De EU-conformiteitsverklaring is het kortste document in het papierwerk van de Cyber Resilience Act en het document met het meeste gewicht erop. Artikel 28(1) van Verordening (EU) 2024/2847 zegt wat het is: de verklaring "wordt door fabrikanten opgesteld overeenkomstig artikel 13, lid 12, en vermeldt dat is aangetoond dat aan de toepasselijke essentiële cyberbeveiligingsvereisten van bijlage I is voldaan". Artikel 28(4) zegt wat ondertekenen betekent: "Door de EU-conformiteitsverklaring op te stellen, neemt de fabrikant de verantwoordelijkheid voor de conformiteit van het product met digitale elementen op zich." De technische documentatie laat het werk zien; de verklaring is de handtekening van de fabrikant eronder. Dit artikel is wat de verklaring moet bevatten, gelezen uit bijlage V, de regels eromheen en een uitgewerkt voorbeeld.

Waar zij in de volgorde staat

Artikel 13(12) legt de volgorde vast. Vóór het in de handel brengen van een product stelt de fabrikant de technische documentatie van artikel 31 op, voert de conformiteitsbeoordelingsprocedure van artikel 32 uit of laat die uitvoeren en stelt, wanneer die procedure de conformiteit met deel I van bijlage I voor het product en deel II voor de processen van de fabrikant heeft aangetoond, de EU-conformiteitsverklaring onder artikel 28 op en brengt de CE-markering onder artikel 30 aan. De FAQ van de Commissie, sectie 6.8, noemt het gevolg onomwonden: de verklaring kan niet worden ondertekend als de fabrikant niet een van de relevante conformiteitsbeoordelingsprocedures met een positief resultaat heeft uitgevoerd. Wat module A, de procedure die de meeste softwarefabrikanten zullen gebruiken, werkelijk vereist, heeft zijn eigen artikel; de verklaring is de laatste stap ervan.

Twee documenten kunnen de verklaring naar de gebruiker brengen. Artikel 13(20): fabrikanten "verstrekken een kopie van de EU-conformiteitsverklaring of een vereenvoudigde EU-conformiteitsverklaring bij het product", en een vereenvoudigde "bevat die het juiste internetadres waarop de volledige EU-conformiteitsverklaring kan worden geraadpleegd". De volledige verklaring volgt het model van bijlage V; de vereenvoudigde is de ene zin van bijlage VI. Beide worden beschikbaar gesteld in de talen die zijn voorgeschreven door de lidstaat waar het product in de handel wordt gebracht of op de markt wordt aangeboden (artikel 28(2)).

Bijlage V, de acht punten

Bijlage V zegt dat de verklaring "alle volgende informatie" omvat, en noemt acht punten. De tabel geeft elk punt en wat een softwarefabrikant ertegenover schrijft.

Punt Wat bijlage V vraagt Wat te schrijven
1 Naam en type van het product en eventuele aanvullende informatie die de unieke identificatie ervan mogelijk maakt De productnaam, de type- of modelaanduiding en de versie of het versiebereik dat de verklaring dekt. De FAQ zegt dat de verklaring aan het individuele product is gekoppeld en niet alleen aan het type of model, maar dat een unieke identificatie per eenheid niet nodig is.
2 Naam en adres van de fabrikant of de gemachtigde vertegenwoordiger De rechtspersoon die het product in de handel brengt, met zijn postadres, in overeenstemming met artikel 13(16) en bijlage II punt 1.
3 Een vermelding dat de verklaring wordt verstrekt onder de uitsluitende verantwoordelijkheid van de aanbieder Het woord van de verordening is hier "aanbieder", in elke taal van het Publicatieblad; de CRA kent verder alleen fabrikanten, en artikel 28(4) legt de verantwoordelijkheid bij de fabrikant. De vermelding noemt de fabrikant.
4 Voorwerp van de verklaring: identificatie van het product aan de hand waarvan het kan worden getraceerd, indien passend met een foto Voor software dezelfde identificatie als in punt 1 plus wat het traceerbaar maakt: een build-identificatie, een hash van het release-artefact, of de downloadlocatie met versiestring.
5 Een verklaring dat het hierboven beschreven voorwerp in overeenstemming is met de desbetreffende harmonisatiewetgeving van de Unie De verordening, aangehaald met haar publicatiegegevens. Waar andere Uniehandelingen voor het product ook een verklaring vereisen, al die handelingen (artikel 28(3)).
6 Verwijzingen naar alle gebruikte relevante geharmoniseerde normen of andere gemeenschappelijke specificaties of cyberbeveiligingscertificering met betrekking waartoe de conformiteit is aangegeven Op 12 september 2026 is er geen geharmoniseerde norm aangehaald onder de verordening en geen gemeenschappelijke specificatie, dus een fabrikant van de standaardcategorie schrijft dat de conformiteit onder module A rechtstreeks tegen bijlage I is beoordeeld, en noemt de technische specificaties die hij heeft toegepast.
7 Indien van toepassing, de naam en het nummer van de aangemelde instantie, een beschrijving van de uitgevoerde conformiteitsbeoordelingsprocedure en de identificatie van het afgegeven certificaat Alleen waar een aangemelde instantie betrokken was: modules B en C of module H. Bij module A wordt de procedure genoemd en is de rest niet van toepassing.
8 Aanvullende informatie; ondertekend voor en namens, plaats en datum van afgifte, naam, functie, handtekening Wie ondertekent, bindt de fabrikant onder artikel 28(4); de datum ligt vóór het in de handel brengen.

