Wat zijn geharmoniseerde normen CRA? Status en tracker

Geharmoniseerde normen zijn de technische specificaties die de brede eisen uit Bijlage I van de Cyber Resilience Act omzetten in concrete, toetsbare bepalingen. Deze pagina legt uit wat ze zijn en volgt elk ontwerp onder normalisatieverzoek M/606 van de Europese Commissie: de productcategorie, het orgaan dat de norm opstelt, de huidige status en een link naar elk publiek ontwerp.

Wat een geharmoniseerde norm is

De Cyber Resilience Act formuleert haar essentiële cyberbeveiligingseisen in brede juridische termen. Een geharmoniseerde norm is een technische specificatie, opgesteld door een Europese normalisatieorganisatie op verzoek van de Europese Commissie, die die eisen omzet in concrete, toetsbare bepalingen.

Een geharmoniseerde norm krijgt pas rechtsgevolg zodra de Commissie de vermelding ervan publiceert in het Publicatieblad van de Europese Unie (PbEU). Vanaf dat moment wordt een product dat aan de norm voldoet, vermoed te voldoen aan de eisen die de norm dekt. In de praktijk doet dat twee dingen:

• het geeft fabrikanten een erkende, controleerbare manier om naleving aan te tonen; en
• voor belangrijke producten in Klasse I laat het toepassen van een gepubliceerde geharmoniseerde norm de fabrikant zelf beoordelen via interne controle in plaats van een aangemelde instantie in te schakelen. Het neemt niet de beoordeling door derden weg die Klasse II- en kritieke producten nodig hebben, en gewone producten buiten die niveaus kunnen al op eigen kracht zelf beoordelen.

Geharmoniseerde normen zijn een van drie routes naar dat vermoeden. Een certificaat onder een Europese cyberbeveiligingscertificeringsregeling is een andere, op grond van artikel 27, lid 8, hoewel nog geen regeling is erkend voor de CRA.

Status, stand 2 oktober 2026: voor geen enkele geharmoniseerde norm voor de CRA is een vermelding in het Publicatieblad gepubliceerd. EN 40000-1-1 en EN 40000-1-2 zijn geslaagd in de formele stemming van CEN-CENELEC, en hun ratificatie als EN staat gepland voor 2 november 2026. CEN-CENELEC verwacht voor geen van beide een vermelding in het Publicatieblad. De 17 productspecifieke ETSI-ontwerpen zitten in de goedkeuringsprocedure van ETSI, en elke andere norm in de tabellen hieronder is nog een ontwerp. Het normgebaseerde vermoeden van conformiteit onder Artikel 27, lid 1 is dus nog niet beschikbaar. Goedkeuring, ratificatie als EN en vermelding in het Publicatieblad zijn aparte mijlpalen, en alleen de vermelding geeft het vermoeden. Gebruik de ontwerpen om de eisen te anticiperen, niet als afgeronde basis voor conformiteit.

Horizontale en verticale normen

De Commissie hanteert een tweevoudige aanpak: elk ontwerpnorm is een van twee soorten:

• Horizontale normen stellen een gemeenschappelijk kader, methodologie en taxonomie vast en gelden voor elk product met digitale elementen.
• Verticale normen (ook wel productspecifiek) bestrijken de specifieke risico's van één producttype, zoals routers of antivirussoftware.

De drie normtypen en hun deadlines

Normalisatieverzoek M/606 verdeelt het werk in drie typen. De deadlines in de tabel zijn opleverdeadlines: de datum waarop de normalisatieorganisatie haar norm aan de Commissie moet aanleveren. Het zijn geen publicatiedatums. Een norm geeft het Artikel 27-vermoeden van conformiteit pas zodra de vermelding ervan verschijnt in het Publicatieblad, en dat volgt op de oplevering op een tijdpad dat de Commissie nog niet heeft vastgesteld.

Een paar zaken die de tabel niet expliciet vermeldt:

• Type A, kader: het overkoepelende Bijlage I-principe luidt: "Producten met digitale elementen worden zodanig ontworpen, ontwikkeld en geproduceerd dat zij een passend cyberbeveiligingsniveau op basis van de risico’s waarborgen." CEN-CENELEC registreert voor EN 40000-1-2 geen verwachte vermelding in het Publicatieblad. De norm stelt het kader en de methode voor risicobeheer vast, zonder een vermoeden van conformiteit te geven.
• Type B, kwetsbaarheidsafhandeling: bouwt voort op bestaand ISO/IEC-werk en beslaat het volledige proces, van ontdekking en triage tot herstel.
• Type C, productspecifiek: moet consistent blijven met Type A en Type B, en geldt voor zowel belangrijke als kritieke productcategorieën.

Type A en Type B vormen de horizontale delen van de EN 40000-1-reeks. Type C omvat alle productspecifieke normen in de per-categorie-tabellen hieronder, inclusief de CEN-productnormen EN 40000-10 en EN 40000-11.

