CRA EU-conformiteitsverklaring: sjabloon en elementen

Elk product met digitale elementen heeft een EU-conformiteitsverklaring nodig voordat het wettelijk de CE-markering mag dragen. De DoC is uw formele verklaring dat het product voldoet aan de CRA-vereisten. U bent juridisch verantwoordelijk voor de juistheid ervan.

Deze gids biedt een compleet sjabloon en licht elk verplicht element toe.

Wat is de EU-conformiteitsverklaring?

De EU-conformiteitsverklaring is een formeel juridisch document waarin de fabrikant verklaart dat een product voldoet aan de toepasselijke EU-wetgeving. Ze is verplicht voor alle producten met digitale elementen voordat ze de CE-markering mogen dragen. Voor CRA-producten moet ze vermelden dat:

• het product voldoet aan de essentiële cyberbeveiligingsvereisten;
• de conformiteitsbeoordeling is afgerond;
• de fabrikant de juridische verantwoordelijkheid draagt.

Zonder ondertekende DoC mag uw product geen CE-markering dragen en niet legaal op de EU-markt worden gebracht.

Wat vereist de CRA in de DoC?

De DoC moet vóór marktplaatsing worden opgesteld, actueel blijven zodra het product of de conformiteitsstatus wijzigt, worden vertaald naar de taal of talen die elke lidstaat verlangt waar het product wordt verkocht, en samen met het technisch dossier minstens tien jaar worden bewaard.

Let op: Valt een product onder meerdere EU-wetten die elk een conformiteitsverklaring vereisen, dan is één gecombineerde verklaring verplicht. Die verklaring moet elke wet benoemen, inclusief de publicatiereferentie. Zie de variant "Meerdere regelingen" verderop in deze gids.

Verplichte elementen

#	Element	Wat opnemen
1	Productnaam en -type	Naam, type en eventuele aanvullende informatie waarmee het product met digitale elementen uniek te identificeren is.
2	Identificatie van de fabrikant	Naam en adres van de fabrikant of diens gemachtigde vertegenwoordiger.
3	Verklaring onder uitsluitende verantwoordelijkheid	Een verklaring dat de DoC wordt afgegeven onder de uitsluitende verantwoordelijkheid van de aanbieder. Een vaste letterlijke formulering is niet verplicht; de CRA gebruikt de term "aanbieder".
4	Voorwerp van de verklaring	Identificatie van het product die tracering mogelijk maakt; waar passend kan een foto worden toegevoegd.
5	Conformiteitsverklaring	Een verklaring dat het voorwerp voldoet aan de relevante harmonisatiewetgeving van de Unie, inclusief Verordening (EU) 2024/2847 en elke andere toepasselijke EU-wet.
6	Toegepaste normen en certificeringen	Geharmoniseerde normen, gemeenschappelijke specificaties of cyberbeveiligingscertificeringen waarop u zich baseert.
7	Gegevens aangemelde instantie	Naam, nummer, uitgevoerde conformiteitsbeoordelingsprocedure en certificaatreferentie. Alleen verplicht wanneer een beoordelingsmodule met een derde partij is gebruikt.
8	Aanvullende informatie + handtekening	Plaats en datum van afgifte; naam, functie en handtekening van de ondertekenaar (bijvoorbeeld handgeschreven of een gekwalificeerde elektronische handtekening). Overige aanvullende informatie indien nodig.

Elke rij komt overeen met het gelijknummerde element van de EU-verklaringssjabloon.

Let op: Een verklaringsnummer is niet verplicht, maar sterk aanbevolen voor versiebeheer en interne tracering.

Volledig DoC-sjabloon

Gebruik dit als startpunt. Pas de delen tussen haken aan op uw product.

Let op: Sectie 3 moet vermelden dat de verklaring wordt afgegeven onder de uitsluitende verantwoordelijkheid van de aanbieder. Een vaste letterlijke tekst is niet vereist; de onderstaande formulering voldoet.

Sectie voor sectie: invulinstructies

1. Documentidentificatie

Verklaringsnummer. Niet verplicht, maar sterk aanbevolen voor versiebeheer. Een praktisch formaat is DoC-[Productcode]-[Jaar]-[Volgnummer], bijvoorbeeld DoC-SSP3000-2027-001.

Datum van afgifte. De datum waarop u de verklaring ondertekent. Moet na afronding van de conformiteitsbeoordeling liggen.