Punt 3 verdient de kanttekening. "Aanbieder" is het woord van bijlage V van de AI-verordening, Verordening (EU) 2024/1689, waar de marktdeelnemer de aanbieder is en waarvan punt 3 hetzelfde luidt, en het staat in de CRA in elke taal van het Publicatieblad. Er hangt niets van af: de verklaring is die van de fabrikant, en de eigen beschrijving van de FAQ is dat de fabrikant verklaart dat het product aan de CRA voldoet en daarvoor de verantwoordelijkheid op zich neemt.

De regels eromheen

Talen. Artikel 28(2): beide vormen worden beschikbaar gesteld in de talen die zijn voorgeschreven door de lidstaat waar het product in de handel wordt gebracht of op de markt wordt aangeboden. Een product dat in de hele Unie wordt verkocht, kan de verklaring in meer dan één taal nodig hebben; de technische documentatie niet (artikel 13(22) vraagt een taal die de verzoekende autoriteit gemakkelijk kan begrijpen).

Eén verklaring voor alle Uniehandelingen. Artikel 28(3): wanneer voor een product uit hoofde van meer dan één Uniehandeling een EU-conformiteitsverklaring vereist is, "wordt één EU-conformiteitsverklaring met betrekking tot al dergelijke rechtshandelingen van de Unie opgesteld", met vermelding van elke handeling en haar publicatiegegevens. De FAQ voegt, uit de Blauwe Gids, toe dat de enkele verklaring een dossier van de relevante afzonderlijke conformiteitsverklaringen kan zijn. Een verbonden apparaat onder de richtlijn radioapparatuur en de CRA heeft één verklaring, of één dossier.

Productfamilies. De richtsnoeren van de Commissie C(2026) 5252, punten 174 en 175: varianten, modellen of configuraties die dezelfde architectuur, hetzelfde beveiligingsrelevante ontwerp en hetzelfde beoogde doel delen en aan dezelfde risico's zijn blootgesteld, mogen steunen op één risicobeoordeling, één technische documentatie en één conformiteitsbeoordeling, wat één EU-conformiteitsverklaring voor de productgroep mogelijk maakt, zolang die duidelijk aangeeft op welke productvarianten zij van toepassing is.

Versies. Artikel 28(2) zegt dat de verklaring "waar passend bijgewerkt" wordt. De FAQ: een nieuwe versie van het product kan een nieuwe conformiteitsverklaring nodig hebben, vooral wanneer zij een substantiële wijziging doorvoert, wat het punt is waarop een product dat al in de handel is onder de verordening komt.

Bewaren. Artikel 13(13): de technische documentatie en de verklaring worden gedurende ten minste 10 jaar na het in de handel brengen van het product, of gedurende de ondersteuningsperiode als die langer is, ter beschikking van de markttoezichtautoriteiten gehouden. Module A punt 4.2 herhaalt het en voegt toe dat een kopie "op verzoek aan de relevante autoriteiten verstrekt" wordt. Het mandaat van een gemachtigde vertegenwoordiger moet hem toestaan beide voor dezelfde periode te bewaren (artikel 18(3)).

De CE-markering. Voor software staat artikel 30(1) toe dat de markering op de verklaring zelf of op de website bij het product wordt aangebracht; het artikel over de CE-markering heeft de details. Bijlage II punt 6 vraagt dat de gebruikersinformatie, indien van toepassing, het internetadres geeft waarop de verklaring kan worden geraadpleegd, en dat is het adres waarnaar de vereenvoudigde vorm verwijst.

