Over de functie
DigiSôter is een gespecialiseerd adviesbureau voor cybersecurity dat organisaties helpt conformiteit met de EU-cybersecurityregelgeving te bereiken en te handhaven. Nu de Cyber Resilience Act (Verordening 2024/2847) een fundamentele verandering teweegbrengt in de manier waarop fabrikanten, importeurs en distributeurs geconnecteerde producten op de EU-markt brengen, hebben onze klanten deskundige begeleiding nodig om hun praktijken rond productontwikkeling, documentatie en levenscyclusbeheer te transformeren vóór de uiterste datum voor volledige conformiteit van december 2027 en de verplichtingen rond kwetsbaarheidsrapportage van september 2026. Wij zoeken een freelance Senior Security Consultant om ons team van CRA-specialisten op projectbasis te versterken. U wordt ingezet bij klantopdrachten van DigiSôter als de vertrouwde adviseur die productgerichte organisaties helpt te navigeren door deze regelgeving. In directe samenwerking met engineering-, ontwikkelings- en productmanagementteams bouwt u beveiliging in het fundament van hun geconnecteerde producten. Dit is geen administratieve compliance-oefening op de achtergrond: u opereert op het snijvlak van productstrategie, software-engineering en cybersecurityregelgeving, waarbij u de expertise en methodologie van DigiSôter vertegenwoordigt.
Belangrijkste verantwoordelijkheden
CRA-compliancestrategie & Roadmap
- Uitvoeren van kloofanalyses (gap analyses) ten aanzien van de essentiële cybersecurityvereisten uit Bijlage I van de CRA, die zowel beveiligingseigenschappen als verplichtingen inzake kwetsbaarheidsafhandeling omvatten.
- Ontwikkelen van complianceroadmaps op maat, afgestemd op productreleasecycli, rekening houdend met de rapportagedeadline van september 2026 en de mijlpaal voor volledige conformiteit van december 2027.
- Classificeren van klantproducten volgens de CRA-categorieën voor belangrijke (Bijlage III) en kritieke (Bijlage IV) producten en bepalen van de toepasselijke conformiteitsbeoordelingsprocedures (zelfbeoordeling, derde partij of EU-typeonderzoek).
- Adviseren over de regelgevende verplichtingen specifiek voor elke rol in de toeleveringsketen: fabrikant, importeur en distributeur.
Veilige productontwikkeling
- Nauw samenwerken met engineering- en ontwikkelingsteams om secure-by-design- en secure-by-default-principes te verankeren in de gehele software development lifecycle (SDLC).
- Begeleiden van teams bij het uitvoeren van threat modelling-sessies voor geconnecteerde producten, het identificeren van aanvalsoppervlakken en het definiëren van evenredige beveiligingsmaatregelen.
- Ondersteunen van de implementatie van secure coding-praktijken, procedures voor code reviews en de integratie van geautomatiseerde beveiligingstesten binnen CI/CD-pipelines.
- Adviseren over encryptie-, authenticatie-, toegangscontrole- en gegevensbeschermingsmechanismen die passen bij het risicoprofiel van elk product.
Kwetsbaarheidsbeheer & Incidentenrapportage
- Ontwerpen en operationaliseren van processen voor kwetsbaarheidsafhandeling die voldoen aan de vereisten van Bijlage I, Deel 2 van de CRA, inclusief beleid voor gecoördineerde bekendmaking van kwetsbaarheden (coordinated vulnerability disclosure, CVD).
- Opzetten van workflows voor het opvolgen, prioriteren (triaging) en verhelpen van kwetsbaarheden gedurende de volledige ondersteuningsperiode van het product.
- Voorbereiden van klanten op de verplichte rapportage aan ENISA (via het centrale meldpunt) binnen 24 uur voor actief uitgebuite kwetsbaarheden.
- Ondersteunen van de oprichting van Product Security Incident Response Teams (PSIRT's) waar nodig.
SBOM & Transparantie in de toeleveringsketen
- Begeleiden van productteams bij het genereren, onderhouden en beheren van Software Bills of Materials (SBOM's) in machineleesbare formaten (CycloneDX, SPDX).
- Beoordelen van de cybersecuritystatus van componenten van derden en opensourcecomponenten die in klantproducten zijn geïntegreerd.
- Adviseren over due diligence-processen voor risicobeheer in de softwaretoeleveringsketen, inclusief continue monitoring van upstream afhankelijkheden.
Technische documentatie & Conformiteitsbeoordeling
- Toezien op het opstellen van technische documentatie zoals vereist onder Artikel 31, met inbegrip van risicobeoordelingen, ontwerpspecificaties, testresultaten en beleid inzake beveiligingsupdates.
- Ondersteunen bij het opstellen van EU-conformiteitsverklaringen en de voorbereiding van dossiers voor CE-markering.
- Fungeren als contactpersoon met Aangemelde Instanties (Notified Bodies) waar conformiteitsbeoordeling door derden vereist is (Belangrijke Klasse II- en Kritieke producten).
- Waarborgen dat de documentatie voldoet aan de door de verordening opgelegde bewaarplicht van 10 jaar.
Stakeholdermanagement & Kennisoverdracht
- Optreden als primair inhoudelijk CRA-expert voor klantopdrachten, waarbij u regelgeving vertaalt naar concrete technische vereisten voor belanghebbenden binnen engineering, ontwikkeling en productmanagement.
- Verzorgen van workshops, bewustmakingssessies en opleidingsprogramma's afgestemd op een technisch publiek (ontwikkelaars, architecten, product owners).
- Opstellen van briefings op directieniveau voor rapportering aan directie en raad van bestuur over de stand van CRA-compliance en het restrisico.
- Bijdragen aan de interne kennisbank, thought leadership-publicaties en de CRA-adviesmethodologie van DigiSôter.