2. Identificatie van de fabrikant

De ondertekenaar is bevoegd om de fabrikant juridisch te binden. De CRA verplicht op zichzelf niet tot het aanstellen van een gemachtigde vertegenwoordiger. Is er wel een aangesteld en dekt het mandaat deze taken, dan mag die vertegenwoordiger de EU-conformiteitsverklaring opstellen en ondertekenen, en de CE-markering aanbrengen, namens de fabrikant en onder diens verantwoordelijkheid. De fabrikant blijft juridisch verantwoordelijk voor de conformiteit van het product. Treedt een gemachtigde vertegenwoordiger op, voeg dan een regel toe zoals:

Gemachtigde vertegenwoordiger: [Naam, adres]
handelend namens: [Naam fabrikant, adres]

3. Productidentificatie

Wees specifiek genoeg voor tracering: vermeld modelnummers, geef hardware- en softwareversie apart op en geef het bereik van partij- of serienummers aan.

Voorbeeld:

Productnaam:    SmartSense Pro Industrial Sensor
Model/Type:     SSP-3000
Hardwareversie: Rev C (PCB v3.2)
Softwareversie: Firmware 2.4.1
Partij/Serie:   Serienummers SSP3K-2027-XXXXXX

4. Conformiteitsbeoordeling

Welke module u moet gebruiken, hangt af van de classificatie van uw product. Gebruik deze tabel om te oriënteren:

Module	Wanneer van toepassing	Aangemelde instantie?
Module A (interne productiecontrole)	Standaardproducten; belangrijke producten van klasse I wanneer de relevante normen, specificaties of het schema volledig van toepassing zijn	Nee
Module B+C (EU-typeonderzoek)	Beschikbaar voor alle producten; verplichte route voor belangrijke producten van klasse I wanneer het bovenstaande niet volledig van toepassing is; één route voor belangrijke producten van klasse II en terugvaloptie voor kritieke producten	Ja
Module H (volledige kwaliteitsborging)	Alle producten; alternatief voor B+C bij belangrijke producten van klasse I en II	Ja
EUCC / cyberbeveiligingsschema	Waar een toepasselijk Europees cyberbeveiligingscertificeringsschema beschikbaar is: een certificaat op betrouwbaarheidsniveau ≥ substantieel	Heft de verplichting tot beoordeling door een derde partij op, maar alleen voor de eisen die het certificaat dekt
Vrije en opensourcesoftware	Belangrijke producten van klasse I of II die als vrije en opensourcesoftware worden aangemerkt en aan de voorwaarden voldoen	Mag elke route volgen (Module A, B+C of H), inclusief Module A, als de technische documentatie bij marktplaatsing publiek beschikbaar is

Let op: Kritieke producten hebben een strengere conformiteitsbeoordelingsroute. Gebruik de beslisgids conformiteitsbeoordeling voor de volledige routering.

Gebruik dit stroomschema om uw pad te bepalen:

flowchart TD
    A["Wat is uw productklasse?"] --> B["Standaard
(niet vermeld)"]
    A --> C["Belangrijk product
klasse I"]
    A --> D["Belangrijk product
klasse II"]
    A --> E["Kritiek product
(kritieke lijst)"]
    B --> F["Module A, B+C of H
uw keuze"]
    C --> G{"Normen, specificaties of
schema volledig toegepast?"}
    G -->|Ja| H["Module A beschikbaar
of B+C / H"]
    G -->|Nee| I["Module B+C of H
aangemelde instantie vereist"]
    D --> J["Module B+C, H of een certificeringsschema
op ten minste niveau substantieel"]
    E --> K["Certificeringsroute indien beschikbaar
anders routes met een derde partij"]

5. Toegepaste normen

Geharmoniseerde normen zijn normen die zijn gepubliceerd in het Publicatieblad van de EU. Ze scheppen een vermoeden van conformiteit voor de eisen die ze dekken. Neem de volledige referentie op: nummer, jaar, titel.

Formaat:

EN 303 645:2020, Cyber Security for Consumer Internet of Things: Baseline Requirements

Bestaan er geen geharmoniseerde normen, vermeld dan: "Geen geharmoniseerde normen toegepast. Conformiteit aangetoond via [beschrijf aanpak]."

Is bij de conformiteitsbeoordeling een Europees cyberbeveiligingscertificaat gebruikt, vermeld dit dan met de naam van het schema en de certificaatreferentie (dit dekt het certificeringsveld in de verklaring).

6. CRA-specifieke aanvullende informatie

Deze sectie maakt geen deel uit van de minimale verklaringssjabloon, maar opname ervan vergroot de regulatoire transparantie:

• Ondersteuningsperiode. Vermeld wanneer beveiligingsupdates eindigen. Minimaal 5 jaar vanaf marktplaatsing, of de verwachte gebruiksduur als die korter is.
• Contactpunt kwetsbaarheden. Waar meldingen naartoe moeten, inclusief verwijzing naar uw security.txt-bestand.

