Eigenlijk zou SERMI vanaf 1 augustus verplicht worden, maar deze datum is niet gehaald.
Dit betekent niet dat de nieuwe manier van toegang tot reparatie- en onderhoudsinformatie op losse schroeven staat. Sterker nog: het eerste land is al live. Nederland volgt binnenkort.
Sinds 1 oktober werkt Zweden volledig met SERMI-certificaten. Het is daarmee het eerste land dat aan de nieuwe Europese richtlijnen voldoet. Met SERMI wordt de toegang tot anti-diefstal-gerelateerde reparatie- en onderhoudsinformatie beveiligd. Alleen personen met een SERMI-certificaat hebben toegang tot deze informatie.
Geen overgangsperiode
Nederland volgt waarschijnlijk in het eerste kwartaal van volgend jaar. Eerst moeten voor ons land één of meerdere keuringsinstanties ingesteld worden. Zij zijn verantwoordelijk voor de uitgifte van de certificaten en de controle ervan. Drie bedrijven hebben zich aangemeld als keuringsinstantie. Hun aanvragen worden momenteel beoordeeld door het NAB.
Zodra de eerste keuringsinstantie bekend is, kunnen bedrijven en hun medewerkers hun SERMI-certificaten gaan aanvragen. Dat is tevens het moment waarop een Nederlandse invoeringsdatum voor SERMI wordt vastgesteld. Hierbij wordt rekening gehouden met de capaciteit van de keuringsinstantie om certificaten uit te geven. Minstens 50% van de bedrijven moet de tijd hebben gekregen om hun certificaten te ontvangen voor men de overstap kan maken.
Drie bedrijven hebben zich aangemeld als keuringsinstantie. Hun aanvragen worden momenteel beoordeeld door het NAB.
Als de invoeringsdatum bepaald is, dan kan deze niet meer veranderen. Bedrijven die voor die datum hun SERMI-certificering niet op orde hebben, kunnen na de invoerdatum dus niet meer bij een deel van de reparatie- en onderhoudsinformatie. Er is geen overgangsperiode: zodra SERMI is ingevoerd, werkt de oude manier van invoeren niet meer.
Gegevens afgeschermd
Vanuit de Europese Unie zijn de regels voor SERMI opgelegd. Ze zijn opgenomen in de Europese wetgeving, dus elk land moet zich er aan houden. Sterker nog, als fabrikanten van auto’s, vrachtwagens en aanhangers niet aan de regels van SERMI voldoen, kunnen hun voertuigen geen Europese typegoedkeuring krijgen. Het beschermen van anti-diefstal-gerelateerde gegevens is dus een voorwaarde voor typegoedkeuring.
Als gevolg hiervan is zo’n 95% van de fabrikanten al helemaal klaar voor SERMI. Dat moet ook wel, want het eerste land werkt er al mee. Het blijkt dat vooral Chinese fabrikanten nog geen goedkeuring hebben, maar dit is slechts een kwestie van tijd. Immers, als je auto’s wil verkopen in Europa, dan moet de bescherming van gegevens geregeld zijn.
In eerste instantie gaat SERMI alleen om het afschermen van gegevens die gerelateerd zijn aan anti-diefstal. Denk hierbij aan gegevens over sleutels en alarmen. Echter, het kan ook delen betreffen van het GPS-systeem of bepaalde camera’s, bijvoorbeeld als het gebruikt wordt om een auto terug te vinden. Door SERMI kan zelfs een deel van de ECU, de centrale computer, afgeschermd zijn.
Bedrijfsgebonden
Alleen met een geldig certificaat heb je toegang tot de beveiligde gegevens. Dit certificaat is persoonlijk en mag dus niet gedeeld worden met collega’s. Het is bovendien bedrijfsgebonden, dus als een monteur voor een ander bedrijf gaat werken, moet hij zijn SERMI-certificaat opnieuw aanvragen. Het certificaat is opgeslagen op een mobiel apparaat, zoals een telefoon. Bij het inloggen bij een fabrikant wordt een QR-code getoond, die door dit apparaat gescand moet worden. Het certificaat wordt dan gecontroleerd.
Zowel de werkgever als de werknemer hebben een SERMI-certificaat nodig. De instantie die het certificaat afgeeft, voert ook reguliere controles uit. Eens in de vijf jaar vindt een controle op locatie plaats. Bij een overtreding kunnen de certificaten van de medewerker en van het bedrijf worden ingetrokken. Zij kunnen dan dus niet meer bij de beveiligde informatie.
Niet voor iedereen is een SERMI-certificaat noodzakelijk. Voor regulier onderhoud hoeft men de beveiligde gegevens niet te raadplegen, dus is het certificaat niet nodig. Op dit moment beschermt SERMI alleen nog gegevens gerelateerd aan anti-diefstal, maar dat kan in de toekomst uitgebreid worden. Er zijn bijvoorbeeld stemmen die de APK-keuring, die ook persoonsgebonden is, willen onderbrengen onder SERMI.
Ondanks uitstel gaat SERMI er hoe dan ook komen. Het ligt immers vast in Europese regelgeving. Zodra in Nederland de keuringsinstantie bekend is die de certificaten kan uitgeven, gaat de teller lopen en wordt er een invoerdatum bekend. Houd het dus goed in de gaten, zodat je het SERMI-certificaat op tijd in handen hebt.
Digidentity bouwt
Trust Center met SERMI
De organisatie voor online identiteitsverificatie Digidentity gaat samen met het certificeringsstelsel SERMI een zogeheten Trust Center opzetten voor de gehele
auto-industrie in 29 Europese landen.
SERMI zorgt ervoor dat gecertificeerde autobedrijven veilig kunnen inloggen op de website van een voertuigfabrikant, waarmee zij toegang krijgen tot reparatie- en onderhoudsinformatie die de beveiliging van het voertuig betreffen. “Het opbouwen van vertrouwen in de online omgeving is de sleutel tot economische en sociale groei”, zegt Marcel Wendt, cto en oprichter van Digidentity. “Als Trust Center voor SERMI kunnen wij, samen met de Conformity Assessment Body (CAB), veilige elektronische identificatie en authenticatie in heel Europa makkelijker maken. Dit betekent dat we gebruikers het gemak van eenmalige verificatie kunnen bieden, terwijl we het risico voor voertuigfabrikanten beperken.”
Fred Slikker, algemeen directeur bij Digidentity: “Het realiseren van deze digitale wallet zou het begin kunnen zijn van een meer geïntegreerde identificatiedienst voor meerdere sectoren. Deze samenwerking is de eerste grootschalige implementatie van een nieuwe norm in alle EU-lidstaten. Als we het in het verleden over beveiliging hadden, was dat meestal vanuit het perspectief van de dienstverlener. Nu combineren we een geweldige gebruikerservaring met een waterdichte beveiliging waar zowel dienstverleners als gebruikers baat bij hebben. Dienstverleners, de autofabrikanten, worden beschermd tegen risico’s en gebruikers krijgen volledige controle over het gebruik van hun data met behulp van informed consent.”
