De Cyber Resilience Act, Verordening (EU) 2024/2847, verdeelt producten met digitale elementen in vier niveaus. Alles binnen het toepassingsgebied is "standaard", tenzij het de kernfunctionaliteit heeft van een van de 19 categorieën van klasse I of de 4 categorieën van klasse II van bijlage III, wat het "belangrijk" maakt, of van een van de 3 categorieën van bijlage IV, wat het "kritiek" maakt. Het niveau bepaalt de conformiteitsbeoordelingsprocedure, niet of de verordening van toepassing is. De bijlagen noemen elke categorie in één regel. Artikel 7(4) droeg de Commissie op de technische beschrijving van elke categorie vast te stellen, en Uitvoeringsverordening (EU) 2025/2392 van de Commissie van 28 november 2025 doet dat in twee bijlagen: bekendgemaakt in het Publicatieblad op 1 december 2025, van kracht sinds 21 december 2025.
De beschrijvingen zijn de tekst waartegen een aangemelde instantie en een markttoezichtautoriteit indelen. De richtsnoeren van de Commissie over de toepassing van de verordening, C(2026) 5252 van 27 juli 2026, deel 6, zeggen hoe u ze leest. Dit artikel geeft beide: de zes regels van de richtsnoeren met hun voorbeelden, en alle 26 beschrijvingen woordelijk, in de eigen bewoordingen van het Publicatieblad voor deze taal.
De toets: kernfunctionaliteit
Punt 139 van de richtsnoeren: "De kernfunctionaliteit van een product met digitale elementen verwijst naar de belangrijkste kenmerken en technische mogelijkheden van dat product, zonder welke het zijn beoogde doel niet zou kunnen vervullen." Zij wordt beoordeeld "in het licht van de specifieke context en gebruiksomstandigheden van dat product", rekening houdend met "de informatie die de fabrikant verstrekt in de gebruiksaanwijzing, in promotie- of verkoopmateriaal en -verklaringen, en in de technische documentatie". Overweging 2 van de uitvoeringsverordening zegt hetzelfde in één zin: krachtens de artikelen 7(1) en 8(1) "bepaalt de kernfunctionaliteit van een product met digitale elementen of dat product met digitale elementen aan de technische beschrijving van een categorie voldoet".
Daaruit volgen zes regels, elk met een voorbeeld in de richtsnoeren.
1. Bijkomende functies veranderen het niveau niet. Punt 140: producten "vervullen vaak, zo niet altijd, aanvullende functies die niet bijdragen aan de kernfunctionaliteit van het product", en het vervullen van functies "andere dan of aanvullend op" de beschrijving van een categorie "belet het product op zichzelf niet een dergelijke kernfunctionaliteit te hebben". Overweging 4 van de uitvoeringsverordening geeft het voorbeeld: besturingssystemen "omvatten vaak software die bijkomende functies vervult die niet in de technische beschrijving van die productcategorie zijn opgenomen, zoals rekenmachines of eenvoudige grafische editors".
2. Een belangrijk of kritiek product integreren maakt u er geen. Punt 141, onder verwijzing naar artikel 7(1): "de loutere integratie van een belangrijk of kritiek product met digitale elementen maakt het product met digitale elementen op zichzelf niet tot een belangrijk of kritiek product". Voorbeeld 58 is een smartphone: hij integreert een besturingssysteem, maar "de smartphone als geheel heeft een andere kernfunctionaliteit". Overweging 3 van de uitvoeringsverordening gebruikt een nieuwsapp met een ingebedde browser, die daardoor geen browser wordt, terwijl de fabrikant nog steeds "de beveiliging van het hele product moet evalueren, in voorkomend geval rekening houdend met de beveiliging van de componenten".
