De CRA-gids voor slimme-metergateways en energiemeting

Wat de CRA vereist voor slimme-metergateways

De CRA behandelt een slimme-metergateway als één product dat uit veel digitale elementen bestaat. Het product kan de meterfirmware omvatten, het besturingssysteem van de gateway, de communicatiemodule, de DLMS/COSEM- (het standaardprotocol voor metergegevens) of propriëtaire meterprotocolstack, de simkaart, eSIM of radiocredential, de sleutelopslag, de head-end-connector (de verbinding met het centrale verzamelsysteem van het nutsbedrijf), het lokale display, een mobiele app, een cloudportaal, de updatedienst, het installatiehulpmiddel en het proces voor kwetsbaarheidsafhandeling. Normaal sluit het het facturatiesysteem van het nutsbedrijf uit, de wettelijke metrologiegoedkeuring, de netbeheersystemen en het energiecontract van de klant, tenzij dezelfde fabrikant die als onderdeel van het product levert.

Die grens is de kern van het dossier. Het bewijs moet cyberbeveiliging gescheiden houden van wettelijke metrologie, en tegelijk de interfaces tussen de gateway, de meters en de head-end documenteren. Metrologiegoedkeuring onder de Meetinstrumentenrichtlijn en de nationale meterregels beantwoordt een andere vraag dan de CRA. De ene bewijst dat de meting correct en verzegeld is. De andere bewijst dat het verbonden product gedurende zijn ondersteuningsperiode aanvallen weerstaat. Een fabrikant die de twee door elkaar haalt, houdt een dossier over dat geen van beide beoordelaars tevredenstelt.

De cyberbeveiligingsvereisten en het technisch dossier dat ze bewijst werken hetzelfde voor elk CRA-product, en de gids over technische documentatie behandelt die. Deze pagina blijft bij wat specifiek is voor een metergateway: de classificatie als Kritiek, het conformiteitstraject, de gatewayarchitectuur en het meterspecifieke bewijs.

Zit uw apparaat in de categorie Kritiek?

De aanduiding Kritiek is smal, en een meetproduct kan aan beide kanten ervan zitten. Een apparaat is de Kritieke gateway wanneer het de communicatie-eenheid van het metersysteem is: het beheert de verbinding met nutsbedrijven, verwerkt de meter- en persoonsgegevens, voert de cryptografie uit en kan het systeem afschermen en andere apparaten besturen. Een meter die alleen meet en rapporteert blijft op de standaardroute, en het gebruik van sterke cryptografie om een gewone functie te beschermen maakt een apparaat ook niet Kritiek. Uitvoeringsverordening (EU) 2025/2392 van de Commissie (de Uitvoeringsverordening), bindend sinds 21 december 2025, stelt die toets vast en breidt hem uit tot gas- en warmtegateways, niet alleen elektriciteit. Beslis het antwoord één keer in de grensmemo. De tabel in de Samenvatting hierboven koppelt de gangbare varianten aan hun route.

Hoe de architectuur per EU-lidstaat verschilt

Duitsland gebruikt een model met een aparte gateway met een afzonderlijke communicatie-eenheid, het model waaromheen de aanduiding Kritiek is opgesteld. Frankrijk, Spanje en Italië meten niet op die manier. Zij draaien geïntegreerde meters die meten en communiceren in één verzegelde eenheid en rechtstreeks een dataconcentrator in het secundaire onderstation bereiken, zonder gatewaybox in huis. De concentrator regelt de aggregatie en de verbinding stroomopwaarts, dus het CRA-bewijs hecht zich nog steeds aan, maar aan andere apparaten, en de vraag over de Kritiek-route verschuift mee. Het Duitse model krijgt hieronder een eigen sectie.