Verderop in de keten. Importeurs moeten er vóór het in de handel brengen voor zorgen dat het product vergezeld gaat van de in artikel 13(20) bedoelde verklaring (artikel 19(2)); distributeurs verifiëren dat de fabrikant en de importeur onder meer artikel 13(20) hebben nageleefd (artikel 20(2)). Een ontbrekende verklaring houdt het product tegen bij de eerste wederverkoper die de verordening leest.

Een uitgewerkt voorbeeld

Ons voorbeeld, voor een fictieve fabrikant, in de volgorde van bijlage V. Het is een model van de structuur, geen formulier om over te nemen zonder de punten hierboven te lezen.

  1. Product: Ledger Desktop, type LD-4, versies 4.2.0 en later binnen de 4.x-reeks, voor Windows en macOS.
  2. Fabrikant: Example Software GmbH, Musterstraße 1, 10115 Berlijn, Duitsland.
  3. Deze EU-conformiteitsverklaring wordt verstrekt onder de uitsluitende verantwoordelijkheid van de fabrikant.
  4. Voorwerp van de verklaring: Ledger Desktop LD-4, versie 4.2.0, release-artefacten geïdentificeerd door de SHA-256-hashes gepubliceerd op example.com/ledger/releases.
  5. Het hierboven beschreven voorwerp van de verklaring is in overeenstemming met Verordening (EU) 2024/2847 van het Europees Parlement en de Raad van 23 oktober 2024 (Cyber Resilience Act), PB L, 2024/2847, 20.11.2024.
  6. Geharmoniseerde normen, gemeenschappelijke specificaties of certificeringen: geen aangehaald onder de verordening op de datum van afgifte. Conformiteit beoordeeld volgens de procedure van interne controle (module A) van bijlage VIII tegen de essentiële eisen van bijlage I, met toepassing van de technische specificaties opgesomd in de technische documentatie, sectie 5.
  7. Aangemelde instantie: niet van toepassing.
  8. Ondertekend voor en namens Example Software GmbH, Berlijn, 1 december 2027, Jane Doe, algemeen directeur.

En de vereenvoudigde vorm, de zin die bijlage VI voorschrijft, met de lege plekken ingevuld: "Hierbij verklaart Example Software GmbH dat het product met digitale elementen type Ledger Desktop LD-4 in overeenstemming is met Verordening (EU) 2024/2847. De volledige tekst van de EU-conformiteitsverklaring kan worden geraadpleegd op het volgende internetadres: example.com/ledger/conformity."

Wat een ontbrekende of foute verklaring kost

Artikel 58(1) noemt de vaststellingen waarbij een markttoezichtautoriteit van de betrokken fabrikant vereist "dat die een einde maakt aan de non-conformiteit"; twee van de zes zijn dat "de EU-conformiteitsverklaring is niet opgesteld" en dat zij "niet correct opgesteld" is. Als de non-conformiteit voortduurt, beperkt of verbiedt de lidstaat het op de markt aanbieden van het product, of laat hij het terugroepen of uit de handel nemen (artikel 58(2)). Artikel 64(3) plaatst artikel 28 in de tweede boetetrap: tot 10 000 000 EUR of 2 % van de totale wereldwijde jaaromzet, als dat hoger is. Een onjuiste verklaring is ook het eerste wat een autoriteit leest: zij noemt het product, de fabrikant, de procedure en de normen, en elk daarvan is aan de documentatie te toetsen.

De verklaring is het zevende van de elf documenten van het pakket technische documentatie, opgesteld uit het productrecord met de acht punten in de volgorde van bijlage V, zodat wat op de dag wordt ondertekend is wat de documentatie zegt. Wat de documentatie zelf bevat is het bijbehorende stuk.

Bronnen

  • Verordening (EU) 2024/2847 (CRA), artikel 13(12), (13), (16), (20) en (22), artikel 18(3), artikel 19(2), artikel 20(2), artikel 28, artikel 30(1), artikel 58, artikel 64(3), bijlage II punt 6, bijlage V, bijlage VI, bijlage VIII deel I punt 4.2.
  • Europese Commissie, FAQ over de Cyber Resilience Act, versie 1.4 van 4 september 2026, sectie 6.8.
  • Europese Commissie, richtsnoeren C(2026) 5252 van 27 juli 2026, punten 174 en 175.
  • Verordening (EU) 2024/1689 (AI-verordening), bijlage V, voor de herkomst van de formulering van punt 3.

Dit is geen juridisch advies. De verklaring bindt de fabrikant die haar ondertekent; de tekst om vóór het ondertekenen te lezen is die van de verordening.