Uw CRA-conformiteitsbeoordelingsroute bepaalt kosten, doorlooptijd en externe afhankelijkheden. Kies verkeerd en u verspilt maanden en duizenden euro's. Kies goed en u heeft een helder pad naar de CE-markering.
Deze gids helpt u de juiste conformiteitsbeoordelingsmodule te kiezen en begrijpen wat elke route inhoudt.
Samenvatting
- Module A (zelfevaluatie): beschikbaar voor Default-producten en voor Important Class I alleen wanneer de relevante geharmoniseerde normen, gemeenschappelijke specificaties of Europese cyberbeveiligingscertificeringsregelingen volledig worden toegepast
- Module B+C (derde partij): verplicht voor Important Class II, optioneel voor andere categorieën
- Module H (volledige kwaliteitsborging): alternatief voor B+C bij organisaties met meerdere producten
- De productclassificatie bepaalt welke opties beschikbaar zijn
- Kostenverschil: Module A (circa EUR 5.000-20.000 intern), B+C (circa EUR 30.000-100.000+), H (circa EUR 50.000+ opzet plus doorlopend)
Bronnen: CRA Artikel 13(13) (bewaartermijn); de NANDO-database, het EU-register voor aangemelde instanties (aanwijzingsstatus); cijfers vermeld in deze gids. Het cijfer "~90%" voor Default-producten is een schatting op basis van de smalheid van Bijlage III/Bijlage IV, geen door de CRA vastgestelde waarde.
Overzicht conformiteitsbeoordeling
Conformiteitsbeoordeling is de manier waarop u aantoont dat uw product voldoet aan de CRA-vereisten. De EU-conformiteitsverklaring die u ondertekent, verklaart dat uw product conform is, maar u moet bewijs hebben om die verklaring te onderbouwen.
De CRA biedt drie conformiteitsbeoordelingsmodules. De beslisboom hierboven koppelt elke productcategorie aan de toegestane routes. Module A is een zelfevaluatie door de fabrikant. Module B+C combineert een EU-typeonderzoek door een aangemelde instantie (B) met een productiefase die u zelf uitvoert (C). Module H is een enkele route waarbij een aangemelde instantie uw kwaliteitsmanagementsysteem goedkeurt en doorlopend toezicht houdt.
Wanneer mag u Module A zelfevaluatie gebruiken?
Zelfevaluatie. U beoordeelt uw eigen product aan de hand van de CRA-vereisten.
Wanneer Module A beschikbaar is
- Default-producten: altijd beschikbaar
- Important Class I: alleen als de relevante geharmoniseerde normen, gemeenschappelijke specificaties of Europese cyberbeveiligingscertificeringsregelingen op ten minste betrouwbaarheidsniveau substantieel volledig worden toegepast
Wat volledige dekking betekent
Voor zelfevaluatie van Important Class I blijft Module A alleen beschikbaar wanneer de relevante geharmoniseerde normen, gemeenschappelijke specificaties of Europese cyberbeveiligingscertificeringsregelingen:
- De essentiële vereisten van Bijlage I dekken
- Beschikbaar zijn voor het product en de route
- Volledig worden toegepast, niet gedeeltelijk
Als die dekking ontbreekt of slechts gedeeltelijk wordt toegepast, gebruik dan Module B+C of Module H voor de betrokken vereisten.
Geharmoniseerde normen voor de CRA zijn nog in ontwikkeling. Houd OJEU-publicaties bij.
