CRA EU-conformiteitsverklaring: sjabloon en elementen

Elk product met digitale elementen heeft een EU-conformiteitsverklaring nodig voordat het wettelijk de CE-markering mag dragen. De DoC is uw formele verklaring dat het product voldoet aan de CRA-vereisten. U bent juridisch verantwoordelijk voor de juistheid ervan.

Deze gids biedt een compleet sjabloon en legt elk vereist element uit.

Wat is de EU-conformiteitsverklaring?

De EU-conformiteitsverklaring is een formeel juridisch document waarin de fabrikant verklaart dat een product voldoet aan de toepasselijke EU-wetgeving. Ze is verplicht voor alle producten met digitale elementen voordat ze de CE-markering mogen dragen. Voor CRA-producten moet ze vermelden dat:

• Het product voldoet aan de essentiële cyberbeveiligingsvereisten.
• De conformiteitsbeoordeling is afgerond.
• De fabrikant de juridische verantwoordelijkheid draagt.

Zonder een ondertekende DoC mag uw product geen CE-markering dragen en niet legaal op de EU-markt worden gebracht.

Wat vereist de CRA in de DoC?

De DoC moet vóór marktplaatsing worden opgesteld, actueel worden gehouden naarmate het product of de conformiteitsstatus verandert, worden vertaald naar de taal of talen die elke lidstaat verlangt waar het product wordt verkocht, en samen met het technisch dossier minstens tien jaar worden bewaard.

Let op: Wanneer een product onder meerdere EU-verordeningen valt, mag u één gecombineerde verklaring opstellen die ze allemaal dekt. Zie de variant "Meerdere regelingen" verderop in deze gids.

Vereiste elementen

#	Element	Wat opnemen
1	Productnaam en -type	Naam, type en eventuele aanvullende informatie waarmee het product met digitale elementen uniek kan worden geïdentificeerd.
2	Identificatie van de fabrikant	Naam en adres van de fabrikant of de gemachtigde.
3	Verklaring onder uitsluitende verantwoordelijkheid	Exacte formulering: "Deze EU-conformiteitsverklaring wordt verstrekt onder de uitsluitende verantwoordelijkheid van de aanbieder."
4	Voorwerp van de verklaring	Identificatie van het product die tracering mogelijk maakt; indien passend kan een foto worden toegevoegd.
5	Conformiteitsverklaring	Bevestig dat het voorwerp in overeenstemming is met Verordening (EU) 2024/2847.
6	Toegepaste normen en certificeringen	Geharmoniseerde normen, gemeenschappelijke specificaties of cyberbeveiligingscertificeringen waarop u zich baseert.
7	Gegevens aangemelde instantie	Naam, nummer, uitgevoerde conformiteitsbeoordelingsprocedure en certificaatreferentie. Alleen vereist wanneer een module voor beoordeling door derden is gebruikt.
8	Aanvullende informatie + handtekening	Plaats en datum van afgifte; naam, functie en handtekening van de ondertekenaar (handgeschreven of gekwalificeerd elektronisch). Overige aanvullende informatie indien nodig.

Elke rij komt overeen met het gelijkgenummerde item in Bijlage V.

Let op: Een verklaringsnummer is niet verplicht, maar sterk aanbevolen voor versiebeheer en interne tracering.

Volledig DoC-sjabloon

Gebruik dit als startpunt. Pas de delen tussen haken aan voor uw product.

Let op: Sectie 3 bevat een wettelijk verplichte letterlijke zin. Niet parafraseren.

Sectie voor sectie: invulinstructies

1. Documentidentificatie

Verklaringsnummer. Niet verplicht, maar sterk aanbevolen voor versiebeheer. Een praktisch formaat is DoC-[ProductCode]-[Jaar]-[Volgnummer], bijvoorbeeld DoC-SSP3000-2027-001.

Datum van afgifte. De datum waarop u de verklaring ondertekent. Moet liggen na afronding van de conformiteitsbeoordeling.