Hoe de normen worden ontwikkeld

De Commissie heeft CEN, CENELEC en ETSI gevraagd deze normen op te stellen via normalisatieverzoek M/606, uitgevaardigd bij Uitvoeringsbesluit van de Commissie C(2025) 618 final (3 februari 2025):

• ETSI (Technisch Comité CYBER, CYBER-EUSR) stelt de normen op voor de meeste belangrijke software- en verbonden-productcategorieën. Deze dragen EN 304 6xx- referenties en zijn het verst gevorderd; hun ontwerpen zijn publiek in de open consultatiemap van ETSI CYBER-EUSR, met projecthistorie in de ETSI Labs STAN4CRA-repositories, en zijn hieronder per stuk gelinkt.
• CEN en CENELEC stellen de horizontale normen op (de delen van de EN 40000-1-reeks), de operationele-technologieprofielen (EN 50770-reeks), de platformnormen voor chips en secure elements (EN 40001-3 t/m EN 40004-3) en het werk voor identiteit, beveiligingskastjes en smartcards in CEN/TC 224 (EN 40000-10, EN 40000-11 en EN 18330). Hiervoor is er geen enkele publieke map; de status wordt gevolgd via de DIN/DKE CRA-normalisatieprojectenmatrix, de zoekfunctie voor CEN/CENELEC-normen en het technische werk van STAN4CRA.

Een ontwerp doorloopt werkgroepversies en een openbare CEN Enquiry (voor ETSI een open consultatie en goedkeuringsstemming), en daarna ratificatie als EN. CEN-CENELEC kan een afzonderlijke formele stemming overslaan en direct publiceren na een positieve Enquiry. Ratificatie is nog niet de eindstreep: de Commissie moet de vermelding daarna in het Publicatieblad opnemen, en pas die vermelding activeert het vermoeden van conformiteit. Op 2 oktober 2026 zijn EN 40000-1-1 en EN 40000-1-2 geslaagd in de formele stemming, en hun ratificatie is gepland voor 2 november 2026. De 17 productspecifieke ETSI-ontwerpen zitten in de goedkeuringsprocedure van ETSI. Geen norm op deze pagina is nog geratificeerd of vermeld in het Publicatieblad. De Commissie heeft geen tijdschema voor vermeldingen in het Publicatieblad bevestigd.

Hoe u de status leest

De tabellen hieronder zijn gegroepeerd per CRA-conformiteitsniveau. Horizontale normen gelden voor elk product; de verticale (productspecifieke) normen zijn gesplitst in Belangrijk Klasse I, Belangrijk Klasse II en Kritiek, omdat het niveau de conformiteitsroute bepaalt. De normreferentie toont wie de norm opstelt:

• EN 304 6xx: ETSI.
• EN 40000-1-x: CEN-CLC/JTC 13.
• EN 40000-10, EN 40000-11 en EN 18330: CEN/TC 224.
• EN 50770: CLC/TC 65X operationele-technologieprofielen die naast de ETSI-normen voor dezelfde functies lopen.
• EN 40001-3 t/m EN 40004-3: CLC/TC 47X. Ze vervangen de eerdere projectverwijzingen EN 50765, EN 50766, EN 50764 en EN 50767, in die volgorde.

Geen enkele norm heeft nog "Aangenomen (EN geratificeerd)" of "Gepubliceerd in PbEU" bereikt. EN 40000-1-1 en EN 40000-1-2 staan op "Formele stemming geslaagd", met ratificatie gepland voor 2 november 2026. De status weerspiegelt het meest recente publieke bewijs op de datum bovenaan deze pagina.

Horizontale normen: de EN 40000-serie

De delen van de EN 40000-1-reeks, opgesteld door CEN-CLC/JTC 13, gelden voor elk product met digitale elementen, bovenop elke verticale (productspecifieke) norm in de secties hieronder. EN 40000-10 en EN 40000-11 zijn productnormen van CEN/TC 224 en staan in de niveautabellen.

De database van CEN-CENELEC registreert "No citation expected for Directive 2024/2847" voor EN 40000-1-1 en EN 40000-1-2. Een norm geeft pas een vermoeden van conformiteit zodra de vermelding ervan in het Publicatieblad staat. Deze twee delen leggen dus het gedeelde vocabularium en de methode voor risicobeheer vast, maar openen op zichzelf geen conformiteitsroute. Voor EN 40000-1-3 wordt wel een vermelding verwacht.

Belangrijke producten: Klasse I

Deze dekken de Klasse I-categorieën uit Bijlage III. Het toepassen van een gepubliceerde geharmoniseerde norm laat een Klasse I-fabrikant zelf beoordelen via interne controle; zonder zo'n norm moet conformiteit op een andere manier worden aangetoond.

Belangrijke producten: Klasse II

Klasse II-producten hebben altijd beoordeling door een derde (aangemelde instantie) nodig; een geharmoniseerde norm ontgrendelt voor hen geen zelfbeoordeling.

Kritieke producten

Kritieke producten (Bijlage IV) moeten een Europese cyberbeveiligingscertificeringsregeling gebruiken waar er een verplicht is, of anders dezelfde derde-partijroutes als Klasse II. Een geharmoniseerde norm neemt die eis niet weg. Inzendingen 39, 40 en 41 worden in een besloten omgeving ontwikkeld omdat ze gevoelige kritieke producten bestrijken. Daarom zijn de ontwerpen niet openbaar.