Module A-proces
| Fase | Wat te doen | Waarom CRA-teams dit belangrijk vinden | Anker |
|---|---|---|---|
| Ontwerpfase | Pas security-by-design toe, voer de risicobeoordeling uit, documenteer de beveiligingsarchitectuur en pas relevante geharmoniseerde normen toe. | Hier ontstaat de bewijsbasis, in plaats van die aan het einde te reconstrueren. | Eisen uit Bijlage I. |
| Documentatie | Maak het technische dossier met productbeschrijving, risicobeoordeling, ontwerpdocumentatie, toegepaste normen, testresultaten en SBOM. Bereid de EU-conformiteitsverklaring voor. | Module A vereist nog steeds bewijs. Zelfevaluatie betekent niet: geen dossier. | Bijlage VII-dossier. |
| Productiecontroles | Zorg dat productie conform blijft, documenteer kwaliteitscontroles en verifieer eenheden waar nodig. | De ondertekende verklaring moet waar blijven voor de productreeks die u op de markt brengt. | Serieproductie. |
| Afronding | Onderteken de EU-conformiteitsverklaring, breng de CE-markering aan en bewaar de documentatie ten minste 10 jaar, of de ondersteuningsperiode indien die langer is. | Dit is de overgang van bewijsopbouw naar marktplaatsing. | DoC, CE, bewaring. |
Documentatievereisten Module A
Uw technisch dossier op grond van Bijlage VII onder Module A moet de volgende zes gebieden omvatten.
| Gebied | Wat het dossier moet bevatten | Waarom CRA-teams dit belangrijk vinden | Anker |
|---|---|---|---|
| Algemene beschrijving | Productidentificatie, beoogd doel, gedekte versies en verstrekte gebruikersinstructies. | Autoriteiten moeten precies kunnen zien welk product en welke release het bewijs dekt. | Productscope. |
| Risicobeoordeling | Geïdentificeerde cyberbeveiligingsrisico's, overwogen dreigingen en aanvalsscenario's, en risicobehandelingsbesluiten. | Dit is de logica die het dreigingsmodel met de controles verbindt. | Risicobewijs. |
| Ontwerpdocumentatie | Systeemarchitectuur, geïmplementeerde beveiligingsmaatregelen en hoe aan elke eis wordt voldaan. | Het dossier moet tonen hoe het productontwerp aan de cyberbeveiligingseisen voldoet. | Bijlage I-mapping. |
| Normen en tests | Toegepaste normen, specificaties of regelingen met versiegegevens, testplannen en resultaten, en bewijs van volledige toepassing voor Belangrijke Klasse I. | Gedeeltelijke dekking kan de beschikbare conformiteitsroute veranderen. | Routebewijs. |
| SBOM | Opgenomen componenten en kwetsbaarheden die bekend zijn op het moment van beoordeling. | De SBOM verbindt componentinventaris en kwetsbaarhedenbeheer. | Componentinventaris. |
| Productie | Hoe productie conformiteit behoudt en welke kwaliteitscontroles gelden. | Conformiteit moet verder gaan dan het beoordeelde prototype. | Seriecontroles. |
Ze zijn gebaseerd op analoge CE-markeringsregelingen (Radio Equipment Directive, Medical Device Regulation) en vroege CRA-adviesprijzen. Het betreft geen CRA-specifiek marktonderzoek. Geen enkele aangemelde instantie heeft een CRA-tariefkaart gepubliceerd: NANDO toont nul CRA-aanwijzingen per juni 2026. Gebruik de bedragen voor planning. Bevestig ze aan de hand van werkelijke offertes zodra aanwijzingen plaatsvinden.
Kosten Module A
| Kostenpost | Gebruikelijk bereik | Opmerkingen |
|---|---|---|
| Risicobeoordeling | EUR 5.000-15.000 | Intern of consultant |
| Technische documentatie | EUR 5.000-20.000 | Afhankelijk van complexiteit |
| Tests | EUR 2.000-10.000 | Intern of laboratorium |
| SBOM-tooling | EUR 0-5.000 | Hulpmiddelen bestaan mogelijk al |
| Interne personeelstijd | Variabel | Vaak de grootste kostenpost |
Gebruikelijk totaalbereik: EUR 15.000-50.000 (interne kosten)
Doorlooptijd Module A
| Fase | Duur |
|---|---|
| Risicobeoordeling | 2-4 weken |
| Documentatie | 4-8 weken |
| Tests | 2-4 weken |
| Beoordeling en afronding | 1-2 weken |
Gebruikelijke totale doorlooptijd: 2-4 maanden
Wanneer vereist de CRA een aangemelde instantie?
