De Verordening cyberweerbaarheid (Verordening (EU) 2024/2847) verplicht fabrikanten om de einddatum van de ondersteuningsperiode te vermelden in de bij het product meegeleverde informatie, vóór aankoop. Het is het gebruikersgerichte spiegelbeeld van de ondersteuningsplanning en van de informatieplicht op het verkooppunt. Voor de duurmechanismen zie CRA-ondersteuningsperiode: de basis; voor de levering van patches zie CRA-beveiligingsupdates.
Samenvatting
- Vereiste vóór aankoop. De bekendmaking van de einddatum moet de gebruiker bereiken voordat de aankoop is afgerond, niet daarna.
- Duidelijk en gemakkelijk toegankelijk op het moment van aankoop. De einddatum moet zichtbaar zijn waar van toepassing op het product of de verpakking, digitaal zoals op de productpagina, en ook in de bij het product meegeleverde instructies; de gebruiker moet deze kennen voordat hij zich committeert. Bovendien moet de fabrikant, waar technisch haalbaar, een melding tonen aan gebruikers zodra het product het einde van zijn ondersteuningsperiode heeft bereikt.
- Weerspiegelt de werkelijke einddatum. Gebruikt de fabrikant een kortere verwachte gebruiksperiode, dan moet de gebruikersgerichte bekendmaking de werkelijke kortere einddatum vermelden, niet een afgeronde plaatshouder van vijf jaar.
- Verbonden aan de bewaartermijn van het technisch dossier. Het technisch dossier, inclusief de gebruikersinformatieset, moet ten minste 10 jaar vanaf de marktplaatsing worden bewaard, of voor de duur van de ondersteuningsperiode indien die langer is.
- Boeteblootstelling staat apart. Niet-bekendmaking kan handhavingsrisico opleveren, maar de boetecategorieën horen in de gids voor sancties en handhaving, niet in deze checklist.
De vier ankerpunten van de bekendmaking einde ondersteuning: moment, kanaal, bewaartermijn en boetemodel.
Wat gebruikers vóór aankoop moeten zien
De vereiste gebruikersinformatie heeft twee praktische delen: het type aangeboden technische beveiligingsondersteuning en de einddatum van de ondersteuningsperiode. Voor de einddatum moeten de productpagina, verpakking, datasheet, downloadpagina of gelijkwaardig pre-aankoopmateriaal vier dingen duidelijk maken:
- De einddatum staat in de productdocumentatie die bij of vóór het verkooppunt of de download wordt verstrekt.
- Zij verschijnt voordat de gebruiker de aankoop afrondt, niet in een welkomstmail na aankoop of in de algemene voorwaarden.
- Gebruikt de fabrikant een kortere verwachte gebruiksperiode, dan weerspiegelt de gebruikersgerichte bekendmaking de werkelijke kortere einddatum, niet een afgeronde schatting van vijf jaar.
- Dezelfde einddatum wordt vastgelegd in het technisch dossier en bewaard bij het behouden conformiteitsbewijs.
Praktische implicatie: de einddatum van de ondersteuningsperiode is een productspecificatie, geen marketingtoezegging. Zij wordt vastgelegd in het technisch dossier, vóór aankoop aan gebruikers getoond en bijgewerkt zodra een productversie wordt vernieuwd of de inschatting van de verwachte gebruiksduur wijzigt.
Waar de bekendmaking per kanaal moet verschijnen
Aan de plicht is pas voldaan wanneer de einddatum de gebruiker bereikt voordat er geld van eigenaar wisselt. Waar de bekendmaking moet verschijnen hangt af van het kanaal; de onderstaande tabel koppelt elk kanaal aan de plaatsing die de plicht vervult en de plaatsing die dat niet doet.
| Kanaal | Bekendmaking moet verschijnen | Niet voldoende |
|---|---|---|
| Fysieke detailhandel | Op de verpakking of in documentatie vóór opening van de verpakking | Label dat pas leesbaar is na het uitpakken |
| E-commerce | Productdetailpagina, levenscyclus-/specificatietab of duidelijk aangeduide pre-aankooplink voordat de koper zich bindt | Orderbevestiging, e-mail na aankoop of plaatsing alleen in checkout nadat de koper zich heeft gebonden |
| SDK / ontwikkelaar | Openbare API- of componentdocumentatiepagina, geraadpleegd vóór integratie | README in het gedownloade pakket |
| B2B-aanbesteding | Specificatieblad, datasheet of antwoord op aanvraag, beoordeeld vóór ondertekening | Onboardingdocument na contractsluiting |
| Downloadbare software | Downloadpagina, of de pre-installatiesamenvatting van het installatieprogramma | Scherm in de app dat pas zichtbaar is na de eerste start |
Plaatsing per kanaal. Het principe is in alle vijf gevallen hetzelfde: de einddatum maakt deel uit van de aankoopbeslissing en moet beschikbaar zijn op het moment dat de koper die neemt.
