CRA voor Franse fabrikanten: ANSSI, ANFR en CE-markering

Franse fabrikanten hebben dezelfde Cyberweerbaarheidsverordening-verplichtingen als elke andere EU-fabrikant. Deze pagina is een landenbriefing voor Frankrijk: hoe kwetsbaarheidsmeldingen en incidentrapportages lopen via CERT-FR (het operationele CSIRT van ANSSI), hoe conformiteitsbeoordelingsinstanties naar verwachting worden aangewezen via de Franse taakverdeling (ANSSI notificeert, COFRAC accrediteert), hoe ANFR de belangrijkste kandidaat is voor markttoezicht onder de Cyberweerbaarheidsverordening in afwachting van het formele instrument in het Journal Officiel (een rol die vaak ten onrechte aan DGCCRF wordt toegeschreven), wat de Franse taalvereisten concreet inhouden, en welke Bpifrance- en France 2030-lijnen openstaan voor compliance-investeringen. Raadpleeg voor het volledige verplichtingenpakket de clustergids voor fabrikanten.

Wanneer deze gids op u van toepassing is

U bent de beoogde lezer als uw "hoofdvestiging in de Unie" als fabrikant in Frankrijk ligt. Dat is de plek waar de beslissingen over de cyberbeveiliging van uw producten met digitale elementen hoofdzakelijk worden genomen. Een in Frankrijk geregistreerde verkoopsdochtermaatschappij met engineering in het buitenland is niet de hoofdvestiging. Als uw engineeringteam, uw SDLC-governance en de mensen die goedkeuring geven aan beveiligingsupdates in Frankrijk zitten, is deze gids voor u.

Als uw hoofdvestiging elders in de EU ligt en u alleen naar Frankrijk levert, lopen uw meldingen via het CSIRT van de lidstaat waar uw hoofdvestiging zich bevindt, niet via CERT-FR. De Franse taalverplichting voor gebruikersgerichte informatie geldt echter voor elk product dat op de Franse markt wordt gebracht.

ANSSI en CERT-FR: de Franse CSIRT-route

Meldingen voor de Cyberweerbaarheidsverordening lopen via het CSIRT dat is aangewezen als coördinator van de lidstaat waar de fabrikant zijn hoofdvestiging in de Unie heeft. Voor een fabrikant met hoofdvestiging in Frankrijk is dat CSIRT CERT-FR, het operationele onderdeel van ANSSI (Agence nationale de la sécurité des systèmes d'information).

ANSSI valt onder het SGDSN en beheert de Franse nationale certificeringsschema's (CSPN, Visa de Sécurité) en de geaccrediteerde evaluatiecentra (CESTI). CERT-FR publiceert Franstalige kwetsbaarheidsadviezen en voert de nationale kwetsbaarheidscoördinatie uit.

CERT-FR-contact: website https://www.cert.ssi.gouv.fr, e-mail cert-fr@ssi.gouv.fr. ANSSI: https://www.ssi.gouv.fr.

Het technische kanaal voor de meldings­cadans van 24 uur, 72 uur en 14 dagen is het ENISA Single Reporting Platform, dat op 11 september 2026 operationeel wordt. Een Franse fabrikant dient via dat platform in, met CERT-FR als ontvangende coördinator. De CSIRT-aanwijzing bepaalt de routering. Het platform verzorgt het transport.

Aangemelde instanties: ANSSI notificeert, COFRAC accrediteert

Voor Belangrijke Klasse I-producten waarvoor geen geharmoniseerde norm wordt toegepast, Belangrijke Klasse II-producten en Kritieke producten is conformiteitsbeoordeling door een aangemelde instantie vereist (Module B+C of Module H).

De Franse institutionele taakverdeling is:

• ANSSI treedt op als notificerende autoriteit die formeel Franse aangemelde instanties bij de Europese Commissie aanmeldt. ANSSI evalueert, controleert en notificeert de conformiteitsbeoordelingsinstanties.
• COFRAC (Comité français d'accréditation) is de Franse nationale accreditatie-instantie en beoordeelt de technische competentie van een kandidaat vóórdat ANSSI die notificeert.

Het kader voor aangemelde instanties onder de Cyberweerbaarheidsverordening geldt vanaf 11 juni 2026, met ANSSI's accreditatie- en notificatiefase van juni tot december 2026. Eind mei 2026 zijn er EU-breed nul aangemelde instanties aangewezen, en de formele Franse nationale aanwijzing is nog in afwachting in het Journal Officiel. De keten wordt nu opgebouwd.

Een Franse fabrikant mag elke EU-aangemelde instantie gebruiken, niet alleen Frans aangewezen instanties. De keuze voor een Frans aangewezen instantie (LNE, LCIE Bureau Veritas, SGS France en andere historisch geaccrediteerde instanties) is een inkoopvoorkeur, geen vereiste van de Cyberweerbaarheidsverordening. Definitieve aanwijzingen worden gepubliceerd in de NANDO-database van de Europese Commissie.

ANFR: de markttoezichtautoriteit voor de Cyberweerbaarheidsverordening

Het markttoezicht voor producten met digitale elementen op de Franse markt komt naar verwachting bij ANFR (Agence nationale des fréquences) te liggen, niet bij DGCCRF. ANSSI bevestigt deze institutionele richting op zijn officiële CRA-pagina op cyber.gouv.fr, en ANSSI biedt zelf technische ondersteuning aan ANFR binnen het markttoezichtkader. Controleer de definitieve aanwijzing in het Journal Officiel vóór formele indieningen.