De vorm is in alle drie de markten hetzelfde: een geïntegreerde meter bij de klant, smalbandige power-line-carrier omhoog langs de laagspanningslijn, een concentrator in het distributieonderstation, daarna een cellulaire verbinding naar de operator. Wat verschilt, is de power-line-technologie, het consumentenkanaal en, in Italië, een tweede radio-interface. In elk daarvan is de concentrator het knooppunt dat veel meters aggregeert en de communicatie met geautoriseerde derden beheert. De geïntegreerde meter is normaal gesproken een verbonden product op de standaardroute. Geen van beide beslissingen is automatisch. De Uitvoeringsverordening laat de categorie afhangen van de kernfunctionaliteit, dus een meter waarvan de eigen functies overeenkomen met de beschrijving van de gateway kan in de categorie Kritiek worden beredeneerd, en de fabrikant legt de verdeling vast in de grensmemo in plaats van die aan te nemen.

Frankrijk: Enedis Linky

De Linky-meter doet beide taken. Hij meet verbruik en communiceert stroomopwaarts vanuit één eenheid, en bereikt rechtstreeks een concentrator in het HTA/BT- (midden- tot laagspannings)secundaire onderstation in plaats van via een gateway in huis. De verbinding is smalbandige power-line-carrier in de CENELEC A-band, de laagfrequente nutsband, overwegend het G3-PLC-profiel, met een deel van de vloot op het S-FSK-schema van de eerste generatie. De concentrator backhault naar het centrale systeem van Enedis via publiek cellulair, GPRS in het oorspronkelijke ontwerp. Enedis is de distributiesysteembeheerder die het systeem draait, niet de meterfabrikant. De consumenteninterface is optioneel: de meter stelt een TIC-informatiepoort beschikbaar die een display in huis via een aparte radiomodule kan uitlezen, een add-on in plaats van standaard Enedis-apparatuur. De uitrol begon in 2015 en bereikte ongeveer 35 miljoen meters.

Spanje: PRIME en Meters and More

Spanje draait dezelfde drielaagsvorm: een geïntegreerde DLMS-meter op het perceel, een concentrator in het centro de transformación, en een head-end bij de DSO. De laagspannings-power-line-technologie splitst per operator. Iberdrola (i-DE) en UFD draaien PRIME, terwijl Endesa (e-distribución) Meters and More draait. De concentrator aggregeert de meters, geeft commando's door en houdt toezicht op het laagspanningsnet, en praat met de head-end via het STG-DC-toezichtprotocol. Hij backhault via een publieke netwerkverbinding, doorgaans cellulair en vaak over een VPN. De wettelijke ruggengraat is Orden ITC/3860/2007, die het vervangen van meters door eenheden voor afstandsbeheer verplichtte, dus Spanje bereikte vroeg een bijna volledige dekking, met ongeveer 27 miljoen laagspanningsmeters.

Italië: e-distribuzione Open Meter

Italië was de eerste grote EU-uitrol, met de eerste generatie Telegestore vanaf 2001, en zit nu op de tweede generatie Open Meter, rond 30 miljoen meters geïnstalleerd in 2023. ARERA staat toe dat Chain 1 draait over power-line-band A, een 169 MHz-radio-interface of andere telecomtechnologieën, en de Open Meter draagt een dubbele Chain 1-interface die power-line-band A en 169 MHz-radio combineert. Een apart Chain 2-power-line-kanaal in band C bereikt optionele consumenten-User Devices, gestandaardiseerd door de CEI TS 13-82 tot 13-85-serie en verplicht gesteld door ARERA-resolutie 87/2016. De concentrator in het MT/BT- (midden- tot laagspannings)onderstation is, in de eigen woorden van e-distribuzione, de informatiehub en actuator voor netwerkautomatisering, en hij backhault via het publieke GSM-, GPRS-, UMTS- of PSTN-netwerk.

Niets hiervan verklaart de concentrator tot Kritiek product. Hij is meestal de sterkere kandidaat. De bepaling is apparaat- en gebruiksspecifiek, hangt af van de beschrijving van de kernfunctionaliteit in de Uitvoeringsverordening, en hoort in de grensmemo van de fabrikant. De beslissing hieronder is de korte versie van die toets.

