CRA-conformiteitsbeoordeling: Keuzewijzer Module A vs B+C vs H

Uw CRA-conformiteitsbeoordelingsroute bepaalt de kosten, doorlooptijd en externe afhankelijkheden. Kies verkeerd en u verspilt maanden en duizenden euro's. Kies goed en u heeft een heldere weg naar CE-markering.

Deze gids helpt u de juiste conformiteitsbeoordelingsmodule te kiezen en begrijpen wat elke module inhoudt.

Samenvatting

• Module A (Zelfevaluatie): Beschikbaar voor Default-producten en Important Class I (bij toepassing van geharmoniseerde normen)
• Module B+C (Derde partij): Verplicht voor Important Class II, optioneel voor anderen
• Module H (Volledige kwaliteitsborging): Alternatief voor B+C bij organisaties met meerdere producten
• Productclassificatie bepaalt welke opties beschikbaar zijn
• Kostenverschil: Module A (circa EUR 5.000-20.000 intern), B+C (circa EUR 30.000-100.000+), H (circa EUR 50.000+ opzet + doorlopend)

Overzicht Conformiteitsbeoordeling

Conformiteitsbeoordeling is de manier waarop u aantoont dat uw product voldoet aan de CRA-vereisten. De EU-conformiteitsverklaring (DoC) die u ondertekent, verklaart dat uw product conform is, maar u moet bewijs hebben om die claim te onderbouwen.

De CRA biedt drie conformiteitsbeoordelingsmodules:

MODULEOPTIES PER PRODUCTCATEGORIE

+-------------------------------------------------------------+
|                    DEFAULT-PRODUCTEN                        |
|                   (circa 90% van producten)                 |
+-------------------------------------------------------------+
|   Module A (Zelfevaluatie)       ✓ Toegestaan               |
|   Module B+C (Derde partij)      ✓ Toegestaan (optioneel)   |
|   Module H (Volledige QA)        ✓ Toegestaan (optioneel)   |
\-------------------------------------------------------------+

+-------------------------------------------------------------+
|              IMPORTANT CLASS I PRODUCTEN                    |
|              (Bijlage III, Deel I)                          |
+-------------------------------------------------------------+
|   Module A (Zelfevaluatie)       ✓ MITS geharmoniseerde normen |
|   Module B+C (Derde partij)      ✓ Toegestaan               |
|   Module H (Volledige QA)        ✓ Toegestaan               |
\-------------------------------------------------------------+

+-------------------------------------------------------------+
|              IMPORTANT CLASS II PRODUCTEN                   |
|              (Bijlage III, Deel II)                         |
+-------------------------------------------------------------+
|   Module A (Zelfevaluatie)       ✗ NIET Toegestaan          |
|   Module B+C (Derde partij)      ✓ VERPLICHT                |
|   Module H (Volledige QA)        ✓ Toegestaan               |
\-------------------------------------------------------------+

+-------------------------------------------------------------+
|                  CRITICAL-PRODUCTEN                         |
|                    (Bijlage IV)                             |
+-------------------------------------------------------------+
|   Module A (Zelfevaluatie)       ✗ NIET Toegestaan          |
|   Module B+C (Derde partij)      ✓ VERPLICHT + EUCC         |
|   Module H (Volledige QA)        ✓ Toegestaan + EUCC        |
\-------------------------------------------------------------+

Wanneer mag u Module A zelfevaluatie gebruiken?

Zelfevaluatie. U beoordeelt uw eigen product aan de hand van de CRA-vereisten.

Wanneer Module A beschikbaar is

• Default-producten: Altijd beschikbaar
• Important Class I: Alleen als u de relevante geharmoniseerde normen volledig toepast

Wat "geharmoniseerde normen" betekent

Voor Important Class I zelfevaluatie moet u geharmoniseerde normen toepassen die:

• De essentiële vereisten van Bijlage I dekken
• Gepubliceerd zijn in het Publicatieblad van de EU
• Volledig worden toegepast (niet gedeeltelijk)

Als er geen geharmoniseerde norm bestaat voor uw producttype, moeten Important Class I-producten Module B+C of H gebruiken.

VERIFIEER MET PRIMAIRE BRON: Geharmoniseerde normen voor de CRA zijn nog in ontwikkeling. Houd OJEU-publicaties bij.

