CRA-conformiteitsroute: Module A of aangemelde instantie

Uw CRA-conformiteitsbeoordelingsroute bepaalt kosten, doorlooptijd en externe afhankelijkheden. Kies verkeerd en u verspilt maanden en duizenden euro's. Kies goed en u heeft een heldere weg naar CE-markering.

Deze gids helpt u de juiste conformiteitsbeoordelingsmodule te kiezen en begrijpen wat elke module inhoudt.

Bronnen: Artikel 13(13) CRA (bewaartermijn); NANDO-database, het EU-register voor aangemelde instanties (aanwijzingsstatus); cijfers vermeld in deze gids. Het cijfer "~90%" voor Default-producten is een schatting op basis van de smalheid van Bijlagen III/IV, geen door de CRA vastgestelde waarde.

Overzicht conformiteitsbeoordeling

Conformiteitsbeoordeling is de manier waarop u aantoont dat uw product voldoet aan de CRA-vereisten. De EU-conformiteitsverklaring die u ondertekent, verklaart dat uw product conform is, maar u moet bewijs hebben om die claim te onderbouwen.

De CRA biedt drie conformiteitsbeoordelingsmodules. De beslisboom hierboven koppelt elke productcategorie aan de toegestane routes. Module A is een zelfevaluatie door de fabrikant. Module B+C combineert een EU-typeonderzoek door een aangemelde instantie (B) met een productiefase die u zelf uitvoert (C). Module H is een enkele route waarbij een aangemelde instantie uw kwaliteitsmanagementsysteem goedkeurt en doorlopend toezicht houdt.

Wanneer mag u Module A zelfevaluatie gebruiken?

Zelfevaluatie. U beoordeelt uw eigen product aan de hand van de CRA-vereisten.

Wanneer Module A beschikbaar is

• Default-producten: Altijd beschikbaar
• Important Class I: Alleen als u de relevante geharmoniseerde normen volledig toepast

Wat "geharmoniseerde normen" betekent

Voor Important Class I zelfevaluatie moet u geharmoniseerde normen toepassen die:

• De essentiële vereisten van Bijlage I dekken
• Gepubliceerd zijn in het Publicatieblad van de EU
• Volledig worden toegepast (niet gedeeltelijk)

Als er geen geharmoniseerde norm bestaat voor uw producttype, moeten Important Class I-producten Module B+C of H gebruiken.

Geharmoniseerde normen voor de CRA zijn nog in ontwikkeling. Houd OJEU-publicaties bij.

Module A-proces

1. Ontwerpfase. Pas secure-by-design-principes toe, voer een risicobeoordeling uit aan de hand van Bijlage I, documenteer de beveiligingsarchitectuur en pas geharmoniseerde normen toe als uw product Important Class I is.
2. Documentatie. Stel het technisch dossier op grond van Bijlage VII op: productbeschrijving, resultaten risicobeoordeling, ontwerpdocumentatie, toegepaste normen, testresultaten en SBOM. Bereid de EU-conformiteitsverklaring voor.
3. Productiecontroles. Zorg dat de productie conformiteit handhaaft, documenteer kwaliteitscontroles en verifieer elke eenheid waar van toepassing.
4. Afronding. Onderteken de EU-conformiteitsverklaring, breng de CE-markering aan en bewaar de documentatie gedurende 10 jaar.

Documentatievereisten Module A

Uw technisch dossier op grond van Bijlage VII onder Module A moet deze zes gebieden omvatten.

Kosten Module A

Kostenelement	Gebruikelijk bereik	Opmerkingen
Risicobeoordeling	EUR 5.000-15.000	Intern of consultant
Technische documentatie	EUR 5.000-20.000	Afhankelijk van complexiteit
Tests	EUR 2.000-10.000	Intern of laboratorium
SBOM-tooling	EUR 0-5.000	Gereedschap bestaat mogelijk al
Interne personeelstijd	Variabel	Vaak de grootste kostenpost

Gebruikelijk totaalbereik: EUR 15.000-50.000 (interne kosten)

Doorlooptijd Module A

Fase	Duur
Risicobeoordeling	2-4 weken
Documentatie	4-8 weken
Tests	2-4 weken
Beoordeling en afronding	1-2 weken

Gebruikelijke totale doorlooptijd: 2-4 maanden

Wanneer vereist de CRA een aangemelde instantie?