3. Wezenlijk meer, of wezenlijk minder, is een ander product. Punt 142: een product kan op een categorie lijken "terwijl zijn kernfunctionaliteit die wezenlijk kan overstijgen of er wezenlijk bij kan achterblijven". Voorbeeld 59: SOAR-software kan wat een SIEM doet, maar haar kernfunctionaliteit "overstijgt die van een SIEM wezenlijk, met diensten zoals incidentrespons", zodat zij "doorgaans niet wordt geacht de kernfunctionaliteit van SIEM-systemen te hebben". Voorbeeld 60: tools voor logverzameling en -visualisatie die dashboards tonen, "voeren geen datacorrelatie uit en bieden geen bruikbare beveiligingsinzichten", en blijven dus achter bij een SIEM. Aanvullende functies die een wel overeenkomende kernfunctionaliteit "louter aanvullen of verbeteren", halen het product er niet uit.
4. U kunt zich er niet uit beschrijven. Punt 143: een fabrikant "mag de kernfunctionaliteit niet verkeerd voorstellen" om aan een strenger regime te ontsnappen, "bijvoorbeeld door de rol van bepaalde functies overmatig te benadrukken of te bagatelliseren", en "duidelijke inconsistenties tussen promotiemateriaal, gebruiksaanwijzing en technische documentatie" zijn waaraan dat zou blijken.
5. Eén kernfunctionaliteit per product, opgenomen in het technisch dossier. Punt 144: een product "mag niet meer dan één kernfunctionaliteit hebben voor het bepalen van het toepasselijke conformiteitsbeoordelingsregime", en aangezien bijlage VII vereist dat het beoogde doel en de conformiteitsprocedure worden beschreven, "moet de kernfunctionaliteit van het product daarom duidelijk worden geïdentificeerd".
6. Afzonderlijk verkochte modules zijn eigen producten. Punt 145: waar modules van een suite "afzonderlijk te koop, in licentie of in abonnement worden aangeboden", vormt elk "een zelfstandig product met digitale elementen" ingedeeld naar zijn eigen kernfunctionaliteit. Voorbeeld 61 is een beveiligingssuite waarvan de SIEM-module klasse I is, de inbraakdetectiemodule klasse II en de analysemodule standaard. Modules "die uitsluitend als componenten van een geïntegreerd product met digitale elementen worden geleverd en niet afzonderlijk beschikbaar worden gesteld", worden ingedeeld op het niveau van het geïntegreerde product.
Wat het niveau verandert, en wat niet
Deel 6.2 herhaalt artikel 32. Standaardproducten hebben altijd de interne controleprocedure, module A. Producten van klasse I hebben die alleen wanneer een geharmoniseerde norm, gemeenschappelijke specificatie of certificeringsregeling op zekerheidsniveau substantieel volledig wordt toegepast; punt 149 voegt toe dat "het toepassingsgebied van de norm ten minste alle cyberbeveiligingsrisico's in verband met de kernfunctionaliteit van dat product moet dekken", en punt 151 dat de risico's van aanvullende functies dan "via andere middelen" moeten worden gedekt en gedocumenteerd. Voorbeeld 62 is een antivirus met schijfopruiming en anti-tracking: een geharmoniseerde norm voor de kern, aanvullende maatregelen voor de rest, en de interne controleprocedure voor het geheel. Voorbeeld 63 is een router met geïntegreerde firewall: ingedeeld als router, klasse I, hoewel firewalls klasse II zijn, omdat "het de kernfunctionaliteit van het product met digitale elementen als geheel is, en niet de functionaliteit van de afzonderlijk beschouwde geïntegreerde componenten, die" het niveau bepaalt (punt 152). Producten van klasse II en kritieke producten hebben een aangemelde instantie of een certificeringsregeling nodig, met de opensource-uitzondering van artikel 32(5). Punt 146 merkt op dat het verkeerd toepassen van artikel 32 "administratieve geldboeten overeenkomstig artikel 64(3) kan meebrengen".
Niets hiervan raakt de meldplicht: artikel 14 geldt voor elk niveau gelijk.
