ACM gaat communicatie updatebeleid slimme apparaten controleren

De Autoriteit Consument en Markt gaat de komende tijd kijken of aanbieders van slimme apparaten kopers wel op voorhand informeren over het updatebeleid van dat apparaat. Met die kennis weet men op wat voor termijn een apparaat onveilig of onbruikbaar zou kunnen worden.

Volgens de ACM is het niet informeren van consumenten over het updatebeleid een overtreding van het consumentenrecht. De toezichthouder gaat waar nodig boetes uitdelen voor deze overtreding, die op kunnen lopen tot 900.000 euro per overtreding.

Een woordvoerder van de ACM zegt tegen Tweakers dat de bekendmaking van deze stappen hopelijk dienen als een waarschuwing voor aanbieders, zodat het niet tot een boete hoeft te komen. Ook is het de bedoeling dat consumenten dergelijke berichtgeving lezen en zich er bewust van worden dat de bruikbaarheid van slimme apparaten mede afhankelijk is van het updatebeleid.

In een updatebeleid moeten fabrikanten uiteenzetten hoe lang een slim apparaat onderhouden wordt met updates. Daarbij gaat het zowel om het bijwerken van de beveiliging van het apparaat als om het werkend houden van de hoofd- en nevenfunctionaliteiten.

Updates zijn belangrijk voor de beveiliging van met internet verbonden apparaten als thermostaten, lampen, camera's en speakers. Aanvallers kunnen kwetsbaarheden misbruiken om via een smarthome-apparaat mee te luisteren in de woonkamer, een apparaat op slot te zetten met ransomware, of een slim apparaat in te zetten voor een botnet. Tweakers schreef eerder dit jaar een uitgebreid achtergrondverhaal over deze relatief nieuwe dreiging rondom slimme apparaten in en om het huis.

Reacties (18)

Volgens de ACM is het niet informeren van consumenten over het updatebeleid een overtreding van het consumentenrecht.

Geldt dit ook voor telefoons? Ik ben dit soort info nog nooit tegengekomen.
Een "Tenminste houdbaar tot" of "Te gebruiken tot" datum zou eigenlijk wel handig zijn.

[Reactie gewijzigd door Olaf van der Spek op 26 november 2019 18:05]

Geldt dit ook voor telefoons? Ik ben dit soort info nog nooit tegengekomen.
Een "Tenminste houdbaar tot" of "Te gebruiken tot" datum zou eigenlijk wel handig zijn.

Ja. Het probleem is dat de wet meestal vrij ruim is opgesteld. Zo iets als "de leverancier moet de klant goed informeren". Vervolgens kun je een grote discussie hebben over wat "goed informeren" is. De leveranciers vinden uiteraard dat ze al meer dan genoeg doen, terwijl de klanten altijd ruimte voor verbetering zien. De ACM maakt nu duidelijk hoe de wet moet worden uitgelegd volgens die organisatie.

De wet is dus niet veranderd door de ACM. De ACM geeft alleen aan dat er veel bedrijven zijn die de wet verkeerd uitleggen en overtreden. Die zijn nu gewaarschuwd.

De ACM maakt de regels overigens niet maar voert de wet alleen maar uit. De rechter bepaalt uiteindelijk hoe de wet echt uitgelegd wordt. Dit bericht is "service" aan de leveranciers die duidelijkheid willen voor ze voor de rechter worden gedaagd omdat ze de wet verkeerd hebben uitgelegd. In praktijk zal er binnenkort wel een boete worden uitgedeeld aan een leverancier die niet mee wil werken waarna die leverancier naar de rechter stapt om de boete aan te vechten. Op dat moment zal een rechter gaan beslissen of de aanwijzingen van de ACM volgens de wet zijn of niet. Wie geen zin heeft in dat soort problemen is bij deze gewaarschuwd en kan beter doen wat de ACM aangeeft.

Dat de ACM het nodig vindt om zo'n bericht te versturen zegt natuurlijk al dat er een hoop bedrijven zijn die zich er niet aan houden, anders was deze waarschuwing niet nodig geweest.

Dat is erg goed nieuws want nu heeft de consument geen mogelijkheid om een bewuste keuze te maken voor een apparaat dat veilig is en/of lang mee gaat.

De klant ziet dat probleem echter pas lang na de aankoop. Echt duidelijk wordt het waarschijnlijk pas op het moment dat garantie al verlopen is.
Sommige merken hebben een goed of slechte reputatie, maar vrijwel alle merken hebben ook wel een paar modellen die niet voldoende ondersteuning krijgen. Sommige merken, met name telefoons, beloven inmiddels een paar jaar ondersteuning te geven maar dan is het nog maar de vraag hoe ver die ondersteuning gaat.
Voor de klant blijft het onduidelijk en onzeker, bij gebrek informatie speelt het dus ook weinig rol bij de aanschaf van een nieuw product. De fabrikanten weten dat en de meesten doen dus niet al te veel moeite, het levert toch niet meer of minder klanten op.