2. Identificatie van de fabrikant

De ondertekenaar is de fabrikant: een persoon die bevoegd is de fabrikant juridisch te binden. De CRA staat aanwijzing van een gemachtigde toe, maar verplicht dit niet automatisch wanneer de fabrikant geen EU-vestiging heeft; waar een gemachtigde is aangesteld, mag die op de verklaring worden vermeld en haar voor de autoriteiten bewaren, maar de bevoegdheid om conformiteit te verklaren blijft bij de fabrikant (Artikel 28). Als een gemachtigde wordt vermeld, voeg een regel toe zoals:

Gemachtigde: [Naam, adres]
handelend namens: [Naam fabrikant, adres]

3. Productidentificatie

Wees specifiek genoeg voor tracering: vermeld modelnummers, geef hardware- en softwareversies apart, en geef het bereik van partij- of serienummers aan.

Voorbeeld:

Productnaam:    SmartSense Pro Industrial Sensor
Model/Type:     SSP-3000
Hardware ver.:  Rev C (PCB v3.2)
Software ver.:  Firmware 2.4.1
Partij/Serie:   Serienummers SSP3K-2027-XXXXXX

4. Conformiteitsbeoordeling

Welke module u moet gebruiken hangt af van de classificatie van uw product. Gebruik deze tabel om u te oriënteren:

Module	Wanneer van toepassing	Aangemelde instantie?
Module A (interne productiecontrole)	Standaardproducten; Belangrijke Klasse I wanneer de relevante normen, specificaties of regeling volledig worden toegepast	Nee
Module B+C (EU-typeonderzoek)	Beschikbaar voor alle producten; vereiste optie voor Belangrijke Klasse I wanneer die niet volledig worden toegepast; een route voor Belangrijke Klasse II en kritieke fallback	Ja
Module H (volledige kwaliteitsborging)	Alle producten; alternatief voor B+C voor Belangrijke Klasse I en II	Ja
EUCC / cyberbeveiligingsregeling	Producten met een Europees cyberbeveiligingscertificaat op betrouwbaarheidsniveau ≥ substantieel (Artikel 27(9))	Geen aanvullende beoordeling door derden vereist

Let op: Kritieke producten hebben een strengere conformiteitsbeoordelingsroute. Gebruik de beslisgids conformiteitsbeoordeling voor de volledige routering.

Gebruik dit stroomschema om uw pad te bepalen:

flowchart TD
    A["Wat is uw productklasse?"] --> B["Standaard\n(niet vermeld)"]
    A --> C["Belangrijke Klasse I\n(vermelde klasse)"]
    A --> D["Belangrijke Klasse II\n(vermelde klasse)"]
    A --> E["Kritiek\n(kritieke lijst)"]
    B --> F["Module A, B+C of H\nuw keuze"]
    C --> G{"Normen, specificaties of\nregeling volledig toegepast?"}
    G -->|Ja| H["Module A beschikbaar\nof B+C / H"]
    G -->|Nee| I["Module B+C of H\nAangemelde instantie vereist"]
    D --> J["Module B+C, H of een certificeringsregeling op ten minste betrouwbaarheidsniveau substantieel"]
    E --> K["Certificeringsroute als Article 8(1) geldt\nanders routes van Article 32(3)"]

5. Toegepaste normen

Geharmoniseerde normen zijn normen die zijn gepubliceerd in het Publicatieblad van de EU. Zij creëren een vermoeden van conformiteit voor de eisen die ze dekken. Neem de volledige referentie op: nummer, jaar, titel.

Formaat:

EN 303 645:2020, Cyber Security for Consumer Internet of Things: Baseline Requirements

Als er geen geharmoniseerde normen bestaan, vermeld: "Geen geharmoniseerde normen toegepast. Conformiteit aangetoond via [beschrijf aanpak]."

Als bij de conformiteitsbeoordeling een Europees cyberbeveiligingscertificaat is gebruikt, vermeld dit met de naam van de regeling en het certificaatreferentienummer (dit dekt het certificeringsveld in de verklaring).