De 26 beschrijvingen, woordelijk
De categorienamen zijn bijlage III en IV van de verordening; de beschrijvingen zijn bijlage I en II van de uitvoeringsverordening, voetnootverwijzingen verwijderd, alinea's samengevoegd. Waar het Publicatieblad zegt "deze categorie omvat onder meer", somt het voorbeelden op en definieert het de categorie niet.
| Ref. | Categorie (bijlage III / IV) | Technische beschrijving (Uitvoeringsverordening 2025/2392) |
|---|---|---|
| III.I.1 | Software en hardware voor identiteitsbeheersystemen en voor het beheer van geprivilegieerde toegang, met inbegrip van lezers voor authenticatie en toegangscontrole, waaronder biometrische lezers | Identiteitsbeheersystemen zijn producten met digitale elementen die mechanismen bevatten voor authenticatie of autorisatie en die ook mechanismen kunnen bevatten voor het beheer van de levenscyclus van identiteitsgegevens van natuurlijke personen, rechtspersonen, apparaten of systemen, zoals identiteitsregistratie, -voorziening, -onderhoud en -uitschrijving. Deze systemen omvatten toegangsbeheersystemen die de toegang van natuurlijke personen, rechtspersonen, apparaten of systemen tot digitale hulpmiddelen of fysieke locaties regelen. Software voor het beheer van geprivilegieerde toegang is een toegangsbeheersysteem dat de toegangsrechten tot IT- en OT-systemen en gevoelige informatie binnen een organisatie regelt en monitort, inclusief systemen die een gedifferentieerd toegangscontrolebeleid voor geprivilegieerde gebruikers handhaven. Deze categorie omvat, maar is niet beperkt tot, lezers voor authenticatie en toegangscontrole, biometrische lezers, software voor single sign-on, gefedereerde software voor identiteitsbeheer, software voor een eenmalig wachtwoord, hardware-authenticatieapparaten zoals generators voor transactie-authenticatienummers (TAN), authenticatiesoftware en multifactorauthenticatiesoftware. |
| III.I.2 | Op zichzelf staande en ingebedde browsers | Softwareproducten met digitale elementen waarmee eindgebruikers toegang kunnen krijgen tot webcontent en -diensten die worden gehost op servers die verbonden zijn met netwerken zoals het internet, ze zichtbaar kunnen maken en ermee kunnen communiceren. Ze omvatten doorgaans een browser-engine voor de interpretatie en weergave van content die in markuptaal is geschreven (bv. HTML), ondersteuning voor webprotocollen (bv. HTTP, HTTPS), de mogelijkheid om scripts uit te voeren en gebruikersinput te beheren, en de opslag van tijdelijke of permanente gegevens van websites (cookies). Deze categorie omvat, maar is niet beperkt tot, op zichzelf staande toepassingen die de functies vervullen van browsers, ingebedde browsers die bedoeld zijn voor integratie in een ander systeem of een andere toepassing, en browsers met een geïntegreerde AI-agent. |
| III.I.3 | Wachtwoordbeheerders (“Wachtwoordbeheer”) | Producten met digitale elementen die wachtwoorden opslaan (lokaal op een apparaat of op afstand op een server), waaronder activiteiten zoals het genereren en delen wachtwoorden en de integratie met lokale toepassingen of toepassingen van derden voor het gebruik van wachtwoorden. Deze categorie omvat, maar is niet beperkt tot, lokale, bedrijfs- en hardware-wachtwoordbeheerders en wachtwoordbeheerders die als browserextensies aangeboden worden. |