Hoe een systeem met een aparte gateway is opgebouwd (het Duitse model)

Dit is het model met een aparte gateway, het model met een afzonderlijke communicatie-eenheid als eigen box. In de markten met geïntegreerde meters die hierboven zijn beschreven, Frankrijk, Spanje en Italië, bestaan dezelfde bewijsgrenzen, maar zij vallen samen in de meter en de netconcentrator in plaats van een afzonderlijke gateway. Een slimme-metergateway is de centrale communicatie-eenheid van een intelligent metersysteem. De BSI omschrijft het als het centrale onderdeel dat gegevens van meters ontvangt en opslaat en die verwerkt voor de marktdeelnemers die ze mogen zien. De Bundesnetzagentur noemt het het hart van het systeem. De gateway zit tussen drie netwerken, en het trust anchor voor alle drie is een specifieke beveiligingsmodule. Elke grens is de plek waar een stuk CRA-bewijs zich hecht, dus de architectuur is het waard om precies te tekenen.

De drie netwerken dragen elk een ander risico en een andere controle:

• Het lokale metrologische netwerk (LMN) verbindt de gateway met de meters, elektriciteit, gas, water of warmte, van een of meer eindgebruikers. Hier komen de aflezingen het product binnen. Het bewijs hier dekt hoe de gateway een meter authenticeert, hoe hij aflezingen van een ongeautoriseerde meter weigert, en hoe de verbinding tussen meter en gateway gekoppeld en beschermd is.
• Het home-area-netwerk (HAN) verbindt de gateway met bestuurbare lokale systemen zoals zonnepanelen op het dak, warmtekrachtkoppeling, warmtepompen en EV-laden, met een servicetechnicus tijdens onderhoud, en met de consument die zijn eigen verbruik mag inzien. Het bewijs hier dekt de isolatie tussen de consumentenweergave en de apparaatgeheimen, en de reikwijdte van eventuele besturingscommando's die een lokaal systeem bereiken.
• Het wide-area-netwerk (WAN) verbindt de gateway met externe marktdeelnemers, de energieleveranciers, netbeheerders en de meetpuntbeheerder, en met de gatewaybeheerder. Dit is het vlootpad. Het bewijs hier dekt wederzijdse authenticatie, het beheer van certificaten, de pseudonimisering van metergegevens voordat die een marktdeelnemer bereiken, en de verwerkingsprofielen die bepalen welke gegevens waarheen gaan.

De beveiligingsmodule is het trust anchor. De BSI definieert het als de veilige opslaglocatie voor het cryptografische sleutelmateriaal, die de cryptografische kernroutines levert voor het maken en verifiëren van handtekeningen, sleutelgeneratie, sleutelovereenkomst en het genereren van willekeurige getallen. Is de beveiligingsmodule degelijk, dan kan de gateway op elk netwerk bewijzen wie hij is. Is hij zwak, dan rust elke andere controle stroomafwaarts op drijfzand. Het CRA-dossier moet de beveiligingsmodule behandelen als een genoemd onderdeel met eigen leveranciersbewijs, een eigen updateverhaal en een eigen grens in het diagram.

De gatewaybeheerder (GWA) configureert, beheert en bewaakt de gateway op afstand via het wide-area-netwerk. Hij pusht firmware, stelt configuratie- en verwerkingsprofielen in en houdt de vloot in de gaten. Vanuit CRA-oogpunt is de gatewaybeheerder een geprivilegieerd pad voor afstandsbesturing, vergelijkbaar met de auto-configuration-server op een router. Het dossier moet de identiteit van de beheerder vastleggen, de reikwijdte van de commando's die hij kan geven, het trust anchor waartegen hij authenticeert, en het auditspoor dat hij achterlaat.

Vervolgens stapelen zich verschillende controles op de verbinding, en elk daarvan is een apart stuk bewijs in het dossier.

