Valt uw product onder de CRA?
Vier snelle stappen om indicatief te zien of de Cyber Resilience Act op uw product van toepassing is en in welke klasse — met de minimumverplichtingen en de technische documentatie die u nodig zult hebben.
Stap 1/4
Hoe de Cyber Resilience Act producten indeelt
Vier niveaus, één regel: wat het product doet telt, niet hoe groot de fabrikant is. De klasse bepaalt de conformiteitsprocedure, niet de meldplichten — die gelden voor iedereen.
Verordening (EU) 2024/2847 verdeelt producten met digitale elementen in vier groepen. De eerste is de regel, de andere drie zijn opgesomde uitzonderingen: bijlage III noemt de „belangrijke” producten in twee klassen, bijlage IV de „kritieke”. Buiten die lijsten geldt de standaardcategorie.
Standaardcategorie: de regel, niet de uitzondering
Hier komt de grote meerderheid van verbonden producten terecht. De fabrikant beoordeelt de conformiteit zelf via interne productiecontrole: geen externe instantie, geen certificering. De verplichtingen blijven volledig — essentiële eisen van bijlage I, proces voor het omgaan met kwetsbaarheden, technische documentatie, EU-conformiteitsverklaring, CE-markering. „Zelf beoordelen” betekent niet „minder verplichtingen”: het betekent dat u het bewijs zelf levert.
Belangrijke producten, klasse I (bijlage III)
Producten waarvan de compromittering de weg naar andere opent: browsers, wachtwoordmanagers, antivirus, VPN's, besturingssystemen, routers, SIEM-systemen, verbonden speelgoed met locatiebepaling. Zelfbeoordeling blijft mogelijk, maar met toepassing van de relevante geharmoniseerde normen waar die bestaan; anders loopt de weg via een typeonderzoek bij een aangemelde instantie. Het verschil met de standaardcategorie is niet het aantal verplichtingen, maar hoe aantoonbaar de wijze waarop u eraan voldeed moet zijn.
Belangrijke producten, klasse II (bijlage III)
Een korte lijst: hypervisors en containerruntimes, firewalls en IDS/IPS-systemen, manipulatiebestendige microprocessors en microcontrollers. Beoordeling door een derde partij is hier doorgaans verplicht. Dit is de klasse die releaseplannen het sterkst verschuift, want de agenda van een aangemelde instantie bepaalt u niet: dit drie maanden voor de lancering ontdekken is al een planningsprobleem.
Kritieke producten (bijlage IV)
Hardwareapparaten met security boxes, slimme-metergateways, smartcards en secure elements. Hiervoor kan de Commissie een Europese cyberbeveiligingscertificering op niveau „substantieel” of hoger verplicht stellen — het EUCC-schema is vandaag de referentie. Het is de langste en meest documentgedreven route.
Wat de klasse bepaalt
De kernfunctionaliteit van het product, niet de sector waarin u verkoopt en niet uw omzet. Een microcontroller wordt „belangrijk” als hij beveiligingsfuncties draagt; hetzelfde onderdeel zonder die functies blijft in de standaardcategorie. Het is een lezing op het echte product, onderdeel voor onderdeel, en in grensgevallen er een om aan een deskundige voor te leggen: de definitieve indeling blijft de verantwoordelijkheid van de fabrikant.
De termen die dit hulpmiddel gebruikt — product met digitale elementen, fabrikant, ondersteuningsperiode, belangrijk product, kritiek product — staan in de woordenlijst, elk naast het bijbehorende artikel van de verordening.
Wat de klasse niet verandert
De meldplichten van art. 14 hangen niet af van de klasse. Vierentwintig uur voor de vroegtijdige waarschuwing, tweeënzeventig voor de kwetsbaarheidsmelding, daarna het eindverslag: ze gelden voor de standaardcategorie precies zoals voor kritieke producten, en ook voor producten die al op de markt zijn. De klasse bepaalt hoe u conformiteit aantoont; art. 14 bepaalt wat u doet op de dag dat iemand een kwetsbaarheid van u misbruikt.
De keten van termijnen, en de twee gebeurtenissen die haar starten, staan op de pagina over art. 14.
Wat dit hulpmiddel niet doet
Het levert geen indeling die tegenover een autoriteit geldt en vervangt geen conformiteitsbeoordeling. Het volgt de beslisboom van de verordening op de antwoorden die u geeft en laat zien waar die antwoorden uitkomen: is een antwoord onnauwkeurig, dan is de uitkomst dat ook. Het dient om u in vijf minuten te oriënteren en te zien welke vragen u meeneemt naar wie conformiteit als vak heeft.