Module A Proces

MODULE A CONFORMITEITSBEOORDELING

1. ONTWERPFASE
   +-- Beveiligingsprincipes by design toepassen
   +-- Risicoanalyse uitvoeren (Bijlage I vereisten)
   +-- Beveiligingsarchitectuur documenteren
   \-- Geharmoniseerde normen toepassen (bij Class I)

2. DOCUMENTATIE
   +-- Technisch dossier opstellen (Bijlage VII)
   |   +-- Productbeschrijving
   |   +-- Resultaten risicoanalyse
   |   +-- Ontwerpdocumentatie
   |   +-- Toegepaste normen
   |   +-- Testresultaten
   |   \-- SBOM
   \-- EU-conformiteitsverklaring voorbereiden

3. PRODUCTIECONTROLES
   +-- Zorgen dat productie conformiteit handhaaft
   +-- Kwaliteitscontroles documenteren
   \-- Elke eenheid verifiëren (waar van toepassing)

4. AFRONDING
   +-- EU-conformiteitsverklaring ondertekenen
   +-- CE-markering aanbrengen
   \-- Documentatie bewaren (10 jaar)

Documentatievereisten Module A

Uw technisch dossier onder Module A moet bevatten:

Algemene beschrijving:

• Productidentificatie en beoogd gebruik
• Gedekte versies
• Verstrekte gebruikersinstructies

Risicoanalyse:

• Geidentificeerde cyberbeveiligingsrisico's
• Overwogen bedreigingen en aanvalsscenario's
• Beslissingen over risicobehandeling

Ontwerpdocumentatie:

• Systeemarchitectuur
• Geimplementeerde beveiligingsmaatregelen
• Hoe aan elke vereiste van Bijlage I wordt voldaan

Normen en tests:

• Toegepaste normen (met versienummers)
• Testplannen en resultaten
• Verificatie dat normen volledig worden toegepast (voor Class I)

SBOM:

• Opgenomen componenten
• Op het moment van beoordeling bekende kwetsbaarheden

Productie:

• Hoe productie conformiteit handhaaft
• Kwaliteitscontrolemaatregelen

Kosten Module A

Gebruikelijk totaalbereik: EUR 15.000-50.000 (interne kosten)

Doorlooptijd Module A

Gebruikelijke totale doorlooptijd: 2-4 maanden

Wanneer vereist de CRA een aangemelde instantie?

Beoordeling door derde partij. Een aangemelde instantie onderzoekt uw productontwerp.

Wanneer Module B+C verplicht is

• Important Class II: Verplicht
• Critical-producten: Verplicht (plus EUCC)
• Important Class I: Als u geen geharmoniseerde normen toepast

Module B: EU-typeonderzoek

Een aangemelde instantie onderzoekt een representatief monster (type) van uw product en geeft een certificaat af.

MODULE B PROCES

1. AANVRAAG
   +-- Aangemelde instantie selecteren
   +-- Aanvraag indienen met:
   |   +-- Product(monster)s
   |   +-- Technische documentatie
   |   \-- Aanvraagformulier
   \-- Aanvankelijke kosten betalen

2. ONDERZOEK
   +-- AI beoordeelt documentatie
   +-- AI test het productmonster
   +-- AI verifieert naleving Bijlage I
   \-- AI kan aanvullende informatie/tests opvragen

3. BESLISSING
   +-- Conform → EU-typeonderzoekscertificaat
   +-- Niet-conform → Rapport met tekortkomingen
   \-- Bij tekortkomingen: herstel en opnieuw indienen

4. CERTIFICAAT
   +-- Geldig voor beoordeeld producttype
   +-- Vermeldt voorwaarden en beperkingen
   \-- Onderhevig aan herziening (doorgaans 5 jaar)

Module C: Conformiteit met het type

Na Module B zorgt u dat de productie conform het gecertificeerde type is.

MODULE C PROCES

1. PRODUCTIECONTROLES
   +-- Zorgen dat elke eenheid conform het gecertificeerde type is
   +-- Productieprocessen documenteren
   \-- Kwaliteitscontroles handhaven

2. VERKLARING
   +-- Verwijzen naar EU-typeonderzoekscertificaat
   +-- EU-conformiteitsverklaring ondertekenen
   \-- CE-markering aanbrengen

3. DOORLOPEND
   +-- Conformiteit met gecertificeerd type handhaven
   +-- Wijzigingen die het type beinvloeden melden aan AI
   \-- Hercertificeren bij substantiele wijzigingen

Selectie van Aangemelde Instantie

Overwegingen bij het kiezen van een aangemelde instantie:

Aangemelde instanties vinden: Raadpleeg de NANDO-database (het officiële EU-register voor aangemelde instanties) zodra CRA-aanwijzingen zijn gepubliceerd.