Beoordeling door een derde partij. Een aangemelde instantie onderzoekt uw productontwerp.
Wanneer een aangemelde instantie verplicht is
- Important Class II: gebruik Module B+C, Module H of een goedgekeurde Europese cyberbeveiligingscertificeringsregeling op "substantieel" zekerheidsniveau.
- Critical-producten: gebruik de Europese certificeringsroute zodra de Commissie die voor deze productcategorie activeert. Tot die tijd gebruikt u dezelfde routes via derden als terugval: Module B+C, Module H of een goedgekeurde regeling.
- Important Class I: gebruik Module B+C of Module H alleen wanneer de relevante geharmoniseerde normen, gemeenschappelijke specificaties of certificeringsregelingen ontbreken of niet volledig worden toegepast.
Module B: EU-typeonderzoek
Een aangemelde instantie onderzoekt een representatief monster (type) van uw product en geeft een certificaat af.
| Onderdeel | Details |
|---|---|
| Aanvraag | Selecteer een aangemelde instantie en dien uw aanvraag in met productmonsters, technische documentatie en het aanvraagformulier. Betaal de initiële kosten. |
| Onderzoek | De aangemelde instantie beoordeelt de documentatie, test het productmonster, verifieert naleving van de essentiële cyberbeveiligingsvereisten en kan aanvullende informatie of tests opvragen. |
| Beslissing | Bij conformiteit geeft de aangemelde instantie het EU-typeonderzoekscertificaat af. Bij tekortkomingen voert u herstelwerkzaamheden uit en dient u opnieuw in. |
| Certificaat | Geldig voor het beoordeelde type, met eventuele voorwaarden vermeld op het certificaat. Wijzigingen die de conformiteit kunnen aantasten, vereisen opvolging van het certificaat met de aangemelde instantie. De CRA schrijft geen vast herbeoordelingsinterval voor. |
Module C: conformiteit met het type
Na Module B zorgt u dat de productie conform het gecertificeerde type is.
| Onderdeel | Details |
|---|---|
| Productiecontroles | Zorg dat elke eenheid conform het gecertificeerde type is, documenteer productieprocessen en handhaaf kwaliteitscontroles. |
| Verklaring | Verwijs naar het EU-typeonderzoekscertificaat, onderteken de EU-conformiteitsverklaring en breng de CE-markering aan. |
| Doorlopend | Handhaaf conformiteit met het gecertificeerde type, meld aan de aangemelde instantie wijzigingen die het type beïnvloeden en hercertificeer bij substantiële wijzigingen. |
Selectie van de aangemelde instantie
Overwegingen bij het kiezen van een aangemelde instantie:
| Factor | Overweging |
|---|---|
| Toepassingsgebied | Is de instantie aangewezen voor de CRA en uw producttype? |
| Capaciteit | Hebben zij beschikbaarheid? (Vroeg CRA = beperkte capaciteit) |
| Locatie | Eenvoudiger logistiek bij nabijheid |
| Ervaring | Bekendheid met uw producttype |
| Kosten | Tarieven lopen sterk uiteen |
| Doorlooptijd | Hoe snel kunnen zij een onderzoek inplannen? |
Aangemelde instanties vinden: raadpleeg de NANDO-database (het officiële EU-register voor aangemelde instanties) zodra de CRA-aanwijzingen zijn gepubliceerd.
Tarieven van aangemelde instanties bedragen doorgaans EUR 30.000 tot EUR 100.000 of meer, en wachttijden kunnen oplopen tot 4 à 16 weken. Houd hier rekening mee bij planning en begroting.