Nationale regeling, apart spoor. Duitsland draait al een gedetailleerd nationaal regime voor dit apparaat onder de Wet op het beheer van meetpunten, gebouwd op een stapel BSI-standaarden:

• TR-03109-1: interoperabiliteitseisen voor de communicatie-eenheid, in de bredere TR-03109-familie. Nu op versie 2.0.
• TR-03109-4: de publieke-sleutelinfrastructuur voor Smart Metering.
• BSI-CC-PP-0073: Common Criteria-beschermingsprofiel voor de gateway. V2.0 gecertificeerd december 2024.
• BSI-CC-PP-0077: Common Criteria-beschermingsprofiel voor de beveiligingsmodule.

De eerdere basislijnen PP-0073 v1.3 en TR-03109-1 v1.1 blijven geldig tot en met 31 december 2027.

De CRA neemt TR-03109 niet over. Haar route loopt via haar eigen geharmoniseerde normen, ontwikkeld onder het normalisatieverzoek van de Commissie. Het noemen van de Duitse regeling dient eerlijke kadering: toezichthouders eisen al deze diepgang van beveiligingsarchitectuur van precies het apparaat dat de CRA nu als Kritiek aanmerkt, dus de lat die een gatewayfabrikant moet halen is niet theoretisch. Duitsland is ook niet de enige lat van vóór 2027. Een meter met radio is vandaag al de RED-cyberbeveiligingsvereisten verschuldigd, in elke markt, zoals de overlap met RED, MID, GDPR en NIS2 hieronder uiteenzet.

Hoe het conformiteitstraject werkt voor een Kritiek product

Omdat een gateway Kritiek is, is de route van zelfverklaring die een router van Belangrijke Klasse I kan gebruiken gesloten. Het volgt de externe route onder Artikel 32: een onderzoek door een derde partij of een volledige kwaliteitsborgingsaudit, of een Europees cyberbeveiligingscertificeringsschema zodra er een geldt onder Artikel 8. Er is nog geen schema verplicht gesteld voor gateways, dus vandaag is de route de beoordeling door een derde partij of via een kwaliteitssysteem, met het schema als toekomstige trigger om te volgen. De mechaniek van elke procedure staat in de conformiteitsbeoordeling-gids. De meterspecifieke valkuil is de metrologiegrens: een CRA-beoordeling tekent de wettelijk relevante meetfunctie niet af, dus houd het conformiteitsbewijs en de metrologiegoedkeuring als gescheiden records.

Welk bewijs moet het technisch dossier bevatten?

Het dossier moet een reviewer in staat stellen de gateway te volgen van productidentiteit tot beveiligingscontroles zonder te gissen. De tabel hieronder noemt de dossierspecifieke records die de vereistentabel hierboven nog niet dekte: identiteit, de Kritiek-bepaling, de conformiteitsuitkomst en de componenteninventaris. De twee records die het meeste gewicht dragen voor een metergateway, de levenscyclus van sleutels en certificaten en de verdeling tussen metrologierelevante en alleen-cyberbeveiligingswijzigingen, worden eronder volledig uitgetekend.

Releasepoort: geen batchgeheim, installatiecredential of ingetrokken gatewaybinding mag na rotatie of vervanging nog als een levende metergateway kunnen authenticeren. Het venster van verouderd vertrouwen is een toezegging van product en operator, geen universele constante. Artefact: resultaat van de intrekkingsdrill.

De beveiligingsmodule maakt de sleutellevenscyclus anders dan een generiek IoT-sleutelverhaal. Een geheim per apparaat wordt in de fabriek geïnjecteerd en verlaat de module nooit in leesbare vorm. Bij installatie bindt de installateur de gateway aan zijn meters en aan de operatorrol zonder ooit een batchsleutel aan te raken, zodat een gelekte installatiecredential geen vloot kan nabootsen. In bedrijf authenticeert de gateway naar de head-end met het geconfigureerde trust anchor en registreert elke aflezing, manipulatiegebeurtenis en update. Rotatie is gepland, incidentgedreven of getriggerd door een rolwijziging, en werkt zowel de gateway als het record van de operator bij. Bij buitenbedrijfstelling wordt de oude binding ingetrokken en worden de sleutels vernietigd of uitgeschakeld, zodat een geretourneerde of verwisselde gateway niet als een levende metergateway kan blijven optreden.