6. CRA-specifieke aanvullende informatie

Deze sectie maakt geen deel uit van de minimumtemplate, maar opname ervan verhoogt de regulatoire transparantie:

• Ondersteuningsperiode. Vermeld wanneer beveiligingsupdates eindigen. Minimaal 5 jaar vanaf marktplaatsing, of de verwachte gebruiksduur indien korter.
• Contactpunt kwetsbaarheden. Waar meldingen naartoe moeten, inclusief verwijzing naar uw security.txt-bestand.

Let op: De einddatum van de ondersteuningsperiode moet ook verschijnen op het verkooppunt. Opname in de DoC is goede praktijk, maar vervangt de communicatie op het verkooppunt niet.

7. Handtekening

Iedereen die bevoegd is om de fabrikant juridisch te binden, mag ondertekenen. Doorgaans is dat de CEO, een directeur, de kwaliteitsmanager of het hoofd regulatoire zaken. De DoC moet de volledige naam en functie van de ondertekenaar bevatten, plaats en datum (datum moet liggen na afronding van de beoordeling) en een handgeschreven of gekwalificeerde elektronische handtekening.

Wanneer moet de CE-markering worden aangebracht ten opzichte van de conformiteitsverklaring?

Voor fysieke producten brengt u de CE-markering zichtbaar, leesbaar en onuitwisbaar aan op het product voordat u het op de markt brengt.

Voor zuivere softwareproducten wordt de CE-markering aangebracht op de EU-conformiteitsverklaring zelf, of op de website van het product in een sectie die eenvoudig en direct toegankelijk is voor gebruikers.

Let op: De CE-markering moet worden aangebracht voordat het product op de markt wordt gebracht, niet daarna. Zorg er bij softwareproducten voor dat de DoC of websitesectie live staat voordat de distributie begint.

Moet de DoC worden vertaald?

Ja. De DoC moet beschikbaar worden gesteld in de taal of talen die elke lidstaat verlangt waar het product op de markt wordt gebracht.

In de praktijk:

• Verkoop alleen in Duitsland: een Duitse DoC is vereist.
• Verkoop in de hele EU: u heeft meerdere taalversies nodig.
• Bewaar alle taalversies in het technisch dossier.

De vereenvoudigde DoC en de URL die naar de volledige DoC verwijst moeten eveneens in de vereiste taal of talen beschikbaar zijn. De URL zelf moet stabiel en toegankelijk blijven.

Heeft elk productmodel of elke versie een eigen conformiteitsverklaring nodig?

Eén DoC per producttype

Elk afzonderlijk productmodel of -type heeft in beginsel een eigen DoC nodig.

Eén DoC kan meerdere varianten dekken wanneer ze varianten zijn van hetzelfde type, dezelfde conformiteitsbeoordeling op alle varianten van toepassing is, en dezelfde normen zijn toegepast.

Voorbeeld:

Productnaam:    SmartSense Pro Industrial Sensor
Model/Type:     SSP-3000 (alle varianten)
                - SSP-3000-WiFi
                - SSP-3000-LoRa
                - SSP-3000-Cellular

Wanneer vereist een wijziging een nieuwe DoC?

Waarschuwing: Een substantiële wijziging is elke wijziging die de cybersecurity-compliancebasis of het beoogde doel van het product raakt. Zij vereist een nieuwe DoC. Degene die de substantiële wijziging uitvoert, wordt fabrikant van het gewijzigde product en moet de nieuwe DoC afgeven.

Scenario	Nieuwe DoC vereist?
Nieuwe hardwareversie die de beveiligingskenmerken raakt	Ja, substantiële wijziging
Firmware-update die nieuwe interfaces of nieuwe dreigingsvectoren introduceert	Ja, gewijzigd cyberbeveiligingsrisicoprofiel
Firmware-update die het beoogde gebruik van het product verandert	Ja, substantiële wijziging
Beveiligingspatch (zelfde architectuur, geen nieuw risico, vermindert CVE's)	Per geval bekijken
Wijziging in toegepaste geharmoniseerde normen of certificaat conformiteitsbeoordeling	Ja
Cosmetische, puur documentaire of lokalisatie-wijziging	Nee
Derde partij wijzigt het product substantieel en brengt het op de markt	Ja, de derde partij stelt de nieuwe DoC op als de nieuwe fabrikant

Voor iteratieve software-releases die geen substantiële wijziging zijn, blijft de bestaande DoC geldig. U moet dit aan markttoezichtautoriteiten kunnen aantonen, en de bijwerking van de risicobeoordeling is de manier waarop u dat doet.