Kosten Module B+C
| Kostenpost | Gebruikelijk bereik | Opmerkingen |
|---|---|---|
| Aanvraagkosten instantie | EUR 2.000-5.000 | Niet restitueerbaar |
| Onderzoekskosten instantie | EUR 15.000-50.000 | Afhankelijk van complexiteit |
| Voorbereiding monster | EUR 1.000-5.000 | Productmonsters voor tests |
| Technische documentatie | EUR 10.000-30.000 | Moet voldoen aan vereisten instantie |
| Reis/logistiek | EUR 1.000-5.000 | Indien bezoeken ter plaatse vereist |
| Herstelkosten (indien nodig) | Variabel | Hertests, documentatiecorrecties |
Gebruikelijk totaalbereik: EUR 30.000-100.000+
Doorlooptijd Module B+C
| Fase | Duur |
|---|---|
| Selectie instantie en aanvraag | 2-4 weken |
| Voorbereiding documentatie | 4-8 weken |
| Wachttijd instantie | 4-16 weken (sterk wisselend) |
| Onderzoek | 4-8 weken |
| Afgifte certificaat | 2-4 weken |
Gebruikelijke totale doorlooptijd: 4-10 maanden
Module H: volledige kwaliteitsborging
Kwaliteitsmanagementsysteembenadering. De aangemelde instantie keurt uw kwaliteitsmanagementsysteem (KMS) goed voor ontwerp, productie en tests.
Wanneer Module H zinvol is
Module H biedt voordelen wanneer:
- U meerdere producten heeft die beoordeling door derden vereisen
- U al een volwassen KMS heeft (ISO 9001, ISO 27001)
- U een doorlopende relatie met een aangemelde instantie wenst in plaats van productonderzoek per stuk
- U regelmatig productupdates uitbrengt
Module H-proces
| Onderdeel | Details |
|---|---|
| Opzet KMS | Ontwerp een kwaliteitssysteem voor uw ontwerpproces, productiecontroles, testprocedures en documentatiebeheer, afgestemd op de CRA-vereisten. |
| Beoordeling door de aangemelde instantie | Dien KMS-documentatie in, ontvang de aangemelde instantie voor de audit, verifieer afstemming met de CRA en ontvang het KMS-goedkeuringscertificaat. |
| Productontwerp (per product) | Volg het goedgekeurde KMS voor het ontwerp, voer een ontwerponderzoek uit, documenteer conformiteit en sta audits van het ontwerpproces door de aangemelde instantie toe. |
| Productie | Volg het goedgekeurde KMS voor de productie, documenteer conformiteit en accepteer toezichtsaudits door de aangemelde instantie. |
| Verklaring (per product) | Onderteken de EU-conformiteitsverklaring, verwijs naar het KMS-certificaat en breng de CE-markering aan. |
| Doorlopend | Houd het KMS in stand en accepteer periodieke toezichtsaudits door de aangemelde instantie. De CRA schrijft geen toezichtsfrequentie of hercertificeringscyclus voor; de cadans wordt vastgelegd in het auditplan. |
KMS-vereisten Module H
Uw kwaliteitsmanagementsysteem moet vier gebieden parallel omvatten. Tekortkomingen in een van de gebieden blokkeren certificering.
| Onderdeel | Details |
|---|---|
| Ontwerpkwaliteit |
|
| Productiekwaliteit |
|
| Documentatiekwaliteit |
|
| Integratie cyberbeveiliging |
|
Kosten Module H
| Kostenpost | Gebruikelijk bereik | Opmerkingen |
|---|---|---|
| Ontwikkeling/upgrade KMS | EUR 20.000-50.000 | Indien u van nul begint |
| Initiële audit instantie | EUR 15.000-30.000 | KMS-certificering |
| Jaarlijks toezicht | EUR 5.000-15.000 | Doorlopend |
| Ontwerponderzoek per product | EUR 5.000-15.000 | Varieert per complexiteit |
Initiële opzet: EUR 40.000-100.000 Jaarlijks doorlopend: EUR 10.000-30.000
Module H versus B+C: keuze
| Factor | Module B+C | Module H |
|---|---|---|
| Aantal producten | 1-3 producten | 4+ producten |
| Bestaand KMS | Geen volwassen KMS | Volwassen KMS aanwezig |
| Updatefrequentie | Zelden updates | Frequente releases |
| Organisatieomvang | Klein/middelgroot | Middelgroot/groot |
| Initiële kosten | Lager | Hoger |
| Kosten per product | Hoger | Lager |
| Doorlopende kosten | Lager | Hoger (toezicht) |
Module H wordt kosteneffectief bij 4 of meer producten. Met een volwassen KMS (ISO 9001, ISO 27001) is het vaak de betere investering op lange termijn.