Het Franse implementatiepad zou ANFR sanctiebevoegdheden geven tot 15 miljoen euro of 2,5% van de wereldwijde jaaromzet voor de ernstigste overtredingen van de Cyberweerbaarheidsverordening, binnen de EU-plafonds die de Verordening vaststelt.

DGCCRF behoudt haar algemene consumentenproductveiligheidsrol en zal non-conforme goederen aan de grens of in de detailhandel blijven signaleren, maar de verwachte CRA-markttoezichtrol voor digitale producten is die van ANFR. Plan richting ANFR, maar controleer de definitieve JO-tekst vóór formele indieningen.

Franse taalvereisten in de praktijk

De Cyberweerbaarheidsverordening vereist dat gebruikersgerichte productinformatie is gesteld in een taal die gebruikers en de lokale markttoezichtautoriteit goed kunnen begrijpen. Voor producten op de Franse markt is dat Frans. De Loi Toubon (Law 94-665) vereist Frans in alle consumenteninformatie onafhankelijk daarvan, zodat de Cyberweerbaarheidsverordening-verplichting aansluit bij een langbestaande nationale regel.

Verplicht in het Frans:

• De gebruikersinstructies en productinformatie die bij het product worden geleverd.
• De contactgegevens van de fabrikant (naam, adres, e-mail of ander digitaal contactpunt) waar die ook verschijnen, inclusief op het product zelf, de verpakking of het bijgevoegde document.
• De einddatumdisclosure voor ondersteuning die op het verkooppunt wordt getoond.

Kan meertalig zijn:

• Het productlabel en de CE-markering.
• Verpakkingsteksten.
• Online documentatie, mits een Franstalige versie bereikbaar is.

Engels is doorgaans aanvaardbaar voor:

• Interne technische documentatie. ANFR of de markttoezichtautoriteit van een andere lidstaat kan een Franstalige vertaling opvragen bij een gemotiveerd verzoek, dus plan voor die situatie ook als u niet proactief vertaalt.

De EU-conformiteitsverklaring moet beschikbaar worden gesteld in de talen die vereist zijn door de lidstaat waar het product in de handel wordt gebracht of op de markt wordt aangeboden. Voor Frankrijk moet u een Franstalige versie plannen in plaats van vertaling alleen als inspectierisico te behandelen.

Grensoverschrijdend verkopen vanuit Frankrijk

Franse fabrikanten die leveren aan België, Spanje, Duitsland, Italië of een andere EU-lidstaat houden dezelfde enkele routeringsregel: uw meldingen lopen nog steeds via CERT-FR, want de routering volgt de hoofdvestiging, niet de bestemming per levering. U dient niet bij het Belgische, Spaanse, Duitse of Italiaanse CSIRT in.

De taalverplichting vertakt wel per markt. Een product dat naar de Spaanse markt wordt geleverd, heeft Spaanstalige gebruikersgerichte inhoud nodig. Een product dat naar de Duitse markt gaat, heeft Duitstalige inhoud nodig. Het enkele Franstalige pakket dekt die markten niet.

De markttoezichtautoriteit van elke ontvangende lidstaat kan ook uw technische documentatie opvragen in een taal die die autoriteit goed begrijpt. Als uw levering breed over de EU loopt, verwacht dan verzoeken in ten minste één veelgebruikte werktaal en behandel vroeg vertaalde versies van de meest gevraagde technische documentatiesecties als een praktische buffer.

Nationale financieringsprogramma's

Anders dan het Spaanse Plan de Recuperación, dat in 2026 zijn NextGenEU-venster sluit, blijven de Franse nationale programma's voor cybersecurity-investeringen open en actief in 2026 en daarna.

• Bpifrance beheert het Diagnostic Cybersécurité (een gesubsidieerde cybersecurity-audit voor mkb-bedrijven) en het Cyber PME-programma. Cyber PME Fase B accepteerde aanvragen tot 26 november 2025 voor bedrijven waarvan de ingediende datum van het beveiligingsplan na 1 januari 2024 lag. Fase A en vervolgoproepen worden nog steeds uitgeschreven.
• France 2030 is het nationale investeringsplan met cybersecurity-specifieke oproepen die gezamenlijk worden uitgevoerd door de Secrétariat général pour l'investissement (SGPI), Bpifrance en ANSSI. Cybersecurity-productontwikkelingsoproepen worden medegefinancierd door het EU Digital Europe Programme, met recente oproepen van tot 2 miljoen euro gecombineerde steun. CRA-gedreven beveiligings-R&D past waar de invalshoek echte productontwikkelingsinnovatie is.
• France Num biedt regionale diagnostische vouchers via de kamers van koophandel en industrie. Handig voor een eerste Plan de Cybersécurité, maar niet voor de volledige CRA-toolinginvestering.
• Prêt Innovation en de Aide pour le développement de l'innovation zijn Bpifrance-lening- en subsidielijnen die SBOM-tooling, de opbouw van kwetsbaarheidsafhandelingscapaciteit en conformiteitsbeoordelingskosten kunnen ondersteunen, mits het cybersecurity-werk een echte innovatiecomponent heeft.

Subsidiabiliteitvensters en budgetplafonds wijzigen jaarlijks. Bevestig de actuele convocatie voordat u een budgetregel op deze programma's afstemt.

Dit artikel is uitsluitend bedoeld ter informatie en vormt geen juridisch advies. Raadpleeg voor specifieke CRA-compliancebegeleiding een gekwalificeerde juridisch adviseur.