Beoordeling door derde partij. Een aangemelde instantie onderzoekt uw productontwerp.

Wanneer een aangemelde instantie vereist is

• Important Class II: Module B+C, H of een Artikel 27(9)-regeling op "substantieel" zekerheidsniveau (Artikel 32(3)).
• Critical-producten (Bijlage IV): Hetzij een Europese cyberbeveiligingscertificeringsregeling onder Artikel 8(1) zodra een gedelegeerde handeling van de Commissie van toepassing is (bijv. EUCC op "substantieel" zekerheidsniveau), hetzij, bij afwezigheid van een dergelijke gedelegeerde handeling, de procedures van Artikel 32(3) (B+C, H of Artikel 27(9)-regeling). EUCC is geen aanvulling op B+C of H, maar een parallelle route.
• Important Class I: Module B+C of H als geharmoniseerde normen, gemeenschappelijke specificaties of Artikel 27-regelingen niet of slechts gedeeltelijk worden toegepast (Artikel 32(2)).

Module B: EU-typeonderzoek

Een aangemelde instantie onderzoekt een representatief monster (type) van uw product en geeft een certificaat af.

1. Aanvraag. Selecteer een aangemelde instantie en dien uw aanvraag in met productmonsters, technische documentatie en het aanvraagformulier. Betaal de initiële kosten.
2. Onderzoek. De aangemelde instantie beoordeelt de documentatie, test het productmonster, verifieert naleving van Bijlage I en kan aanvullende informatie of tests opvragen.
3. Beslissing. Bij conformiteit geeft de aangemelde instantie het EU-typeonderzoekscertificaat af. Bij tekortkomingen voert u herstelwerkzaamheden uit en dient u opnieuw in.
4. Certificaat. Geldig voor het beoordeelde type, met eventuele voorwaarden vermeld op het certificaat. Wijzigingen die de conformiteit kunnen aantasten vereisen een aanvulling op het oorspronkelijke certificaat (Bijlage VIII Deel II, punten 6-7). De CRA schrijft geen vaste herbeoordelingsinterval voor.

Module C: conformiteit met het type

Na Module B zorgt u dat de productie conform het gecertificeerde type is.

1. Productiecontroles. Zorg dat elke eenheid conform het gecertificeerde type is, documenteer productieprocessen en handhaaf kwaliteitscontroles.
2. Verklaring. Verwijs naar het EU-typeonderzoekscertificaat, onderteken de EU-conformiteitsverklaring en breng de CE-markering aan.
3. Doorlopend. Handhaaf conformiteit met het gecertificeerde type, meld aan de aangemelde instantie wijzigingen die het type beïnvloeden en hercertificeer bij substantiële wijzigingen.

Selectie van aangemelde instantie

Overwegingen bij het kiezen van een aangemelde instantie:

Factor	Overweging
Toepassingsgebied	Is de instantie aangewezen voor de CRA en uw producttype?
Capaciteit	Hebben zij beschikbaarheid? (Vroeg CRA = beperkte capaciteit)
Locatie	Gemakkelijkere logistiek bij nabijheid
Ervaring	Bekendheid met uw producttype
Kosten	Tarieven lopen sterk uiteen
Doorlooptijd	Hoe snel kunnen zij een onderzoek inplannen?

Aangemelde instanties vinden: Raadpleeg de NANDO-database (het officiële EU-register voor aangemelde instanties) zodra CRA-aanwijzingen zijn gepubliceerd.