| III.I.4 | Software die kwaadaardige software opzoekt, verwijdert of in quarantaine plaatst | Softwareproducten met digitale elementen, doorgaans antivirus- of antimalware genoemd, die kwaadaardige software of code op apparaten detecteren, zoeken, verwijderen of in quarantaine plaatsen om de integriteit, vertrouwelijkheid of beschikbaarheid van de apparaten te handhaven. Binnen deze productcategorie wordt onder “kwaadaardige software” software verstaan met kwaadaardige kenmerken of vermogens die direct of indirect schade kunnen toebrengen aan de gebruiker en/of het computersysteem, zoals virussen, wormen, ransomware, spyware en Trojaanse paarden. Deze categorie omvat, maar is niet beperkt tot, software die kwaadaardige software in realtime of handmatig detecteert of zoekt, rootkitdetectie en reddingsdisks met als belangrijkste functionaliteit het zoeken, verwijderen of in quarantaine plaatsen van kwaadaardige software. |
| III.I.5 | Producten met digitale elementen met de functie van virtueel particulier netwerk (VPN) | Producten met digitale elementen die een versleutelde logische tunnel tot stand brengen die is opgebouwd uit de systeembronnen van een fysiek of virtueel netwerk. Deze categorie omvat, maar is niet beperkt tot, clients, servers en gateways van virtuele particuliere netwerken. |
| III.I.6 | Netwerkbeheersystemen | Producten met digitale elementen die verbonden netwerkelementen beheren, zoals servers, routers, netwerkswitches, werkstations, printers en mobiele apparaten, door die te monitoren en hun netwerkwerking en -configuratie te regelen. Deze categorie omvat, maar is niet beperkt tot, end-to-endbeheersystemen en specifieke configuratiebeheersystemen, zoals controllers voor softwaregedefinieerde netwerken. |
| III.I.7 | Security information and event management-systemen (SIEM) (beveiligingsinformatie en evenementenbeheer) | Producten met digitale elementen die gegevens uit meerdere bronnen verzamelen, analyseren, correleren en presenteren als bruikbare informatie voor veiligheidsdoeleinden, zoals de opsporing van dreigingen en incidenten, forensisch onderzoek of nalevingsdoeleinden. |
| III.I.8 | Bootmanagement | Softwareproducten met digitale elementen die het proces van de initiële start van het systeem beheren na opstart/herstart door hardware te initialiseren, de besturing te laden of de controle over te dragen aan de besturingssysteemomgeving of de systeembronnen, en startopties te selecteren. Deze categorie omvat, maar is niet beperkt tot, UEFI-firmware en eenfase- en meerfasenopstartladers. |
| III.I.9 | Publiekesleutelinfrastructuur en software voor de afgifte van digitale certificaten | Producten met digitale elementen die worden gebruikt als onderdeel van een publiekesleutelinfrastructuur (PKI) en de validering, creatie, afgifte, distributie, statuspublicatie, vernieuwing of intrekking van digitale certificaten of de generatie, opslag, escrow, uitwisseling, vernietiging of doorgave van cryptografische sleutels die verband houden met dergelijke digitale certificaten beheren. Deze categorie omvat, maar is niet beperkt tot, sleutelbeheerssystemen, digitale systemen voor certificaatbeheer, OCSP-responders (Online Certificate Status Protocol) en all-in-one PKI-oplossingen. |
| III.I.10 | Fysieke en virtuele netwerkinterfaces | Fysieke netwerkinterfaces zijn producten met digitale elementen die een apparaat rechtstreeks met een netwerk verbinden via een applicatieprogramma-interface (API) die wordt geleverd door de interface-stuurprogramma’s die doorgaans op de datalinklaag werken, en die voorzien zijn van hardware-adapters voor transmissiemedia met overeenkomstige firmware die doorgaans op de fysieke en de datalinklaag werkt. Virtuele netwerkinterfaces zijn producten met digitale elementen die een apparaat rechtstreeks of onrechtstreeks verbinden met een netwerk via een API die die van bestuurders van fysieke netwerkinterfaces die doorgaans op de datalinklaag werken, simuleert. Deze categorie omvat, maar is niet beperkt tot, bedrade en draadloze netwerkinterfacekaarten, controllers en adapters, zoals voor wifi, Ethernet, IrDA, USB, Bluetooth, NearLink, Zigbee of Fieldbus, en ook louter virtuele, op zichzelf staande producten, zoals virtuele netwerkinterfacekaarten, containernetwerkinterfaces en VPN-interfaces. |