Vuistregel: Module H wordt kosteneffectief vanaf 4 producten of wanneer u regelmatig herbeoordeling nodig zou hebben.
Beslissingskader
Stap 1: bepaal de productclassificatie
Gebruik de productclassificatiegids om te bepalen: Default, Important Class I, Important Class II of Critical.
Stap 2: identificeer de beschikbare opties
De beslisboom bovenaan deze gids toont de volledige mapping. De tabel hieronder vat dezelfde routes in tekstvorm samen.
| Categorie | Beschikbare modules | Aanbevolen route |
|---|---|---|
| Default | A, B+C, H | Module A tenzij u validatie door derden wenst |
| Important Class I, relevante normen, specificaties of regeling volledig toegepast | A, B+C, H | Module A met volledige dekking |
| Important Class I, dekking ontbreekt of is gedeeltelijk | B+C, H | Module B+C tenzij meerdere producten |
| Important Class II | B+C, H of een toepasselijke certificeringsregeling op ten minste betrouwbaarheidsniveau substantieel | Module B+C tenzij meerdere producten of volwassen KMS |
| Critical | EUCC of een andere verplichte Europese certificeringsroute of B+C / H / goedgekeurde regeling als terugval | Hangt af van of de Commissie de certificeringsroute voor die categorie heeft geactiveerd |
Stap 3: weeg de bedrijfsfactoren af
Stap 3 helpt u uitsluitend kiezen uit de modules die Stap 2 beschikbaar liet. De routeregels maken Module A niet beschikbaar voor Important Class I wanneer de relevante normen, specificaties of regelingen ontbreken of slechts gedeeltelijk worden toegepast, voor Important Class II en voor Critical-producten. De twee tabellen hieronder splitsen op die grens, zodat elke rij op uw pad een bereikbaar antwoord biedt.
Wanneer Modules A, B+C en H allemaal beschikbaar zijn
Van toepassing op Default-producten en op Important Class I wanneer de relevante normen, specificaties of regelingen volledig worden toegepast.
| Factor | Module A | Module B+C | Module H |
|---|---|---|---|
| Beperkt budget | ✓ | ||
| Beperkte tijd | ✓ | ||
| Externe validatie nodig | ✓ | ✓ | |
| Enkel product | ✓ | ✓ | |
| Veel producten | ✓ | ||
| Frequente updates | ✓ | ||
| Geen bestaand KMS | ✓ | ✓ | |
| Volwassen KMS (ISO 9001, ISO 27001) | ✓ | ||
| Klant vereist aangemelde instantie | ✓ | ✓ |
Wanneer alleen Modules B+C en H beschikbaar zijn
Van toepassing op Important Class I wanneer de relevante normen, specificaties of regelingen ontbreken of slechts gedeeltelijk worden toegepast, Important Class II en Critical-producten. Module A is voor deze categorieën geen juridische optie, ongeacht budget- of tijdsdruk.
| Factor | Module B+C | Module H |
|---|---|---|
| Enkel product | ✓ | |
| Veel producten | ✓ | |
| Frequente updates | ✓ | |
| Geen bestaand KMS | ✓ | |
| Volwassen KMS (ISO 9001, ISO 27001) | ✓ |
Deze tweede tak spiegelt de tabel "Module H versus B+C" eerder in deze gids. Waar zij elkaar overlappen, behandelt u ze als dezelfde beslissing vanuit twee invalshoeken: de eerdere tabel is kostengewogen, deze is operationeel-passend-gewogen.