Waarschuwing: Tarieven van aangemelde instanties lopen doorgaans op van EUR 30.000 tot EUR 100.000 of meer, en wachttijden kunnen 4 tot 16 weken bedragen. Houd hier rekening mee bij uw planning en begroting.

Kosten Module B+C

Gebruikelijk totaalbereik: EUR 30.000-100.000+

Doorlooptijd Module B+C

Gebruikelijke totale doorlooptijd: 4-10 maanden

Module H: Volledige Kwaliteitsborging

Kwaliteitsmanagementsysteembenadering. Een aangemelde instantie keurt uw KMS goed voor ontwerp, productie en tests.

Wanneer Module H zinvol is

Module H biedt voordelen wanneer:

• U meerdere producten heeft die beoordeling door derden vereisen
• U al een volwassen KMS heeft (ISO 9001, ISO 27001)
• U een doorlopende relatie met een AI wil in plaats van productonderzoek per stuk
• U regelmatig productupdates uitbrengt

Module H Proces

MODULE H PROCES

1. KMS OPZETTEN
   +-- Kwaliteitssysteem ontwerpen voor:
   |   +-- Ontwerpproces
   |   +-- Productiecontroles
   |   +-- Testprocedures
   |   \-- Documentatiebeheer
   \-- Afstemmen op CRA-vereisten

2. BEOORDELING DOOR AI
   +-- KMS-documentatie indienen
   +-- AI auditeert uw KMS
   +-- AI verifieert CRA-afstemming
   \-- AI geeft KMS-goedkeuringscertificaat af

3. PRODUCTONTWERP (per product)
   +-- Goedgekeurd KMS volgen voor ontwerp
   +-- Ontwerpevaluatie uitvoeren
   +-- Naleving documenteren
   \-- AI kan ontwerpproces auditen

4. PRODUCTIE
   +-- Goedgekeurd KMS volgen voor productie
   +-- Conformiteit documenteren
   \-- AI voert surveillance-audits uit

5. VERKLARING (per product)
   +-- EU-conformiteitsverklaring ondertekenen
   +-- Verwijzen naar KMS-certificaat
   \-- CE-markering aanbrengen

6. DOORLOPEND
   +-- KMS handhaven
   +-- Surveillance-audits door AI (doorgaans jaarlijks)
   \-- KMS hercertificeren (doorgaans elke 3-5 jaar)

KMS-vereisten Module H

Uw kwaliteitsmanagementsysteem moet betrekking hebben op:

Ontwertkwaliteit:

• Beheersmaatregelen ontwerpproces
• Risicoanalysemethodologie
• Procedures voor ontwerpbeoordeling
• Configuratiebeheer
• Verificatie en validatie van ontwerp

Productiekwaliteit:

• Beheersmaatregelen productieproces
• Kwaliteitscontroletests
• Behandeling van non-conformiteiten
• Traceerbaarheid
• Kalibratie van apparatuur

Documentatiekwaliteit:

• Vereisten voor het technisch dossier
• Documentenbeheer
• Bewaartermijnen van documenten
• Wijzigingsbeheer

Integratie van cyberbeveiliging:

• Veilige softwareontwikkelingscyclus
• Kwetsbaarheidsbeheer
• Updateprocessen
• Incidentrespons

Kosten Module H

Initieel opzet: EUR 40.000-100.000 Jaarlijks doorlopend: EUR 10.000-30.000

Module H versus B+C Keuze

Vuistregel: Module H wordt kosteneffectief bij 4 of meer producten, of wanneer u regelmatig heronderzoek nodig zou hebben.

Beslissingskader

Stap 1: Bepaal de Productclassificatie

Gebruik de productclassificatiegids om te bepalen: Default, Important Class I, Important Class II of Critical.