Bij een telefoon van 200 euro kun je dan nog denken dat de hardware na drie jaar toch wel versleten is, maar voor een TV van 2000 euro is dat onacceptabel. Apparaten die als meubelstuk in ons huis worden verwerkt moeten misschien nog wel langer mee. Mijn klassieke deurbel zit misschien al 30 jaar op de deur en kan nog wel een paar decennia mee. Met een moderne digitale deurbel zou ik daar niet op rekenen.

Wat wel lastig gaat worden is dat ondersteuning veel geld kost, goede software is nu eenmaal duur. Als fabrikanten gedwongen worden om hun fouten te verbeteren en jarenlang te ondersteunen zullen de prijzen omhoog moeten, in ieder geval op korte termijn. (Op lange termijn hoop ik dat hogere kwaliteit zorgt voor minder bugs en minder gebruikersondersteuning waardoor de totale prijs daalt)

Ik hoop dat het ook zorgt voor meer standaardisering. Dat iedereen z'n eigen software schrijft helpt niet om de kwaliteit hoog te houden, terwijl veel van die apparaten zoveel op elkaar lijken dat ze best meer software zouden kunnen delen. Bij PC's is het normaal dat je zelf een OS (bv Windows of Linux) kan installeren dat out-of-the-box werkt met vrijwel alle hardware op de markt. Omdat iedereen hetzelfde OS gebruikt worden fouten snel gevonden en voor iedereen tegelijk verholpen. Bij veel andere apparaten schrijft iedere fabrikant z'n eigen software (of laat dat doen) en wordt het wiel talloze keren opnieuw uitgevonden en ontluisd.

Het is ontzettend duur om voor ieder apparaat een aparte softwarestack bij te houden, maar als je dezelfde software op al je apparaten gebruikt kunnen de kosten lager blijven en is het makkelijker om systemen lang te ondersteunen.

[Reactie gewijzigd door CAPSLOCK2000 op 26 november 2019 17:50]

Leuk dat je ook de deurbel noemt.
De markt is in ontwikkeling en gaat razendsnel. De ACM hobbelt er nu nog wat achteraan, logisch ze kan pas handelen 'als het zover is'.
Maar ik denk dat straks met name met de elektrische auto, die steeds meer een rijdende computer wordt en straks ook 24 online kan, consumenten zeker willen weten dat ie wordt geüpdatet. Er moet zelfs z.s.m. een tweede hands markt gecreëerd worden. Krijgt de consument dan een BOVAG update garantie bij een 2e hands van 5 jaar oud. En voor hoe lang
Dit gaat ongetwijfeld nogal een groter dingetje worden... waar nu al over nagedacht kan/moet worden.

En daarom koop geen cloud producten. Je kan nog beter Ali express producten kopen. Die je kan koppelen via zigbee2mqtt. En dan aan openhab of domoticaz ofzo.

Houd er wel rekening mee dat wat je hierboven plaatste voor de gemiddelde consument al aardig begint te lijken op wartaal. De gemiddelde consument koopt bijvoorbeeld een internet camera om zich veiliger te voelen. Dit gaat echt niet aan de studie om dat in eigen beheer in te richten, die verwacht gewoon dat het werkt.

Dat de ACM nu kwaliteitseisen en garanties vraag lijkt mij niet heel vreemd. Waarom worden apparaten maar enkele jaren ondersteund terwijl deze na veel langer nog steeds niet afgeschreven zijn? En waarom kunnen fabrikanten diensten van een product waarvoor betaald is (om van die diensten gebruik te kunnen maken) zomaar stop zetten?

De wet en regelgeving loopt behoorlijk achter op de realiteit, en dan is het goed dat daar aandacht aan wordt besteed. "Koop geen cloud producten" is een mooi statement maar het ontkent de realiteit dat dit wel gebeurt en dus moet de maatschappij daarop berekend zijn. Als ik zeg koop geen auto is Nederland ook niet in een klap autovrij.

Dat klopt. Maar waarom zou je een cloud product kopen? Ik zie geen enkel voordeel.

Een verplichte sticker cloud productofzo zou ik wel willen zien. Het komt inderdaad tekort nu.

[Reactie gewijzigd door TheDudez op 26 november 2019 18:18]

Omdat je geen IT opleiding hebt afgerond maar gewoon een simpele ZZP'er bent die zijn gereedschap wil beveiligen en met een simpele app op zijn telefoon wil kunnen kijken wat er gebeurd

Ikzelf let er ook actief op dat een product binnen mijn eigen netwerk moet kunnen functioneren zonder call home of cloud functies. Ik regel zelf wel dat ik op een of andere manier bij de data kom van het product.