| III.I.11 | Besturingssystemen | Softwareproducten met digitale elementen die een abstracte interface van de onderliggende hardware bieden en de uitvoering van software regelen, en die diensten kunnen verlenen zoals computermiddelenbeheer en -configuratie, planning, input-outputbeheer, gegevensbeheer en een interface waarlangs toepassingen interageren met systeemmiddelen en randapparatuur. Deze categorie omvat, maar is niet beperkt tot, realtime-besturingssystemen en besturingssystemen voor algemene en voor speciale doeleinden. |
| III.I.12 | Routers, modems bestemd voor verbinding met het internet, en netwerkswitches | Routers zijn producten met digitale elementen die de gegevensstroom tussen verschillende netwerken tot stand brengen en regelen door paden of routes te kiezen met behulp van routeringsprotocolmechanismen en algoritmen die doorgaans op de netwerklaag werken. Deze categorie omvat, maar is niet beperkt tot, bedrade en draadloze routers, virtuele routers en routers met of zonder modems. Modems bestemd voor verbinding met het internet zijn hardwareproducten met digitale elementen die gebruikmaken van digitale modulatie- en demodulatietechnieken om analoge signalen om te zetten van en naar digitale signalen voor IP-communicatie. Deze categorie omvat onder meer glasvezel-, DSL- (Digital Subscriber Line), kabel- (DOCSIS), satelliet- en cellulaire modems. Netwerkswitches zijn producten met digitale elementen die verbinding leggen tussen genetwerkte apparaten via pakkettransportmechanismen en die een beheerslaag hebben, doorgaans op de datalink- of de netwerklaag. Deze categorie omvat, maar is niet beperkt tot, beheers-, slimme en meerlagige switches, virtuele beveiligingsswitches, programmeerbare switches voor softwaregedefinieerde netwerken en bruggen zoals draadloze toegangspunten. |
| III.I.13 | Microprocessoren met beveiligingsgerelateerde functies | Producten met digitale elementen die geïntegreerde schakelingen zijn die centrale verwerkingsfuncties uitvoeren op basis van extern geheugen en randapparatuur, waaronder microcode en andere eenvoudige firmware. Daarnaast bieden ze beveiligingsgerelateerde functies, zoals versleuteling, authenticatie, veilige sleutelopslag, willekeurige nummergeneratie, betrouwbare uitvoeringsomgevingen of andere op hardware gebaseerde beschermingsmechanismen, om andere producten, netwerken of diensten te beveiligen buiten de microprocessor zelf, zoals een beveiligde opstartketen, virtualisatie of beveiligde communicatie-interfaces. |
| III.I.14 | Microcontrollers met beveiligingsgerelateerde functies | Producten met digitale elementen die geïntegreerde schakelingen zijn die centrale verwerkingsfuncties uitvoeren met integratie van het geheugen, waardoor de microcontroller en doorgaans ook andere randapparatuur (zoals microcode en andere eenvoudige firmware) programmeerbaar worden. Daarnaast bieden ze beveiligingsgerelateerde functies, zoals versleuteling, authenticatie, veilige sleutelopslag, willekeurige nummergeneratie, betrouwbare uitvoeringsomgevingen of andere op hardware gebaseerde beschermingsmechanismen, om andere producten, netwerken of diensten te beveiligen buiten de microcontrollers zelf, zoals een beveiligde opstartketen, virtualisatie of beveiligde communicatie-interfaces. |