Stap 2: Identificeer Beschikbare Opties

ALS Default:
    Opties: A, B+C, H
    Aanbeveling: Module A (tenzij u validatie door derde partij wilt)

ALS Important Class I:
    ALS geharmoniseerde normen bestaan EN u ze volledig toepast:
        Opties: A, B+C, H
        Aanbeveling: Module A (met normen)
    ANDERS:
        Opties: B+C, H
        Aanbeveling: B+C (tenzij meerdere producten)

ALS Important Class II:
    Opties: B+C, H
    Aanbeveling: B+C (tenzij meerdere producten of volwassen KMS)

ALS Critical:
    Opties: B+C + EUCC, H + EUCC
    Aanbeveling: Afhankelijk van organisatiemogelijkheden

Stap 3: Overweeg Bedrijfsfactoren

Stap 4: Bereken de Kosten

KOSTENVERGELIJKINGSVOORBEELD

Scenario: 5 Important Class II producten, geen bestaand KMS

OPTIE 1: Module B+C voor elk product
+-- Per product: EUR 50.000 gemiddeld
+-- 5 producten: EUR 250.000
+-- Heronderzoek (updates): EUR 25.000/product/update
\-- 5-jaarkosten (bij 2 updates/product): EUR 500.000

OPTIE 2: Module H
+-- KMS-opzet: EUR 50.000
+-- Initiële certificering: EUR 25.000
+-- Ontwerpevaluatie per product: EUR 10.000 x 5 = EUR 50.000
+-- Jaarlijks toezicht: EUR 12.000 x 5 jaar = EUR 60.000
+-- Updatebeoordelingen: EUR 5.000/product/update x 10 = EUR 50.000
\-- 5-jaarkosten: EUR 235.000

Beslissing: Module H bespaart EUR 265.000 over 5 jaar

EU-conformiteitsverklaring

Ongeacht welke module u kiest, moet u een EU-conformiteitsverklaring afgeven.

Verplichte inhoud DoC

EU-CONFORMITEITSVERKLARING
(Cyber Resilience Act - Verordening (EU) 2024/2847)

1. Productidentificatie:
   [Productnaam, type, partij, serienummer(s)]

2. Naam en adres van de fabrikant:
   [Uw bedrijfsgegevens]

3. Deze conformiteitsverklaring wordt afgegeven onder de
   uitsluitende verantwoordelijkheid van de fabrikant.

4. Onderwerp van de verklaring:
   [Productbeschrijving, voldoende voor traceerbaarheid]

5. Het hierboven beschreven onderwerp van de verklaring
   voldoet aan de relevante harmonisatiewetgeving van de Unie:
   - Verordening (EU) 2024/2847 (Cyber Resilience Act)
   - [Andere toepasselijke wetgeving]

6. Verwijzingen naar de relevante geharmoniseerde normen of
   specificaties waaraan conformiteit wordt verklaard:
   [Lijst van toegepaste normen met versienummers]

7. Indien van toepassing, de aangemelde instantie:
   [Naam AI, nummer, certificaatreferentie]
   heeft uitgevoerd: [Module B/H onderzoek]
   en afgegeven: [certificaatnummer]

8. Aanvullende informatie:
   [Ondersteuningsperiode, contactpunt voor kwetsbaarheidsmeldingen, etc.]

Ondertekend namens:
[Naam, functie]
[Plaats en datum van afgifte]
[Handtekening]

CE-markering

Na de conformiteitsbeoordeling brengt u de CE-markering aan.

Vereisten CE-markering

• Zichtbaar, leesbaar, onuitwisbaar
• Minimale hoogte 5 mm
• Correcte verhoudingen (zoals gespecificeerd in wetgeving)
• Op product of verpakking (als markering op het product niet haalbaar is)
• Vergezeld van nummer aangemelde instantie bij gebruik van Module B of H

Plaatsing CE-markering

VOORBEELDEN CE-MARKERING

Fysiek product:
+-- Op het product zelf (voorkeur)
+-- Op het typeplaatje/label
+-- Op de verpakking (als product te klein is)
\-- In documentatie (als fysieke markering onmogelijk is)

Software:
+-- In info/over-scherm
+-- In documentatie
\-- Op verpakking (bij fysieke media)

Met aangemelde instantie (Module B of H):
CE-markering + AI-nummer
bijv. CE 1234 (waarbij 1234 het identificatienummer van de AI is)

Veelgemaakte Fouten

Belangrijk: Zelfevaluatie (Module A) voor een Important Class II product is een ongeldige conformiteitsbeoordeling. Het product mag dan niet legaal op de EU-markt worden gebracht.