Let op: De einddatum van de ondersteuningsperiode moet ook op het verkooppunt staan. Opname in de DoC is goede praktijk, maar vervangt communicatie op het verkooppunt niet.

7. Handtekening

Iedereen die bevoegd is om de fabrikant juridisch te binden, mag ondertekenen. Doorgaans is dat de CEO, een directeur, de kwaliteitsmanager of het hoofd regulatoire zaken. De DoC moet de volledige naam en functie van de ondertekenaar bevatten, plaats en datum (de datum moet na afronding van de beoordeling liggen) en een handtekening, bijvoorbeeld handgeschreven of een gekwalificeerde elektronische handtekening.

Wanneer moet de CE-markering worden aangebracht ten opzichte van de conformiteitsverklaring?

Voor fysieke producten brengt u de CE-markering zichtbaar, leesbaar en onuitwisbaar aan op het product voordat u het op de markt brengt. Kan dat niet, of is dat niet gerechtvaardigd gezien de aard van het product, dan brengt u de markering aan op de verpakking en op de EU-conformiteitsverklaring.

Voor zuivere softwareproducten wordt de CE-markering rechtstreeks op de EU-conformiteitsverklaring aangebracht, of op de website van het product in een sectie die eenvoudig en direct toegankelijk is voor consumenten.

Is bij de beoordeling een aangemelde instantie betrokken via Module H, dan volgt op de CE-markering het identificatienummer van die instantie.

Let op: De CE-markering moet worden aangebracht voordat het product op de markt wordt gebracht, niet daarna. Zorg er bij softwareproducten voor dat de DoC of websitesectie live staat voordat de distributie begint.

Moet de DoC worden vertaald?

Ja. De DoC moet beschikbaar zijn in de taal of talen die elke lidstaat verlangt waar het product op de markt wordt gebracht.

In de praktijk:

• Verkoopt u alleen in Duitsland, dan is een Duitse DoC vereist.
• Verkoopt u in de hele EU, dan heeft u meerdere taalversies nodig.
• Bewaar alle taalversies in het technisch dossier.

De vereenvoudigde DoC en de URL naar de volledige DoC moeten eveneens in de vereiste taal of talen beschikbaar zijn. Een stabiele, direct toegankelijke URL is goede praktijk, geen wettelijke verplichting.

Heeft elk productmodel of elke versie een eigen conformiteitsverklaring nodig?

Eén DoC per producttype

Elk afzonderlijk productmodel of -type heeft in beginsel een eigen DoC nodig.

Eén DoC kan meerdere varianten dekken wanneer het varianten van hetzelfde type zijn, dezelfde conformiteitsbeoordeling op alle varianten van toepassing is en dezelfde normen zijn toegepast.

Voorbeeld:

Productnaam:    SmartSense Pro Industrial Sensor
Model/Type:     SSP-3000 (alle varianten)
                - SSP-3000-WiFi
                - SSP-3000-LoRa
                - SSP-3000-Cellular

Wanneer vereist een wijziging een nieuwe DoC?

Waarschuwing: Een ingrijpende wijziging is een wijziging die na marktplaatsing wordt aangebracht en die de naleving van de essentiële cyberbeveiligingseisen raakt, of die het beoogde gebruik verandert waarvoor het product is beoordeeld. Dit maakt een nieuwe DoC verplicht. Een derde partij wordt alleen fabrikant als die de wijziging zelf uitvoert én het product op de markt aanbiedt; in dat geval geeft die partij de nieuwe DoC af.

De tabel hieronder toont typische uitkomsten. Pas de wettelijke toets hierboven toe in plaats van elke afzonderlijke trigger als automatisch te behandelen.

Scenario	Nieuwe DoC vereist?
Nieuwe hardwareversie die de naleving van de essentiële eisen raakt	Ja, ingrijpende wijziging
Firmware-update die het aanvalsoppervlak vergroot of het cyberbeveiligingsrisico verhoogt	Ja, ingrijpende wijziging
Firmware-update die het beoogde gebruik van het product verandert	Ja, ingrijpende wijziging
Beveiligingspatch (dezelfde architectuur, geen nieuw risico, minder CVE's)	Per geval bekijken
Wijziging in toegepaste geharmoniseerde normen of het certificaat van de conformiteitsbeoordeling	Per geval bekijken, alleen als dit de essentiële eisen of het beoordeelde beoogde gebruik raakt
Cosmetische, puur documentaire of lokalisatiewijziging	Nee
Derde partij wijzigt het product ingrijpend en biedt het op de markt aan	Ja, de derde partij geeft de nieuwe DoC af als nieuwe fabrikant

Voor iteratieve software-releases die geen ingrijpende wijziging zijn, blijft de bestaande DoC geldig. U moet dit kunnen aantonen aan markttoezichtautoriteiten; de bijgewerkte risicobeoordeling is daarvoor het bewijs.