| III.I.15 | Toepassingsspecifieke geïntegreerde schakelingen (ASIC) en veld-programmeerbare gatearrays (FPGA) met beveiligingsgerelateerde functies | ASIC met beveiligingsgerelateerde functies zijn producten met digitale elementen die geïntegreerde schakelingen zijn die geheel of gedeeltelijk op maat zijn ontworpen om een specifieke functie te vervullen of een specifieke toepassing uit te voeren, zoals microcode en andere eenvoudige firmware. Daarnaast bieden ze beveiligingsgerelateerde functies, zoals versleuteling, authenticatie, veilige sleutelopslag, willekeurige nummergeneratie, betrouwbare uitvoeringsomgevingen of andere op hardware gebaseerde beschermingsmechanismen, om andere producten, netwerken of diensten te beveiligen buiten de ASIC zelf, zoals een beveiligde opstartketen, virtualisatie of beveiligde communicatie-interfaces. FPGA met beveiligingsgerelateerde functies zijn producten met digitale elementen die geïntegreerde schakelingen zijn en worden gekenmerkt door een matrix van configureerbare logische blokken die zijn ontworpen om na fabricage herprogrammeerbaar te zijn om een specifieke functie te vervullen of een specifieke toepassing uit te voeren, zoals microcode en andere eenvoudige firmware. Daarnaast bieden ze beveiligingsfuncties, zoals versleuteling, authenticatie, veilige sleutelopslag, willekeurige nummergeneratie, betrouwbare uitvoeringsomgevingen of andere op hardware gebaseerde beschermingsmechanismen, om andere producten, netwerken of diensten te beveiligen buiten de FPGA zelf, zoals een beveiligde opstartketen, virtualisatie of beveiligde communicatie-interfaces. |
| III.I.16 | Virtuele assistenten voor slimme huizen voor algemene doeleinden | Producten met digitale elementen die rechtstreeks of via andere apparatuur op het openbare internet communiceren en die behoeften, taken of vragen op basis van natuurlijke taal vereisen, zoals audio- of schriftelijke input, en die op basis van die behoeften, taken of vragen toegang bieden tot andere diensten of de functies van verbonden apparaten in residentiële instellingen regelen. Deze categorie omvat, maar is niet beperkt tot, slimme luidsprekers met een geïntegreerde virtuele assistent, en op zichzelf staande virtuele assistenten die aan deze beschrijving voldoen. |
| III.I.17 | Producten voor slimme huizen met beveiligingsfuncties, met inbegrip van slimme deursloten, beveiligingscamera’s, babymonitoringsystemen en alarmsystemen | Producten met digitale elementen die de fysieke veiligheid van consumenten in een residentiële omgeving beschermen en op afstand vanuit andere systemen geregeld of beheerd kunnen worden, alsook hardware en software die dergelijke producten centraal beheren. Deze categorie omvat, maar is niet beperkt tot, slimme deurvergrendelingen, babymonitoringsystemen, alarmsystemen en beveiligingscamera’s voor woningen. |
| III.I.18 | Met het internet verbonden speelgoed dat onder Richtlijn 2009/48/EG van het Europees Parlement en de Raad ( 1 ) valt en sociale interactieve functies (bv. spreken of filmen) of locatietraceringsfuncties heeft | Met internet verbonden speelgoed dat sociale interactieve functies heeft, zijn producten met digitale elementen die onder Richtlijn 2009/48/EG vallen, rechtstreeks of via andere apparatuur op het openbare internet communiceren en ingebedde technologie bevatten die inkomende en uitgaande communicatie mogelijk maken, zoals een toetsenbord, microfoon, luidspreker of camera. Met internet verbonden speelgoed dat locatietraceringsfuncties heeft, zijn producten met digitale elementen die onder Richtlijn 2009/48/EG vallen, rechtstreeks of via andere apparatuur op openbare internet communiceren en technologie bevatten waarmee de geografische locatie van het speelgoed of de gebruiker ervan kan worden gevolgd of afgeleid. Als het speelgoed alleen de nabijheid van de gebruiker of ander speelgoed detecteert met behulp van detectietechnologie, wordt het speelgoed niet geacht locatietraceringsfuncties te hebben. |