Kosten Module B+C

Kostenelement	Gebruikelijk bereik	Opmerkingen
Aanvraagkosten instantie	EUR 2.000-5.000	Niet restitueerbaar
Onderzoekskosten instantie	EUR 15.000-50.000	Afhankelijk van complexiteit
Voorbereiding monster	EUR 1.000-5.000	Productmonsters voor tests
Technische documentatie	EUR 10.000-30.000	Moet voldoen aan vereisten instantie
Reiskosten/logistiek	EUR 1.000-5.000	Bij vereiste bezoeken ter plaatse
Herstelkosten (indien nodig)	Variabel	Hertests, documentatiecorrecties

Gebruikelijk totaalbereik: EUR 30.000-100.000+

Doorlooptijd Module B+C

Fase	Duur
Selectie instantie en aanvraag	2-4 weken
Voorbereiding documentatie	4-8 weken
Wachttijd instantie	4-16 weken (sterk variabel)
Onderzoek	4-8 weken
Afgifte certificaat	2-4 weken

Gebruikelijke totale doorlooptijd: 4-10 maanden

Module H: volledige kwaliteitsborging

Kwaliteitsmanagementsysteembenadering. Een aangemelde instantie keurt uw kwaliteitsmanagementsysteem (KMS) goed voor ontwerp, productie en tests.

Wanneer Module H zinvol is

Module H biedt voordelen wanneer:

• U meerdere producten heeft die beoordeling door derden vereisen
• U al een volwassen KMS heeft (ISO 9001, ISO 27001)
• U een doorlopende relatie met een aangemelde instantie wil in plaats van productonderzoek per stuk
• U regelmatig productupdates uitbrengt

Module H-proces

1. KMS opzetten. Ontwerp een kwaliteitssysteem voor uw ontwerpproces, productiecontroles, testprocedures en documentatiebeheer, afgestemd op de CRA-vereisten.
2. Beoordeling door aangemelde instantie. Dien KMS-documentatie in, ontvang de aangemelde instantie voor de audit, verifieer CRA-afstemming en ontvang het KMS-goedkeuringscertificaat.
3. Productontwerp (per product). Volg het goedgekeurde KMS voor ontwerp, voer een ontwerpevaluatie uit, documenteer conformiteit en sta audits van het ontwerpproces door de aangemelde instantie toe.
4. Productie. Volg het goedgekeurde KMS voor productie, documenteer conformiteit en accepteer surveillance-audits door de aangemelde instantie.
5. Verklaring (per product). Onderteken de EU-conformiteitsverklaring, verwijs naar het KMS-certificaat en breng de CE-markering aan.
6. Doorlopend. Het kwaliteitsbeheersysteem onderhouden en zich onderwerpen aan periodieke toezichtsaudits door de aangemelde instantie (Bijlage VIII Deel IV, punten 4.1-4.3). De CRA schrijft geen toezichtsfrequentie of hercertificeringscyclus voor; de cadans wordt vastgesteld in het auditplan.

KMS-vereisten Module H

Uw kwaliteitsmanagementsysteem moet vier gebieden parallel omvatten. Tekortkomingen in een van de gebieden blokkeren certificering.

Kosten Module H

Kostenelement	Gebruikelijk bereik	Opmerkingen
Ontwikkeling/verbetering KMS	EUR 20.000-50.000	Als u van nul begint
Initieel audit aangemelde instantie	EUR 15.000-30.000	KMS-certificering
Jaarlijks toezicht	EUR 5.000-15.000	Doorlopend
Ontwerpevaluatie per product	EUR 5.000-15.000	Varieert per complexiteit

Initieel opzet: EUR 40.000-100.000 Jaarlijks doorlopend: EUR 10.000-30.000

Module H versus B+C: keuze

Factor	Module B+C	Module H
Aantal producten	1-3 producten	4+ producten
Bestaand KMS	Geen volwassen KMS	Volwassen KMS aanwezig
Updatefrequentie	Weinig updates	Frequente releases
Organisatieomvang	Klein/middel	Middel/groot
Initiële kosten	Lager	Hoger
Kosten per product	Hoger	Lager
Doorlopende kosten	Lager	Hoger (toezicht)

Vuistregel: Module H wordt kosteneffectief bij 4 of meer producten, of wanneer u regelmatig heronderzoek nodig zou hebben.

Beslissingskader

Stap 1: bepaal de productclassificatie

Gebruik de productclassificatiegids om te bepalen: Default, Important Class I, Important Class II of Critical.

Stap 2: identificeer beschikbare opties

De beslisboom bovenaan deze gids toont de volledige mapping. De tabel hieronder geeft dezelfde routes in tekstvorm.