Stap 4: bereken de kosten
Scenario: 5 Important Class II-producten, geen bestaand KMS, horizon van 5 jaar met 2 updates per product.
| Kostenpost | Module B+C | Module H |
|---|---|---|
| Eenmalige opzet KMS-opzet en initiële certificering door instantie | n.v.t. | EUR 75.000 EUR 50.000 KMS + EUR 25.000 certificering |
| Beoordeling per product (× 5) EU-typeonderzoek (B+C) of ontwerponderzoek (H) | EUR 250.000 EUR 50.000 × 5 | EUR 50.000 EUR 10.000 × 5 |
| Beoordeling per update (× 10) Volledige herbeoordeling (B+C) of delta-onderzoek (H) | EUR 250.000 EUR 25.000 × 10 | EUR 50.000 EUR 5.000 × 10 |
| Jaarlijks toezicht (× 5 jaar) | n.v.t. | EUR 60.000 EUR 12.000 × 5 |
| 5-jaartotaal | EUR 500.000 | EUR 235.000 |
Module H bespaart EUR 265.000 over 5 jaar in dit scenario. Het omslagpunt is de combinatie van productaantal en updatefrequentie. De bedragen per product en per update zijn illustratief (zie de schattingenopmerking bij de tabel Kosten Module A). Voer de berekening uit met uw eigen offertes voordat u een budget vastlegt.
EU-conformiteitsverklaring
Ongeacht welke module u kiest, moet u een EU-conformiteitsverklaring afgeven.
Verplichte inhoud EU-conformiteitsverklaring
De EU-conformiteitsverklaring voor de Cyber Resilience Act is Verordening (EU) 2024/2847. Elke verklaring moet de volgende acht velden bevatten, gevolgd door het handtekeningenblok.
| Onderdeel | Details |
|---|---|
| Productidentificatie | Productnaam, type, partij en serienummer(s), in voldoende detail voor traceerbaarheid. |
| Naam en adres van de fabrikant | De juridische entiteit die verantwoordelijk is voor de verklaring. Gegevens van de gemachtigde, indien van toepassing. |
| Verantwoordelijkheidsverklaring | "Deze EU-conformiteitsverklaring wordt verstrekt onder de uitsluitende verantwoordelijkheid van de aanbieder." |
| Onderwerp van de verklaring | Productbeschrijving voldoende voor traceerbaarheid, inclusief foto of tekening als het product fysiek is. |
| Toepasselijke Uniewetgeving | Vermeld elke verordening waaraan het product voldoet, te beginnen met Verordening (EU) 2024/2847 (Cyber Resilience Act) en voeg eventuele andere horizontale wetgeving toe (RED, EMC, Machineverordening enzovoort) die van toepassing is. |
| Toegepaste geharmoniseerde normen of specificaties | Vermeld elke norm met versienummer. Als geen geharmoniseerde norm een deel van Bijlage I dekt, verwijs dan naar de gebruikte specificatie of gemeenschappelijke specificatie. |
| Blok aangemelde instantie (Module B+C of H) | Naam van de aangemelde instantie, viercijferig identificatienummer, certificaatreferentie, uitgevoerde module en afgegeven certificaatnummer. Laat dit veld volledig weg bij Module A. |
| Aanvullende informatie | Einddatum van de ondersteuningsperiode, contactpunt voor kwetsbaarheidsmeldingen en overige informatie die de CRA of de toepasselijke wetgeving vereist. |
Sluit de EU-conformiteitsverklaring af met de naam en functie van de ondertekenaar, de plaats en datum van afgifte en een handtekening. Een verklaring zonder gedateerde handtekening van een bij naam en functie genoemde persoon is geen geldige EU-conformiteitsverklaring.