| III.I.19 | Persoonlijke wearables die op een menselijk lichaam moeten worden gedragen of geplaatst en bedoeld zijn voor gezondheidsmonitoring (zoals tracking) en die niet onder Verordening (EU) 2017/745 ( 2 ) of (EU) 2017/746 van het Europees Parlement en de Raad ( 3 ) vallen, of persoonlijke wearables die bestemd zijn voor gebruik door en voor kinderen | Persoonlijke wearables die op een menselijk lichaam moeten worden gedragen of geplaatst en bedoeld zijn voor gezondheidsmonitoring, zijn producten met digitale elementen die rechtstreeks of via kleding of accessoires op het lichaam worden gedragen en die regelmatig of voortdurend informatie, waaronder lichaamsgegevens, kunnen verwerken met betrekking tot de gezondheid van de gebruiker, met uitzondering van producten die binnen het toepassingsgebied van Verordening (EU) 2017/745 of Verordening (EU) 2017/746 vallen. Deze categorie omvat, maar is niet beperkt tot, fitnesstrackers, smartwatches, slimme juwelen, slimme kleding en sportkleding die aan deze beschrijving voldoen. Persoonlijke wearables die bestemd zijn voor gebruik door en voor kinderen zijn producten met digitale elementen die rechtstreeks of via kleding of accessoires op het lichaam kunnen worden gedragen of geplaatst van personen jonger dan 14 jaar. Deze categorie omvat, maar is niet beperkt tot, wearables voor kinderveiligheid. |
| III.II.1 | Hypervisors en containerruntimesystemen die de gevirtualiseerde uitvoering van besturingssystemen en soortgelijke omgevingen ondersteunen | Hypervisors zijn softwareproducten met digitale elementen die computermiddelen onttrekken en/of toewijzen en de uitvoering, het beheer en de orkestratie van virtuele machines mogelijk maken die logisch van elkaar en/of van de fysieke hardware gescheiden zijn. Hypervisors kunnen rechtstreeks werken op hardware (onbedekt metaal), op een besturingssysteem of in een andere virtuele machine (ingebedde virtualisatie). Binnen deze productcategorie wordt onder “virtuele machine” een softwaregedefinieerde logische scheiding van een computeromgeving verstaan die een gevirtualiseerde reeks hardware-middelen (bv. CPU, geheugen, opslag, netwerkinterfaces) omvat en gewoonlijk een eigen besturingssysteem host. Deze categorie omvat, maar is niet beperkt tot, hypervisors van type 1 (onbedekt metaal), hypervisors van type 2 (gehost op een besturingssysteem) en hybride hypervisors. Containerruntimesystemen zijn softwareproducten met digitale elementen die de uitvoering en levenscyclus van containers beheren die op één enkel hostbesturingssysteem lopen als geïsoleerde processen, middelen toewijzen en het beheer en de orkestratie van individuele containers mogelijk maken. Binnen deze productcategorie wordt onder “container” een op software gebaseerde uitvoeringsomgeving verstaan waaronder een of meer softwarecomponenten en de afhankelijkheden ervan in één pakket vallen, zodat hij onafhankelijk en consistent kan werken. |
| III.II.2 | Firewalls, inbraakdetectiesystemen en inbraakpreventiesystemen | Firewalls zijn producten met digitale elementen die een verbonden netwerk of systeem tegen ongeoorloofde toegang beschermen door het datacommunicatieverkeer van en naar dat netwerk te monitoren en te beperken. Deze categorie omvat, maar is niet beperkt tot, firewalls voor netwerken en toepassingen, zoals firewalls of filters voor webtoepassingen en antispam-gateways. Inbraakdetectiesystemen zijn producten met digitale elementen die het verkeer op verdachte activiteiten monitoren nadat het in de netwerkomgeving terechtkomt en die detecteren of vaststellen dat een inbraak heeft plaatsgevonden, plaatsvindt of heeft plaatsgevonden op een verbonden netwerk of systeem. Deze categorie omvat, maar is niet beperkt tot, netwerk- en host-gebaseerde inbraakdetectiesystemen. Inbraakpreventiesystemen zijn producten met digitale elementen die bestaan uit een inbraakdetectiesysteem dat actief reageert op een inbraak op een verbonden netwerk of systeem. Deze categorie omvat, maar is niet beperkt tot, netwerk- en host-gebaseerde inbraakpreventiesystemen. |
