CRA-conformiteitsbeoordeling: Keuzewijzer Module A vs B+C vs H

Uw CRA-conformiteitsbeoordelingsroute bepaalt kosten, doorlooptijd en externe afhankelijkheden. Kies verkeerd en u verspilt maanden en duizenden euro's. Kies goed en u heeft een heldere weg naar CE-markering.

Deze gids helpt u de juiste conformiteitsbeoordelingsmodule te kiezen en begrijpen wat elke module inhoudt.

Bronnen: Artikel 13 CRA (bewaartermijn), NANDO-database (aanwijzingsstatus aangemelde instanties), cijfers vermeld in deze gids.

Samenvatting

• Module A (Zelfevaluatie): Beschikbaar voor Default-producten en Important Class I (bij volledige toepassing van geharmoniseerde normen)
• Module B+C (Derde partij): Verplicht voor Important Class II, optioneel voor anderen
• Module H (Volledige kwaliteitsborging): Alternatief voor B+C bij organisaties met meerdere producten
• Productclassificatie bepaalt welke opties beschikbaar zijn
• Kostenverschil: Module A (circa EUR 5.000-20.000 intern), B+C (circa EUR 30.000-100.000+), H (circa EUR 50.000+ opzet + doorlopend)

Overzicht conformiteitsbeoordeling

Conformiteitsbeoordeling is de manier waarop u aantoont dat uw product voldoet aan de CRA-vereisten. De EU-conformiteitsverklaring die u ondertekent, verklaart dat uw product conform is, maar u moet bewijs hebben om die claim te onderbouwen.

De CRA biedt drie conformiteitsbeoordelingsmodules. De beslisboom hierboven koppelt elke productcategorie aan de toegestane routes. Module A is een zelfevaluatie door de fabrikant. Module B+C combineert een EU-typeonderzoek door een aangemelde instantie (B) met een productiefase die u zelf uitvoert (C). Module H is een enkele route waarbij een aangemelde instantie uw kwaliteitsmanagementsysteem goedkeurt en doorlopend toezicht houdt.

Wanneer mag u Module A zelfevaluatie gebruiken?

Zelfevaluatie. U beoordeelt uw eigen product aan de hand van de CRA-vereisten.

Wanneer Module A beschikbaar is

• Default-producten: Altijd beschikbaar
• Important Class I: Alleen als u de relevante geharmoniseerde normen volledig toepast

Wat "geharmoniseerde normen" betekent

Voor Important Class I zelfevaluatie moet u geharmoniseerde normen toepassen die:

• De essentiële vereisten van Bijlage I dekken
• Gepubliceerd zijn in het Publicatieblad van de EU
• Volledig worden toegepast (niet gedeeltelijk)

Als er geen geharmoniseerde norm bestaat voor uw producttype, moeten Important Class I-producten Module B+C of H gebruiken.

Geharmoniseerde normen voor de CRA zijn nog in ontwikkeling. Houd OJEU-publicaties bij.

Module A-proces

1. Ontwerpfase. Pas secure-by-design-principes toe, voer een risicobeoordeling uit aan de hand van Bijlage I, documenteer de beveiligingsarchitectuur en pas geharmoniseerde normen toe als uw product Important Class I is.
2. Documentatie. Stel het technisch dossier op grond van Bijlage VII op: productbeschrijving, resultaten risicobeoordeling, ontwerpdocumentatie, toegepaste normen, testresultaten en SBOM. Bereid de EU-conformiteitsverklaring voor.
3. Productiecontroles. Zorg dat de productie conformiteit handhaaft, documenteer kwaliteitscontroles en verifieer elke eenheid waar van toepassing.
4. Afronding. Onderteken de EU-conformiteitsverklaring, breng de CE-markering aan en bewaar de documentatie gedurende 10 jaar.

Documentatievereisten Module A

Uw technisch dossier op grond van Bijlage VII onder Module A moet deze zes gebieden omvatten.

Kosten Module A

Gebruikelijk totaalbereik: EUR 15.000-50.000 (interne kosten)

Doorlooptijd Module A

Gebruikelijke totale doorlooptijd: 2-4 maanden

Wanneer vereist de CRA een aangemelde instantie?

Beoordeling door derde partij. Een aangemelde instantie onderzoekt uw productontwerp.

