Ja. De Cyber Resilience Act, Verordening (EU) 2024/2847, brengt producten met digitale elementen onder het CE-markeringsregime dat al decennia geldt voor machines, speelgoed en radioapparatuur. Vanaf 11 december 2027 wordt een product binnen de reikwijdte, hardware of software, met een CE-markering op de EU-markt gebracht, en de markering beweert dat de fabrikant de conformiteit met de essentiële eisen van bijlage I heeft aangetoond.

Voor softwarebedrijven is dit nieuw, en de voor de hand liggende vraag is waar een markering komt op iets zonder oppervlak. Artikel 30 beantwoordt die rechtstreeks.

Waar de markering komt

Artikel 30, lid 1: de CE-markering wordt zichtbaar, leesbaar en onuitwisbaar op het product aangebracht. Waar dat door de aard van het product niet mogelijk of niet gerechtvaardigd is, komt ze op de verpakking en op de EU-conformiteitsverklaring die het product vergezelt. Dan, specifiek voor software: "voor producten met digitale elementen in de vorm van software wordt de CE-markering aangebracht op de in artikel 28 bedoelde EU-conformiteitsverklaring of op de website die het softwareproduct vergezelt. In het laatste geval is het betrokken gedeelte van de website gemakkelijk en rechtstreeks toegankelijk voor consumenten."

Een softwarefabrikant heeft dus twee opties: de markering op de conformiteitsverklaring, of de markering in een gedeelte van de productwebsite dat een consument rechtstreeks kan bereiken. Elk van beide volstaat. De meesten zullen beide doen, omdat de verklaring toch moet bestaan en het websitegedeelte is wat een koper ziet.

Artikel 30, lid 2, staat vanwege de aard van het product een markering kleiner dan 5 mm toe, mits ze zichtbaar en leesbaar blijft. Artikel 30, lid 3: ze wordt aangebracht voordat het product in de handel wordt gebracht.

Wat de markering beweert, en wie haar aanbrengt

De CE-markering is de verklaring van de fabrikant, op eigen verantwoordelijkheid, dat het product aan de toepasselijke eisen voldoet en dat de conformiteitsbeoordeling is uitgevoerd. Voor een standaardproduct is die beoordeling de interne controle van de fabrikant zelf; voor belangrijke en kritieke producten is een aangemelde instantie betrokken. Artikel 30, lid 4: waar een aangemelde instantie betrokken was bij de procedure van volledige kwaliteitsborging (module H), volgt haar identificatienummer op de CE-markering, aangebracht door de instantie of volgens haar instructies.

Onder artikel 30, lid 5, geeft de ene markering, waar het product ook onder andere harmonisatiewetgeving van de Unie met CE-markering valt, de conformiteit met alles aan. Een verbonden apparaat dat al CE-gemarkeerd is onder de radioapparatuurrichtlijn krijgt geen tweede markering; de bestaande markering beweert nu ook CRA-conformiteit, wat betekent dat het technische dossier erachter die bewering nu moet dragen.

De verklaring erachter: artikel 28 en bijlage V

De markering is zo goed als de EU-conformiteitsverklaring waarop ze rust. Artikel 28: de verklaring wordt door de fabrikant opgesteld, stelt dat is aangetoond dat aan de toepasselijke essentiële eisen van bijlage I is voldaan, volgt de modelstructuur van bijlage V, bevat de elementen die de relevante conformiteitsbeoordelingsprocedure van bijlage VIII voorschrijft, wordt actueel gehouden en wordt beschikbaar gesteld in de talen die de lidstaat waar het product in de handel wordt gebracht vereist. Een vereenvoudigde verklaring, naar het model van bijlage VI, mag het product vergezellen en naar de volledige verwijzen.

De verklaring en de technische documentatie worden gedurende tien jaar na het in de handel brengen van het product of gedurende de ondersteuningsperiode, wat langer is, ter beschikking van de nationale autoriteiten gehouden. De verklaring zelf, bijlage V punt voor punt met een uitgewerkt voorbeeld, heeft haar eigen artikel.

Wat dit betekent voor een softwarereleaseproces

Drie dingen veranderen op het moment van release.

Een poort vóór "in de handel gebracht". De verklaring moet zijn ondertekend en de markering aangebracht voordat de versie die de eisen voor het eerst in werking stelt, beschikbaar wordt gemaakt. Een product dat voor het eerst na 11 december 2027 verschijnt, heeft ze bij de lancering nodig; een product dat al op de markt is, heeft ze nodig bij de eerste substantiële wijziging na die datum.

Een plek op de website. Een gedeelte dat consumenten rechtstreeks kunnen bereiken, met de CE-markering en, verstandig, de verklaring zelf en de gebruikersinformatie die bijlage II vereist: het contact voor kwetsbaarheden, de ondersteuningsperiode, hoe updates worden geïnstalleerd.

Een dossier dat bij de geleverde versie past. De markering op versie 4 beweert dat het technische dossier versie 4 beschrijft. Een releaseproces dat de verklaring en het dossier met het product bijwerkt, is het verschil tussen een markering en een versiering.

Wat het niet betekent

De CE-markering is geen certificaat en geen autoriteit geeft haar af. Ze is geen bewijs van beveiliging; ze is het bewijs dat de fabrikant conformiteit heeft beweerd en daaraan kan worden gehouden door de markttoezichtautoriteit van zijn lidstaat. Haar aanbrengen zonder het dossier erachter is de inbreuk die artikel 64 in zijn tweede trede beprijst.

De procedure die in de markering eindigt, module A van bijlage VIII, met de activiteitenlijst van de Commissie, de twee vormen van de conformiteitsverklaring en het tijdschema van de geharmoniseerde normen, is een apart artikel.

Bronnen

  • Verordening (EU) 2024/2847, artikel 30, leden 1 tot en met 5 (geciteerd voor software), artikel 28 en de bijlagen V en VI (de verklaring), bijlage VIII deel I punt 4 (markering en verklaring bij interne controle), artikel 64, artikel 69 en artikel 71, lid 2, voor de datums. Gelezen in de tekst van het Publicatieblad op EUR-Lex op 11 september 2026.

Dit is geen juridisch advies. Artikel 30 is negen zinnen; lees het voordat u beslist waar uw markering komt.