van het product met digitale elementen.

Het aangedragen voorbeeld is van een biometrische toegangscontrole die in 70% van de gevallen niet doet wat is vereist. Het gaat hier om gebruik van een portretfoto, dus een vrij specifieke aanval maar wel voor de hand liggend. Dat valt vrij duidelijk onder aspect 1 van die definitie en is dus meldingsplichtig. Dit moet zo snel mogelijk na ontdekking, met een uiterste termijn van 72 uur.

Niet expliciet geregeld is of je dan ook direct een oplossing moet doorvoeren. Wie een corrigerende of herstelmaatregel doorvoert, moet ook dat binnen 14 dagen rapporteren. Dat zal niet altijd kunnen, en specifiek bij deze foto-aanval is daar niet meteen een oplossing voor te bedenken behalve de feature uitzetten. Je kunt softwarematige liveness detection doorvoeren maar dat is een forse cpu-vreter, en hardwarematige toevoegingen bij reeds verkochte telefoons gaat niet. Meer dan waarschuwen kun je dus niet doen.

Arnoud Engelfriet is ict-jurist, gespecialiseerd in internetrecht waar hij zich al sinds 1993 mee bezighoudt. Hij werkt als chief knowledge officer bij juridisch adviesbureau ICTRecht en blogt dagelijks over internetrecht. Hij schreef onder meer de boeken ICT&Recht en AI&Algorithms, en verzorgt de opleiding tot Certified Cybersecurity Compliance Officer.