Zou juist graag zien dat ze cloud diensten als los deel verkopen van het product, en dat de hardware dus iets los is van de app/cloud functies.

Dan is cloud nog steeds niet nodig

Zoals Ed Vertijsment al vermeld is het ACM er voornamelijk voor de leek. Wij Tweakers snappen jou standpunt over het algemeen, maar de technische leek snapt er de ballen van (want die willen plug-and-play) en daarom is de ACM hier nu mee bezig.

[Reactie gewijzigd door xMuchux op 27 november 2019 09:10]

of via openhan/tuya achtige aplicaties, werkt veel beter.

en op veel van die china dingen kan je ook nog eens TASMOTA flashen, wat ook nog eens open source is.

dus dan ben je nooit overgeleverd aan een "smart termostaat" die alleen via de server van de maker werkt en niet, via local host/offline.

heb je een tijd geen internet, betekend ook dat je dan ook geen warmte hebt,

Tuya werkt via de cloud. Tenzij je oude firmware hebt dan kan nog zonder cloud. De rest klopt inderdaad

En geen connected producten als er geen enkele reden is dat die connected zouden moeten zijn.

Waarom moet elke IOT direct aan het internet? Waarom niet gewoon zigbee, z-wave, eigen netwerkprincipes die enkel via een centraal systeem naar buiten kunnen? Natuurlijk heb je dan nog steeds 1 zwakte, maar is nog altijd beter dan 20 losse apparaten direct op het internet. Nee, elk 'smart' ding moet z'n eigen server, eigen cloud, eigen toegang, en wordt natuurlijk ook nog eens gekocht door mensen die default user/pass actief laten, 0,0 verstand hebben van routers (en instellingen), welke update van een fabrikant helpt tegen een standaard admin/admin van een ip-camera?

Je robotzuiger via de app, moet natuurlijk direct via internet. Je babyfoon, natuurlijk via de app, direct via internet. Mensen boeit het weinig of een fabrikant erachter nu wel of niet z'n best doet om dit zooitje veilig te hebben, zo'n ding van 39.95 of 399.95.. keuze is altijd simpel.

En dan gaan ze vooraf informeren.. je krijgt 3 jaar updates, user/pass is firmware coded, altijd via internet bereikbaar. En dan? Voldaan aan de ACM eisen, maar dat ding blijft zo lek als een mandje.

Mensen boeit het weinig of een fabrikant erachter nu wel of niet z'n best doet om dit zooitje veilig te hebben, zo'n ding van 39.95 of 399.95.. keuze is altijd simpel.

Volgens mij boeit het de meeste mensen eigenlijk wel maar hebben ze niet de informatie om een goede keuze te maken. Volgens de verpakking is dat apparaat van 39.95 net zo veilig als dat van 399.95 en de consument kan dat verder niet beoordelen.

En dan gaan ze vooraf informeren.. je krijgt 3 jaar updates, user/pass is firmware coded, altijd via internet bereikbaar. En dan? Voldaan aan de ACM eisen, maar dat ding blijft zo lek als een mandje.

Dat zou al een hele vooruitgang zijn op de huidige situatie waarin een hoop apparaten verkocht worden die lek in de winkel liggen en nooit een update krijgen, zoals een hoop goedkope internet camera's. Door de onderste laag van de markt af te halen hoeven de goede fabrikanten niet meer te concurreren met de prijs van producten die goedkoop zijn omdat ze geen ondersteuning bieden. Dat geeft meer ademruimte om het goed te doen.

Het probleem met veel "slimme" apparaten is dat ze niet werken zonder internet, ik heb een aantal slimme stekkers gehad en met geen mogelijkheid kon je ze lokaal bedienen(ondanks de app aangaf ingesteld als lokaal gebruik), eenmaal firrewall op de router aan en ze stoppen met functioneren, in de firrewall zag je duidelijk communicatie met een cloud server terwijl daar geen enkel reden voor is.

Een TV blijft wel functioneren zonder internet maar verliest alleen een beetje functionaliteit, deze zal niet direct op zwart gaan als ik gewoon de coax/hdmi stekker gebruik, bij een aantal "slimme" apparaten dus wel ondanks er geen noodzaak toe is.

[Reactie gewijzigd door mr_evil08 op 26 november 2019 17:56]

Vallen slimme energiemeters hier ook onder? Het lijkt me fijn om te weten als er iets verandert (zoals een firmware fix om het salderen van 3- fase meters goed te berekenen).

Als je de slimme meter bedoelt die je netbeheerder installeert: lijkt me van niet. Dat is NL. niet jouw eigendom maar die van de netbeheerder.
De ACM heeft het over consumenten die slimme apparaten kopen.