Distributie van de DoC

De DoC moet met het product meereizen. U kunt kiezen tussen:

• de volledige DoC, of
• een vereenvoudigde DoC met het exacte internetadres waarop de volledige DoC is gepubliceerd.

Beide vormen moeten ook op verzoek aan de markttoezichtautoriteiten worden verstrekt en moeten op verzoek beschikbaar zijn voor klanten.

Vereenvoudigde EU-conformiteitsverklaring

De vereenvoudigde vorm bestaat uit twee zinnen: de verklaring van de fabrikant en een URL waarop het volledige document te vinden is. Hij is bijzonder nuttig voor softwaredistributies, hardware met beperkte verpakkingsruimte en elk product waarvan de volledige DoC online is gepubliceerd.

Vereisten voor de URL: stabiel (niet wijzigen nadat producten zijn gedistribueerd), toegankelijk zonder registratie of inloggen, en de pagina moet het downloaden of afdrukken van de DoC mogelijk maken. De volledige DoC moet nog steeds aanwezig zijn in het technisch dossier en op verzoek beschikbaar zijn voor de autoriteiten.

Veelgemaakte fouten

Fout	Waarom het belangrijk is	Oplossing
Ontbrekende verplichte elementen (bijvoorbeeld geen conformiteitsmodule vermeld)	DoC is niet-conform	Gebruik de checklist vóór ondertekening; controleer elk item van Bijlage V
Verkeerde entiteit ondertekent (importeur of distributeur tekent in plaats van de fabrikant)	DoC is juridisch ongeldig	Alleen de fabrikant (een persoon die bevoegd is de fabrikant juridisch te binden) mag tekenen; een importeur of distributeur kan dit niet tenzij hij zelf fabrikant is geworden
Verouderde normreferenties (ingetrokken of vervangen normen vermeld)	Vermoeden van conformiteit gaat verloren	Beoordeel toegepaste normen regelmatig; werk de DoC bij wanneer normen wijzigen
Geen versiebeheer (meerdere DoC-versies zonder duidelijke actuele versie)	Audit- en handhavingsrisico	Wijs verklaringsnummers toe; archiveer vervangen versies
Ondertekenen vóór afronding beoordeling (DoC gedateerd vóór einde conformiteitsactiviteiten)	De DoC dateert van vóór het bewijs waarop hij zich baseert	Rond eerst alle beoordelingsactiviteiten af; de DoC-datum moet daarna liggen
Verkeerde taal (DoC alleen in het Engels bij verkoop in een niet-Engelstalige lidstaat)	Niet-conform voor die markt	Vertaal de DoC naar de vereiste taal van elke lidstaat
Geen update na substantiële wijziging (oorspronkelijke DoC nog in gebruik na een materiële wijziging)	DoC dekt een versie waarvoor hij nooit werd beoordeeld	Stel een nieuwe DoC op zodra er een substantiële wijziging plaatsvindt

Checklist voor DoC-voorbereiding

Sjabloonvarianten

Voor Module A (zelfbeoordeling)

Voor Module B+C (derde partij)

Voor meerdere regelingen

Eén gecombineerde DoC is toegestaan wanneer een product zowel onder de CRA als onder andere EU-wetgeving valt:

Bewaarvereisten

Wat bewaren	Bewaartermijn	Waar
Ondertekende DoC (of gewaarmerkte kopie)	10 jaar na marktplaatsing, of zolang de ondersteuningsperiode duurt als die langer is	Technisch dossier; op verzoek toegankelijk voor de autoriteiten
Versiegeschiedenis en vervangen DoC's	Samen met de actuele DoC	Technisch dossier
Ondersteunende documentatie waarnaar in de DoC wordt verwezen	Samen met de DoC	Technisch dossier