Het tweede meterspecifieke record is de verdeling tussen wettelijk relevante metrologiesoftware en alleen-cyberbeveiligingswijzigingen. Een gatewayfabrikant levert beveiligingsfixes veel vaker dan metrologiewijzigingen, en het dossier moet aantonen dat een beveiligingsupdate de goedgekeurde meetfunctie niet stilletjes heeft veranderd. De matrix hieronder is de beslissingshulp: hij vertelt de fabrikant waar de cyberbeveiligingsbeslissing wordt vastgelegd, en waar een aangrenzende metrologiegoedkeuring of een door de operator gecoördineerd wijzigingsvenster nodig is.

Verdeling tussen metrologie- en cyberbeveiligingsupdates. Beveiligingsfixes moeten worden getoetst aan wettelijk relevante software zonder te doen alsof de CRA de metrologiegoedkeuring vervangt.

Beslissingspoort: deze verdeling is geen sluiproute langs metrologie- of nutsbedrijfgoedkeuring. Hij vertelt de fabrikant waar de cyberbeveiligingsbeslissing wordt vastgelegd, en waar een aangrenzende goedkeuring of een operatorhold nodig is. De vraag die hij beantwoordt: kan deze fix worden geleverd als een cyberbeveiligingsupdate, of raakt hij wettelijk relevante metrologiesoftware? Artefact: record van de beslissing over metrologische impact per release.

Hoe een echte meterrisicobeoordeling eruitziet

Gebruik dit als voorbeeld van de diepgang die een dossier op Kritiek-niveau nodig heeft. De fabrikant moet de beoordeling nog steeds uitvoeren tegen zijn echte gateway, beveiligingsmodule, meterprotocolstack, communicatiemodule, leverancierscomponenten, update-eigenaarschap, verkoopclaims en belofte over de ondersteuningsperiode.

Asset-inventaris

Voorbeeldproduct: ExampleCo GridMeter G2, een slimme-metergateway gekoppeld aan elektriciteitsmeters, een cellulaire communicatiemodule, een hardware-beveiligingsmodule, een head-end-connector voor het nutsbedrijf, een consumentendisplay-interface, gesigneerde firmware-updates en een installatiehulpmiddel voor inbedrijfstelling.

De productgrens omvat de gatewayhardware, de beveiligingsmodule, de meterinterface, de communicatiemodule, de sleutelopslag, de head-end-connector, de consumentendisplay-interface, de firmware-updatedienst, het installatiehulpmiddel, de intake voor gecoördineerde openbaarmaking en het adviesproces. Hij sluit het facturatiesysteem van het nutsbedrijf uit, de wettelijke metrologiegoedkeuring, de netbeheersystemen en het energiecontract van de klant, tenzij dezelfde operator die als onderdeel van het product levert.

De meest privacygevoelige uitvoer van een gateway is de intervalaflezing. Fijnmazige verbruiksgegevens kunnen bewoning, apparaatgebruik en gedrag onthullen, dus het dossier heeft een duidelijk minimalisatieknelpunt nodig en een duidelijk antwoord op wat support tijdens een onderzoek kan zien. De stroom hieronder koppelt dat terug aan de controles voor pseudonimisering en verwerkingsprofielen uit de architectuursectie.

Vertrouwensgrenzen

Dreigingsscenario's

Initieel risicoregister

Koppeling van maatregelen en bewijs

Restrisico na maatregelen

Wat hoort in een SBOM van een slimme-metergateway?