Zelfevaluatie wanneer niet toegestaan

Probleem: Module A kiezen voor een Important Class II product.

Gevolg: Ongeldige conformiteitsbeoordeling. Product mag niet legaal op de markt worden gebracht.

Preventie: Verifieer altijd de productclassificatie voordat u een beoordelingsroute kiest.

Gedeeltelijke toepassing van normen

Probleem: Module A claimen voor Important Class I terwijl u geharmoniseerde normen slechts gedeeltelijk toepast.

Gevolg: Module A is niet beschikbaar zonder volledige toepassing van normen.

Preventie: Als u normen niet volledig kunt toepassen, gebruik dan Module B+C of H.

Onvoldoende documentatie

Probleem: Het technisch dossier mist verplichte inhoud voor de gekozen module.

Gevolg: Conformiteit kan niet worden aangetoond. DoC is niet geldig.

Preventie: Gebruik checklists. Beoordeel de documentatievereisten voor uw specifieke module.

Verrassing aangemelde instantie

Probleem: Te laat ontdekken dat het product AI-beoordeling vereist.

Gevolg: Vertraagde marktintroductie (wachttijden AI kunnen maanden bedragen).

Preventie: Classificeer producten vroeg. Neem proactief contact op met aangemelde instanties.

DoC voor beoordeling ondertekenen

Probleem: DoC ondertekenen voordat de conformiteitsbeoordeling is afgerond.

Gevolg: Valse verklaring. Juridische aansprakelijkheid.

Preventie: De DoC is de laatste stap, nadat alle beoordelingsactiviteiten zijn afgerond.

Checklist Conformiteitsbeoordeling

CHECKLIST CONFORMITEITSBEOORDELING

VOOR DE BEOORDELING:
[ ] Productclassificatie bepaald
[ ] Beschikbare modules geidentificeerd
[ ] Module geselecteerd op basis van vereisten en bedrijfsfactoren
[ ] Tijdlijn vastgesteld
[ ] Budget toegewezen

MODULE A (Zelfevaluatie):
[ ] Risicoanalyse afgerond
[ ] Bijlage I vereisten behandeld
[ ] Geharmoniseerde normen toegepast (bij Class I)
[ ] Technisch dossier opgesteld
[ ] Tests afgerond
[ ] Productiecontroles gedocumenteerd
[ ] DoC opgesteld

MODULE B (EU-typeonderzoek):
[ ] Aangemelde instantie geselecteerd
[ ] Aanvraag ingediend
[ ] Technische documentatie verstrekt
[ ] Product(monster)s verstrekt
[ ] Onderzoek afgerond
[ ] Certificaat ontvangen
[ ] Tekortkomingen verholpen (indien van toepassing)

MODULE C (Conformiteit met het type):
[ ] Productiecontroles ingericht
[ ] Conformiteit met type geverifieerd
[ ] Documentatie bijgehouden
[ ] DoC verwijst naar certificaat

MODULE H (Volledige QA):
[ ] KMS ontwikkeld/bijgewerkt
[ ] AI-audit ingepland
[ ] KMS-certificaat ontvangen
[ ] Ontwerpevaluatie per product afgerond
[ ] Schema surveillance-audits vastgesteld

AFRONDING (Alle modules):
[ ] EU-conformiteitsverklaring ondertekend
[ ] CE-markering aangebracht
[ ] Technisch dossier gearchiveerd (bewaartermijn 10 jaar)
[ ] Klaar voor marktintroductie

Volgende Stappen

Beheert u CRA-conformiteit voor meerdere producten? CRA Evidence houdt uw beoordelingsmodule per product bij, slaat technische dossiers op en monitort de aanwijzingsstatus van aangemelde instanties zodra de NANDO-database wordt bijgewerkt.

Zodra u uw module heeft bevestigd, bouwt u uw bewijspakket op met onze Bijlage VII gids voor het technisch dossier. Raadpleeg de productclassificatiegids als uw categorie nog onduidelijk is.

Dit artikel is uitsluitend bedoeld als informatie en vormt geen juridisch advies. Raadpleeg een gekwalificeerde juridisch adviseur voor specifiek conformiteitsadvies.