Distributie van de DoC

De DoC moet met het product meereizen. U kiest tussen:

• de volledige DoC, of
• een vereenvoudigde DoC met het exacte internetadres waarop de volledige DoC is gepubliceerd.

Beide vormen moeten ook op verzoek beschikbaar zijn voor markttoezichtautoriteiten, en zouden op verzoek ook voor klanten beschikbaar moeten zijn.

Vereenvoudigde EU-conformiteitsverklaring

De vereenvoudigde vorm bestaat uit twee zinnen: de verklaring van de fabrikant en een URL waarop het volledige document te vinden is. Ze is bijzonder nuttig voor softwaredistributies, hardware met beperkte verpakkingsruimte en elk product waarvan de volledige DoC online staat.

De URL: de CRA vereist alleen dat de vereenvoudigde DoC het exacte internetadres bevat waarop de volledige DoC te raadplegen is. Als praktische goede praktijk houdt u de URL stabiel (wijzig hem niet nadat producten zijn gedistribueerd), toegankelijk zonder registratie of inloggen, en downloadbaar of afdrukbaar. De volledige DoC moet nog steeds in het technisch dossier bestaan en op verzoek beschikbaar zijn voor de autoriteiten.

Veelgemaakte fouten

Fout	Waarom het telt	Oplossing
Ontbrekende verplichte elementen (bijvoorbeeld geen conformiteitsverklaring, of ontbrekende gegevens van de aangemelde instantie waar die betrokken was)	DoC is niet-conform	Gebruik de checklist vóór ondertekening; controleer elk verplicht element
Verkeerde entiteit ondertekent (importeur of distributeur tekent in plaats van de fabrikant)	DoC is juridisch ongeldig	Een persoon die bevoegd is de fabrikant te binden, of een gemandateerde gemachtigde vertegenwoordiger, ondertekent. Een importeur of distributeur kan dit niet, tenzij die zelf fabrikant is geworden
Verouderde normreferenties (ingetrokken of vervangen normen vermeld)	Vermoeden van conformiteit gaat verloren	Beoordeel toegepaste normen regelmatig; werk de DoC bij wanneer normen wijzigen
Geen versiebeheer (meerdere DoC-versies zonder duidelijke actuele versie)	Audit- en handhavingsrisico	Wijs verklaringsnummers toe; archiveer vervangen versies
Ondertekenen vóór afronding van de beoordeling (DoC gedateerd vóór het einde van de conformiteitsactiviteiten)	De DoC dateert van vóór het bewijs waarop hij zich baseert	Rond eerst alle beoordelingsactiviteiten af; de datum van de DoC moet daarna liggen
Verkeerde taal (DoC alleen in het Engels bij verkoop in een niet-Engelstalige lidstaat)	Niet-conform voor die markt	Vertaal de DoC naar elke vereiste lidstaattaal
Geen update na ingrijpende wijziging (oorspronkelijke DoC nog in gebruik na een materiële wijziging)	DoC dekt een versie waarvoor hij nooit werd beoordeeld	Geef een nieuwe DoC af zodra zich een ingrijpende wijziging voordoet

Checklist voor DoC-voorbereiding

Sjabloonvarianten

Voor Module A (zelfbeoordeling)

Voor Module B+C (derde partij)

Voor meerdere regelingen

Een gecombineerde DoC is verplicht wanneer een product onder de CRA en andere EU-wetgeving valt die ook een conformiteitsverklaring vereist. Ze moet elke wet benoemen, inclusief de publicatiereferentie:

Bewaarvereisten

Wat bewaren	Bewaartermijn	Waar
Ondertekende DoC (of gewaarmerkte kopie)	10 jaar na marktplaatsing, of zolang de ondersteuningsperiode duurt als die langer is	Technisch dossier; op verzoek toegankelijk voor de autoriteiten
Versiegeschiedenis en vervangen DoC's	Samen met de actuele DoC	Technisch dossier
Ondersteunende documentatie waarnaar in de DoC wordt verwezen	Samen met de DoC	Technisch dossier