Uitgewerkt voorbeeld: bekendmaking per versie op een tijdlijn
Een fabrikant plaatst product v1.0 in januari 2028 op de EU-markt met een ondersteuningsverbintenis van vijf jaar, en vernieuwt vervolgens naar v1.1 in juli 2028 met een eigen verbintenis van vijf jaar. De bekendmaking is gekoppeld aan de versie, niet aan de aankoopdatum van de koper.
Verband met het technisch dossier en de EU-conformiteitsverklaring
Een bekendmaking die accuraat is op de productpagina maar ontbreekt in het technisch dossier, of aanwezig is in het technisch dossier maar niet zichtbaar voor de koper, voldoet niet aan de verplichting. Drie elementen moeten tegelijk kloppen:
| Onderdeel | Wat moet kloppen |
|---|---|
| Technisch dossier | Het bewaarde technisch dossier moet dezelfde gebruikersgerichte einddatum van ondersteuning bevatten als de productpagina, verpakking, datasheet of downloadpagina. Zie CRA-technische documentatie. |
| EU-conformiteitsverklaring | De conformiteitsverklaring bevestigt naleving van de fabrikantvereisten, maar vervangt de pre-aankoopbekendmaking van de einddatum niet. Zie CRA-conformiteitsverklaring. |
| Beveiligingsupdates | Tot de bekendgemaakte einddatum heeft de fabrikant nog steeds het proces voor kwetsbaarheidsafhandeling en updatelevering nodig dat wordt behandeld in CRA-beveiligingsupdates. Voor boetecategorieën gebruikt u de gids voor sancties en handhaving. |
Veelgestelde vragen
Wat moet er in de gebruikersgerichte productinformatie staan over de ondersteuningsperiode?
Het type aangeboden technische beveiligingsondersteuning en de einddatum van de ondersteuningsperiode, vermeld in de informatie die op of vóór het verkooppunt aan gebruikers wordt verstrekt. De einddatum moet specifiek zijn (bijvoorbeeld "Beveiligingsupdates tot 11 december 2032") en moet de werkelijke verbintenis weerspiegelen, inclusief een eventuele uitzondering voor een kortere levensduur. Post-aankoop e-mails of algemene voorwaarden voldoen niet. Wordt het product bijgewerkt naar een nieuwe versie die de ondersteuningsklok reset, dan moet de gebruikersgerichte bekendmaking worden bijgewerkt om de nieuwe einddatum te tonen.
Volstaat "ten minste vijf jaar vanaf aankoop", of moet de bekendmaking een specifieke datum bevatten?
Nee, een specifieke einddatum is vereist. Een relatieve formulering zoals "beveiligingsupdates voor ten minste vijf jaar vanaf aankoop" is geen einddatum en voldoet niet aan de plicht. Het precisieniveau mag maand en jaar zijn ("december 2032") in plaats van een volledige kalenderdag, maar een vaste referentiedatum is vereist zodat de koper de resterende ondersteuningsperiode kan berekenen voordat hij betaalt. De einddatum is bovendien wat wordt vastgelegd in het technisch dossier, waardoor een relatieve formulering nergens een plek heeft in de documentatieketen.
Waar op een e-commerce productpagina moet de einddatum verschijnen?
Op de productdetailpagina zelf, of bereikbaar via een duidelijk aangeduide koppeling daarvanaf (bijvoorbeeld een tabblad "Specificaties", "Levenscyclus" of "Ondersteuning"). Plaatsing uitsluitend in de algemene voorwaarden, uitsluitend in een veelgestelde-vragen-sectie of uitsluitend op de bevestigingspagina na afrekenen voldoet niet aan de plicht vóór aankoop. Het principe is dat een redelijke koper die het product beoordeelt voordat hij op "kopen" klikt, de einddatum van de ondersteuningsperiode moet kunnen zien zonder al tot de aankoop te hebben besloten.
Als ik de ondersteuningsperiode na de lancering verleng, moet ik dan de bekendmaking bijwerken?
Ja. De gebruikersinformatie maakt deel uit van de technische documentatie en moet de werkelijke verbintenis weerspiegelen. Verlengt de fabrikant de ondersteuningsperiode, dan moeten zowel de gebruikersgerichte bekendmaking (productpagina, verpakking, datasheet, samenvatting van het installatieprogramma) als het bewaarde technisch dossier worden bijgewerkt om de nieuwe einddatum te tonen. De oorspronkelijke einddatum blijft bewaard in het dossier als bewijs van de bekendmaking die van toepassing was op eerdere verkopen, zodat het auditspoor intact blijft voor reeds op de markt gebrachte eenheden.