De generieke SBOM-mechaniek, formaatkeuze en signering staan in de SBOM-gids, de HBOM-gids en de BSI TR-03183-gids. Wat specifiek is voor een gateway is de vorm van de boom. Het is een hardwareproduct dat veel digitale elementen op afzonderlijke updatecycli levert, zelden minder dan tien en vaak dichter bij twintig top-level-componenten, elk met een eigen leverancier, updatecadans en adviesfeed. Lijst ze op als één inventaris op productniveau met element-gescheiden secties, of één inventaris per geleverd element, zolang die machineleesbaar blijft en de top-level-afhankelijkheden dekt.

Houd de verplichting eerlijk. De CRA vraagt om een machineleesbare inventaris die ten minste de top-level-afhankelijkheden dekt, ververst over de ondersteuningsperiode, met bewaking van leveranciersadviezen zodat een bekende kwetsbaarheid in de modemfirmware of de protocolbibliotheek wordt getriageerd in plaats van gemist. Hij schrijft nog geen vast formaat of een diepgang voorbij de top-level-afhankelijkheden voor. Spiegel die formulering in plaats van een strengere regel te verzinnen.

De inventaris is geen passieve lijst. Artikel 13 laat u passende zorgvuldigheid betrachten wanneer u een component van een derde partij integreert, inclusief open-source, zodat die de cyberbeveiliging van de gateway niet verzwakt. Het gaat verder bij kwetsbaarheden. Vindt u er een in een geïntegreerde component, dan meldt u die aan de entiteit die die component fabriceert of onderhoudt, lost u die op in uw product onder de regels voor kwetsbaarheidsafhandeling van Bijlage I, en waar u een software- of hardwarefix hebt gebouwd, deelt u de relevante code of documentatie terug met die onderhouder. De cellulaire module en de beveiligingsmodule zijn niet zomaar regelitems. Elk is op zichzelf een product met digitale elementen, dat zijn eigen CRA-verplichtingen draagt, dus het advies over de modem-baseband en de errata van de beveiligingsmodule horen bij uw bewaking en uw stroomopwaartse melding, niet bij iemand anders.

Hoe moeten ondersteuning, updates en melding werken?

Een metervloot overleeft de meeste consumentenelektronica. Gateways blijven een decennium of langer in muren zitten, dus het ondersteuningsmodel is deel van het dossier, geen bijzaak. Het ondersteuningsbewijs moet de metrologiefirmware dekken, de gatewayfirmware, de beveiligingsmodule, de communicatiemodule, de head-end-connector en de installatiehulpmiddelen. Langlevende vloten hebben ook bewijs nodig voor de continuïteit van de certificeringsautoriteit, het verlopen van signeersleutels, baselines van reserve-gateways, en de scheiding tussen wettelijk relevante metrologiesoftware en alleen-cyberbeveiligingsupdates.

Beveiligingsupdates moeten worden gecoördineerd met de nutsbedrijven en de gatewaybeheerder zodat de velduitrol, de metrologische impact en de gebruikersmelding traceerbaar zijn. Een gatewayfabrikant kan geen vlootupdate pushen zoals een telefoonapp dat doet. De operator bezit het wijzigingsvenster, en het dossier moet die coördinatie tonen in plaats van die aan te nemen. De meldverplichtingen onder Artikel 14 starten op 11 september 2026, dus het disclosurebeleid en het enkele contact moeten daarvóór werken, terwijl de rest van de CRA geldt vanaf 11 december 2027, de datum waarop het conformiteitstraject en het technisch dossier compleet moeten zijn.