Wanneer Module B+C verplicht is

• Important Class II: Verplicht
• Critical-producten: Verplicht (plus EUCC)
• Important Class I: Als u geen geharmoniseerde normen toepast

Module B: EU-typeonderzoek

Een aangemelde instantie onderzoekt een representatief monster (type) van uw product en geeft een certificaat af.

1. Aanvraag. Selecteer een aangemelde instantie en dien uw aanvraag in met productmonsters, technische documentatie en het aanvraagformulier. Betaal de initiële kosten.
2. Onderzoek. De aangemelde instantie beoordeelt de documentatie, test het productmonster, verifieert naleving van Bijlage I en kan aanvullende informatie of tests opvragen.
3. Beslissing. Bij conformiteit geeft de aangemelde instantie het EU-typeonderzoekscertificaat af. Bij tekortkomingen voert u herstelwerkzaamheden uit en dient u opnieuw in.
4. Certificaat. Geldig voor het beoordeelde producttype, vermeldt voorwaarden en beperkingen en is onderhevig aan herziening (doorgaans elke 5 jaar).

Module C: Conformiteit met het type

Na Module B zorgt u dat de productie conform het gecertificeerde type is.

1. Productiecontroles. Zorg dat elke eenheid conform het gecertificeerde type is, documenteer productieprocessen en handhaaf kwaliteitscontroles.
2. Verklaring. Verwijs naar het EU-typeonderzoekscertificaat, onderteken de EU-conformiteitsverklaring en breng de CE-markering aan.
3. Doorlopend. Handhaaf conformiteit met het gecertificeerde type, meld aan de aangemelde instantie wijzigingen die het type beïnvloeden en hercertificeer bij substantiële wijzigingen.

Selectie van aangemelde instantie

Overwegingen bij het kiezen van een aangemelde instantie:

Aangemelde instanties vinden: Raadpleeg de NANDO-database (het officiële EU-register voor aangemelde instanties) zodra CRA-aanwijzingen zijn gepubliceerd.

Kosten Module B+C

Gebruikelijk totaalbereik: EUR 30.000-100.000+

Doorlooptijd Module B+C

Gebruikelijke totale doorlooptijd: 4-10 maanden

Module H: Volledige kwaliteitsborging

Kwaliteitsmanagementsysteembenadering. Een aangemelde instantie keurt uw kwaliteitsmanagementsysteem (KMS) goed voor ontwerp, productie en tests.

Wanneer Module H zinvol is

Module H biedt voordelen wanneer:

• U meerdere producten heeft die beoordeling door derden vereisen
• U al een volwassen KMS heeft (ISO 9001, ISO 27001)
• U een doorlopende relatie met een aangemelde instantie wil in plaats van productonderzoek per stuk
• U regelmatig productupdates uitbrengt

Module H-proces

1. KMS opzetten. Ontwerp een kwaliteitssysteem voor uw ontwerpproces, productiecontroles, testprocedures en documentatiebeheer, afgestemd op de CRA-vereisten.
2. Beoordeling door aangemelde instantie. Dien KMS-documentatie in, ontvang de aangemelde instantie voor de audit, verifieer CRA-afstemming en ontvang het KMS-goedkeuringscertificaat.
3. Productontwerp (per product). Volg het goedgekeurde KMS voor ontwerp, voer een ontwerpevaluatie uit, documenteer conformiteit en sta audits van het ontwerpproces door de aangemelde instantie toe.
4. Productie. Volg het goedgekeurde KMS voor productie, documenteer conformiteit en accepteer surveillance-audits door de aangemelde instantie.
5. Verklaring (per product). Onderteken de EU-conformiteitsverklaring, verwijs naar het KMS-certificaat en breng de CE-markering aan.
6. Doorlopend. Handhaaf het KMS, doorsta surveillance-audits door de aangemelde instantie (doorgaans jaarlijks) en hercertificeer het KMS (doorgaans elke 3 tot 5 jaar).

KMS-vereisten Module H

Uw kwaliteitsmanagementsysteem moet vier gebieden parallel omvatten. Tekortkomingen in een van de gebieden blokkeren certificering.

Kosten Module H

Initieel opzet: EUR 40.000-100.000 Jaarlijks doorlopend: EUR 10.000-30.000

Module H versus B+C: keuze

Vuistregel: Module H wordt kosteneffectief bij 4 of meer producten, of wanneer u regelmatig heronderzoek nodig zou hebben.