CE-markering
Na de conformiteitsbeoordeling brengt u de CE-markering aan. De visuele vorm van het merkteken ligt vast. Wat verandert, is of een viercijferig identificatienummer van de aangemelde instantie ernaast staat.
Vereisten CE-markering
| Onderwerp | Wat verandert | Waarom CRA-teams dit belangrijk vinden | Anker |
|---|---|---|---|
| Zichtbaarheid | Zichtbaar, leesbaar en onuitwisbaar zodra aangebracht. | Een markering die niet leesbaar of controleerbaar is, kan de productcontrole laten mislukken. | Leesbare CE-markering. |
| Min. hoogte | 5 mm algemeen minimum, gemeten van onder tot boven aan de C-glyph. Artikel 30(2) staat een kleinere markering toe waar de aard van het product dit rechtvaardigt. | Geldt ongeacht de conformiteitsroute die u gebruikt, al mogen kleine producten op grond van Artikel 30(2) een markering van minder dan 5 mm dragen. | 5 mm algemeen minimum; afwijking Artikel 30(2). |
| Verhoudingen | Gebruik de vaste CE-verhoudingen. | Teken, rek of restyle de markering niet voor verpakking of interfacegemak. | Regulation (EC) No 765/2008 Annex II. |
| Locatie | Op het product. Alleen op verpakking als markering op het product niet haalbaar is. | Alleen verpakking markeren is een terugvaloptie, niet de standaard. | Product eerst. |
| Nummer aangemelde instantie | Alleen vereist naast de markering als Module H (volledige kwaliteitsborging) is gebruikt. | Het nummer toont welke aangemelde instantie bij de beoordeelde route betrokken was. | CE plus vier cijfers. |
Plaatsing CE-markering
| Onderdeel | Details |
|---|---|
| Fysiek product |
|
| Software |
|
| Met aangemelde instantie |
|
Veelgemaakte fouten
Zelfevaluatie (Module A) wanneer uw product Important Class II is, is een ongeldige conformiteitsbeoordeling. Het product mag dan niet legaal op de EU-markt worden gebracht.
Elk van de vijf onderstaande fouten heeft dezelfde anatomie: een verleidelijke kortere weg, een ernstig gevolg en een specifieke preventieve gewoonte.
| Onderdeel | Details |
|---|---|
| 1 · Zelfevaluatie waar niet toegestaan | Probleem. Module A kiezen voor een Important Class II-product. Gevolg. Ongeldige conformiteitsbeoordeling. Het product mag niet legaal op de markt worden gebracht. Preventie. Verifieer altijd de productclassificatie voordat u de beoordelingsroute kiest. |
| 2 · Gedeeltelijke normtoepassing | Probleem. Module A claimen voor Important Class I terwijl de relevante normen, specificaties of regelingen slechts gedeeltelijk worden toegepast. Gevolg. Module A is niet beschikbaar zonder volledige dekking. Preventie. Kunt u de relevante route niet volledig toepassen, gebruik dan Module B+C of H. |
| 3 · Onvoldoende documentatie | Probleem. Het technisch dossier mist de vereiste inhoud voor de gekozen module. Gevolg. Conformiteit kan niet worden aangetoond. De verklaring is niet geldig. Preventie. Gebruik checklists. Beoordeel de documentatievereisten voor uw specifieke module voordat u tekent. |
| 4 · Verrassing aangemelde instantie | Probleem. Te laat ontdekken dat het product beoordeling door een aangemelde instantie vereist. Gevolg. Vertraagde marktintroductie. Wachttijden bij aangemelde instanties kunnen maanden bedragen. Preventie. Classificeer producten vroeg. Neem proactief contact op met aangemelde instanties. |
| 5 · Verklaring vóór beoordeling | Probleem. De verklaring ondertekenen voordat de conformiteitsbeoordeling is afgerond. Gevolg. Valse verklaring. Juridische aansprakelijkheid. Preventie. De verklaring is de laatste stap, nadat alle beoordelingsactiviteiten zijn afgerond. |
Checklist conformiteitsbeoordeling
Werk de kaart Voorbeoordeling eerst af. Voltooi daarna alleen de kaarten voor de module die uw product gebruikt. Elk product eindigt op de kaart Afronding.