Eén overgangsregel telt zwaarder voor een metervloot dan voor bijna elk ander product. Een product dat vóór de toepassingsdatum op de markt is aangeboden, valt alleen onder de volledige CRA als het daarna ingrijpend wordt gewijzigd, dus een jaren eerder geïnstalleerde meter heeft niet met terugwerkende kracht het conformiteitstraject nodig. Eén verplichting doorbreekt die regel. De melding van actief misbruikte kwetsbaarheden en ernstige incidenten bereikt elk in-scope-product dat al op de markt is, inclusief de geïmplementeerde vloot (Artikel 69). Dus de fabrikant van jaren geleden uitgerolde meters is die melding nog steeds verschuldigd voor zijn geïmplementeerde vloot, en een nutsbedrijf draagt die alleen waar het de fabrikant van record is, bijvoorbeeld na herbranding of een ingrijpende wijziging. Breng de geïmplementeerde vloot vroeg in kaart tegen deze verdeling, want de meldverplichting landt vóór de rest van het dossier.

Wat importeurs, distributeurs en nutsbedrijven moeten controleren

Een gateway verdeelt zijn rollen vaak over meer marktdeelnemers dan een consumentenproduct: een meterfabrikant, een gatewayfabrikant, een nutsbedrijf dat de vloot kan herbranden of beheren, een gatewaybeheerder en een installateur. De overdrachtskaart hieronder toont wie elke pre-salecontrole beheert en wat de gateway bij elke rol stopt.

Custodypoort: de gateway mag een rol niet passeren totdat de ontvangen build overeenkomt met de beoordeelde build. Een gebrande firmware, een nieuwe operatorcloud of een gewijzigd beheerdersprofiel heropent de rolanalyse. Artefact: acceptatierecord van de inkomende build.

De generieke importeur- en distributeur-verplichtingen gelden net als voor elk product. De meterspecifieke controles gaan over de build en de sleutels. Importeurs en distributeurs moeten bevestigen dat de ontvangen build de beoordeelde build is, geen gebrande fork. Nutsbedrijven en installateurs moeten de sleutelprovisioning, de firmware-baseline, de workflow voor intrekking en vervanging en het profiel van de gatewaybeheerder controleren voordat zij een batch accepteren. Een nutsbedrijf dat de gateway onder eigen naam op de markt aanbiedt, de beheercloud draait of de firmware ingrijpend wijzigt, neemt fabrikantverplichtingen op zich voor die gebrande vloot, inclusief het contact voor kwetsbaarheidsmelding.

Een niet-EU-fabrikant van meters of modules kan een EU-gemachtigde vertegenwoordiger aanwijzen onder Artikel 18. Het artikel zegt "kan", dus het is een optie, geen plicht, en u moet een gemachtigde vertegenwoordiger niet als verplicht vastleggen. De routing is wat niet optioneel is. Een eigen-merk- of ingrijpend gewijzigd product maakt degene die het op de markt aanbood of wijzigde tot fabrikant. Het dossier moet benoemen wie een kwetsbaarheidsmelding ontvangt en wie de documentatie beschikbaar houdt wanneer de fabrikant buiten de EU zit. Beslis die routing in het grenswerk, niet aan de grens.

Hoe dit zich verhoudt tot RED, MID, GDPR en NIS2

De CRA landt niet op een leeg bureau. Een slimme meter draagt al andere CE-verplichtingen, en het nutsbedrijf dat de vloot draait heeft zijn eigen plichten. Vier overlappen bepalen hoeveel van het dossier werkelijk nieuw is.

Eén EU-conformiteitsverklaring noemt elke handeling die geldt, RED, MID, RoHS en de CRA daaronder. Twee zaken halen fabrikanten onderuit.

RED-cyberbeveiliging bindt een meter met radio vandaag al. Hij moet nu de normen EN 18031-1, -2 en -3 halen, vóór de CRA. Blijf aan beide voldoen totdat Gedelegeerde verordening (EU) 2026/339 de RED-cyberbeveiligingsregels intrekt op 11 december 2027, de toepassingsdatum van de CRA.

EMC en de Laagspanningsrichtlijn worden niet dubbel vermeld. Op een meter met radio draagt RED al de EMC- en veiligheidsdoelstellingen. Die twee richtlijnen gelden alleen op zichzelf voor een variant zonder radio.