Beslissingskader

Stap 1: bepaal de productclassificatie

Gebruik de productclassificatiegids om te bepalen: Default, Important Class I, Important Class II of Critical.

Stap 2: identificeer beschikbare opties

De beslisboom bovenaan deze gids toont de volledige mapping. De tabel hieronder geeft dezelfde routes in tekstvorm.

Stap 3: overweeg bedrijfsfactoren

Stap 3 helpt u uitsluitend kiezen uit de modules die Stap 2 beschikbaar liet. CRA Bijlage VIII maakt Module A juridisch onbereikbaar voor Important Class I zonder geharmoniseerde normen, voor Important Class II en voor Critical-producten. De twee tabellen hieronder splitsen op die grens, zodat elke rij een bereikbaar antwoord heeft voor uw situatie.

Wanneer Modules A, B+C en H allemaal beschikbaar zijn

Van toepassing op Default-producten en op Important Class I met volledig toegepaste geharmoniseerde normen.

Wanneer alleen Modules B+C en H beschikbaar zijn

Van toepassing op Important Class I zonder geharmoniseerde normen, Important Class II en Critical-producten. Module A is voor deze categorieën geen juridische optie, ongeacht budget- of tijdsdruk.

Deze tweede tak spiegelt de "Module H versus B+C"-tabel eerder in deze gids. Waar de twee overlappen, behandelt u ze als dezelfde beslissing vanuit twee invalshoeken: de eerdere tabel is kostengewogen, deze is operationeel-passend-gewogen.

Stap 4: bereken de kosten

Scenario: 5 Important Class II-producten, geen bestaand KMS, horizon van 5 jaar met 2 updates per product.

EU-conformiteitsverklaring

Ongeacht welke module u kiest, moet u een EU-conformiteitsverklaring afgeven.

Verplichte inhoud EU-conformiteitsverklaring

De EU-conformiteitsverklaring voor de Cyberweerbaarheidsverordening is Verordening (EU) 2024/2847. Elke verklaring moet de volgende acht velden bevatten, gevolgd door het handtekeningenblok.

1. Productidentificatie. Productnaam, type, partij en serienummer(s), in detail voldoende voor traceerbaarheid.
2. Naam en adres van de fabrikant. De juridische entiteit die verantwoordelijk is voor de verklaring. Gegevens van de gemachtigde vertegenwoordiger, indien van toepassing.
3. Verantwoordelijkheidsverklaring. "Deze conformiteitsverklaring wordt afgegeven onder de uitsluitende verantwoordelijkheid van de fabrikant."
4. Onderwerp van de verklaring. Productbeschrijving voldoende voor traceerbaarheid, inclusief foto of tekening als het product fysiek is.
5. Toepasselijke EU-wetgeving. Vermeld elke verordening waaraan het product voldoet, te beginnen met Verordening (EU) 2024/2847 (Cyberweerbaarheidsverordening) en voeg eventuele andere horizontale wetgeving toe (RED, EMC, Machines e.a.) die van toepassing is.
6. Toegepaste geharmoniseerde normen of specificaties. Vermeld elke norm met versienummer. Als geen geharmoniseerde norm een deel van Bijlage I dekt, verwijs dan naar de gebruikte specificatie of gemeenschappelijke specificatie.
7. Blok aangemelde instantie (Module B+C of H). Naam aangemelde instantie, viercijferig identificatienummer, certificaatreferentie, uitgevoerde module en afgegeven certificaatnummer. Laat dit veld volledig weg bij Module A.
8. Aanvullende informatie. Einddatum ondersteuningsperiode, contactpunt voor kwetsbaarheidsmeldingen en overige informatie die de CRA of de toepasselijke wetgeving vereist.

CE-markering

Na de conformiteitsbeoordeling brengt u de CE-markering aan. De visuele vorm van het merkteken is vastgesteld. Wat verandert is of een viercijferig aangemelde-instantienummer erbij hoort.

Vereisten CE-markering

Plaatsing CE-markering

Veelgemaakte fouten

Elk van de vijf fouten hieronder heeft dezelfde anatomie: een verleidelijke kortere weg, een ernstig gevolg en een specifieke preventieve maatregel.

Checklist conformiteitsbeoordeling

Werk de kaart Voorbeoordeling als eerste af. Voltooi vervolgens alleen de kaarten voor de module die uw product gebruikt. Elk product eindigt op de kaart Afronding.