| Onderdeel | Details |
|---|---|
| Voorbeoordeling |
|
| Module A · Zelfevaluatie |
|
| Module B · EU-typeonderzoek |
|
| Module C · Conformiteit met het type |
|
| Module H · Volledige QA |
|
| Afronding · Alle modules |
|
Veelgestelde vragen
Mag een Default-product altijd Module A zelfevaluatie gebruiken?
Ja. Default-producten mogen altijd Module A zelfevaluatie gebruiken. U voert de beoordeling zelf uit, legt die vast in het technisch dossier, ondertekent de EU-conformiteitsverklaring en brengt het CE-merkteken aan. Een aangemelde instantie is hierbij niet betrokken. Het aandeel van "circa 90%" is een schatting op basis van de smalheid van de Important- en Critical-productcategorieën, geen door de CRA vastgestelde waarde.
Wanneer is een aangemelde instantie verplicht voor Important Class I-producten?
Alleen wanneer u de relevante geharmoniseerde normen, gemeenschappelijke specificaties of een Europese cyberbeveiligingscertificeringsregeling op "substantieel" zekerheidsniveau niet volledig kunt toepassen. Als een van die routes de essentiële cyberbeveiligingsvereisten voor uw producttype dekt en u die volledig toepast, blijft Module A zelfevaluatie beschikbaar. Bestaat er geen toepasselijke route of past u die slechts gedeeltelijk toe, dan moet u Module B+C of H gebruiken.
Zijn er al aangemelde instanties aangewezen voor de CRA?
Per juni 2026 zijn er nul aangemelde instanties aangewezen voor de CRA. Aanwijzingen worden gepubliceerd in de NANDO-database. Fabrikanten van Important Class II- en Critical-producten kunnen de beoordeling door derden niet afronden totdat aanwijzingen plaatsvinden. Houd in uw planning rekening met deze vertraging.
Wat houdt Module B+C conformiteitsbeoordeling in?
Module B is het typeonderzoek dat een aangemelde instantie uitvoert: de instantie beoordeelt uw technische documentatie, test een representatief exemplaar en geeft een EU-typeonderzoekscertificaat af. Module C is de productiefase die u zelf uitvoert: elke eenheid moet conform het gecertificeerde type zijn, en de EU-conformiteitsverklaring verwijst naar het certificaatnummer.
Kunnen geharmoniseerde normen een beoordeling door een aangemelde instantie vervangen?
Alleen voor Important Class I-producten. Past u de relevante geharmoniseerde normen, gemeenschappelijke specificaties of Europese cyberbeveiligingscertificeringsregeling volledig toe die alle essentiële cyberbeveiligingsvereisten dekken, dan mag u zelfevaluatie onder Module A uitvoeren zonder aangemelde instantie. Voor Important Class II-producten is beoordeling door derden verplicht, ongeacht welke normen u toepast. Critical-producten volgen een afzonderlijke route: certificering zodra de Commissie die activeert, of de terugvalroute Module B+C / H / goedgekeurde regeling.
Wat kost een conformiteitsbeoordeling door een aangemelde instantie?
Reken op EUR 30.000 tot EUR 100.000 of meer aan onderzoekskosten van de aangemelde instantie, plus EUR 2.000 tot EUR 5.000 aanvraagkosten en EUR 1.000 tot EUR 5.000 voor monsterbereiding. Wachttijden bedragen momenteel 4 tot 16 weken; reken bovenop de kosten ook planningsrisico in. (De bedragen zijn schattingen uit analoge regelingen (RED, MDR) en vroege CRA-adviesprijzen, geen door de CRA vastgestelde waarden.)