Stap 3: overweeg bedrijfsfactoren

Stap 3 helpt u uitsluitend kiezen uit de modules die Stap 2 beschikbaar liet. CRA Bijlage VIII maakt Module A juridisch onbereikbaar voor Important Class I zonder geharmoniseerde normen, voor Important Class II en voor Critical-producten. De twee tabellen hieronder splitsen op die grens, zodat elke rij een bereikbaar antwoord heeft voor uw situatie.

Wanneer Modules A, B+C en H allemaal beschikbaar zijn

Van toepassing op Default-producten en op Important Class I met volledig toegepaste geharmoniseerde normen.

Wanneer alleen Modules B+C en H beschikbaar zijn

Van toepassing op Important Class I zonder geharmoniseerde normen, Important Class II en Critical-producten. Module A is voor deze categorieën geen juridische optie, ongeacht budget- of tijdsdruk.

Deze tweede tak spiegelt de "Module H versus B+C"-tabel eerder in deze gids. Waar de twee overlappen, behandelt u ze als dezelfde beslissing vanuit twee invalshoeken: de eerdere tabel is kostengewogen, deze is operationeel-passend-gewogen.

Stap 4: bereken de kosten

Scenario: 5 Important Class II-producten, geen bestaand KMS, horizon van 5 jaar met 2 updates per product.

EU-conformiteitsverklaring

Ongeacht welke module u kiest, moet u een EU-conformiteitsverklaring afgeven.

Verplichte inhoud EU-conformiteitsverklaring

De EU-conformiteitsverklaring voor de Cyberweerbaarheidsverordening is Verordening (EU) 2024/2847. Elke verklaring moet de volgende acht velden bevatten, gevolgd door het handtekeningenblok.

1. Productidentificatie. Productnaam, type, partij en serienummer(s), in detail voldoende voor traceerbaarheid.
2. Naam en adres van de fabrikant. De juridische entiteit die verantwoordelijk is voor de verklaring. Gegevens van de gemachtigde vertegenwoordiger, indien van toepassing.
3. Verantwoordelijkheidsverklaring. "Deze conformiteitsverklaring wordt afgegeven onder de uitsluitende verantwoordelijkheid van de fabrikant."
4. Onderwerp van de verklaring. Productbeschrijving voldoende voor traceerbaarheid, inclusief foto of tekening als het product fysiek is.
5. Toepasselijke EU-wetgeving. Vermeld elke verordening waaraan het product voldoet, te beginnen met Verordening (EU) 2024/2847 (Cyberweerbaarheidsverordening) en voeg eventuele andere horizontale wetgeving toe (RED, EMC, Machines e.a.) die van toepassing is.
6. Toegepaste geharmoniseerde normen of specificaties. Vermeld elke norm met versienummer. Als geen geharmoniseerde norm een deel van Bijlage I dekt, verwijs dan naar de gebruikte specificatie of gemeenschappelijke specificatie.
7. Blok aangemelde instantie (Module B+C of H). Naam aangemelde instantie, viercijferig identificatienummer, certificaatreferentie, uitgevoerde module en afgegeven certificaatnummer. Laat dit veld volledig weg bij Module A.
8. Aanvullende informatie. Einddatum ondersteuningsperiode, contactpunt voor kwetsbaarheidsmeldingen en overige informatie die de CRA of de toepasselijke wetgeving vereist.

CE-markering

Na de conformiteitsbeoordeling brengt u de CE-markering aan. De visuele vorm van het merkteken is vastgesteld. Wat verandert is of een viercijferig aangemelde-instantienummer erbij hoort.

Vereisten CE-markering

Plaatsing CE-markering

Veelgemaakte fouten

Elk van de vijf fouten hieronder heeft dezelfde anatomie: een verleidelijke kortere weg, een ernstig gevolg en een specifieke preventieve maatregel.

Checklist conformiteitsbeoordeling

Werk de kaart Voorbeoordeling als eerste af. Voltooi vervolgens alleen de kaarten voor de module die uw product gebruikt. Elk product eindigt op de kaart Afronding.