| III.II.3 | Manipulatiebestendige microprocessoren | Producten met digitale elementen die microprocessoren zijn met beveiligingsgerelateerde functies als bedoeld in tabel “Klasse I”, punt 13, van deze bijlage, inclusief bewijs van manipulatie, weerstand of reactie, en die bovendien zijn ontworpen om een beschermingsniveau van AVA_VAN 2 of 3 te bieden, zoals bepaald in de gemeenschappelijke criteria en de gemeenschappelijke evaluatiemethode. |
| III.II.4 | Manipulatiebestendige microcontrollers | Producten met digitale elementen die microcontrollers zijn met beveiligingsgerelateerde functies als bedoeld in tabel “Klasse I”, punt 14, van deze bijlage, inclusief bewijs van manipulatie, weerstand of reactie, en die bovendien zijn ontworpen om een beschermingsniveau van AVA_VAN 2 of 3 te bieden, zoals bepaald in de gemeenschappelijke criteria en de gemeenschappelijke evaluatiemethode. |
| IV.1 | Hardwareapparaten met beveiligingskastje | Hardwareproducten met digitale elementen die gevoelige gegevens veilig opslaan, verwerken of beheren of cryptografische bewerkingen uitvoeren, en die bestaan uit meerdere afzonderlijke componenten, met een fysieke hardware-enveloppe die bewijs van manipulatie, weerstand of reactie biedt als tegenmaatregelen tegen fysieke aanvallen. Deze categorie omvat, maar is niet beperkt tot, fysieke betaalterminals, hardware-beveiligingsmodules die cryptografische elementen genereren en beheren, en tachografen die aan de bovenstaande beschrijving voldoen. |
| IV.2 | Gateways voor slimme meters binnen slimme-metersystemen zoals gedefinieerd in artikel 2, punt 23, van Richtlijn (EU) 2019/944 van het Europees Parlement en de Raad ( 1 ) en andere apparaten voor geavanceerde beveiligingsdoeleinden, onder meer voor beveiligde cryptoverwerking | Gateways voor slimme meters zijn producten met digitale elementen die de communicatie regelen tussen componenten in of verbonden met slimme-metersystemen zoals gedefinieerd in artikel 2, punt 23, van Richtlijn (EU) 2019/944, en gemachtigde derden, zoals nutsbedrijven. Dergelijke gateways verzamelen, verwerken en slaan meter- of persoonsgegevens op, beschermen gegevens- en informatiestromen door specifieke cryptografische behoeften (zoals versleuteling en ontsleuteling van gegevens) te ondersteunen, incorporeren firewall-functionaliteiten en bieden de middelen om andere apparaten te beheren. Deze categorie omvat, maar is niet beperkt tot, gateways voor slimme meters met betrekking tot slimme-metersystemen die elektriciteit meten zoals gedefinieerd in artikel 2, punt 23, van Richtlijn (EU) 2019/944. Ze kan ook gateways voor slimme meters omvatten die worden gebruikt in andere slimme-metersystemen die het verbruik van andere energiebronnen meten, zoals gas of warmte, mits de gateway aan deze beschrijving voldoet. |
| IV.3 | Smartcards of soortgelijke apparaten, met inbegrip van secure elements (beveiligde elementen) | Beveiligde elementen zijn microcontrollers of microprocessoren met beveiligingsgerelateerde functies, waaronder bewijs van manipulatie, weerstand of respons. Doorgaans bewaren, verwerken of beheren ze cryptografische acties of gevoelige gegevens, zoals identiteits- of betalingsgegevens. Beveiligde elementen zijn ontworpen om minstens een beschermingsniveau van AVA_VAN.4 te bieden, zoals uiteengezet in de gemeenschappelijke criteria of de gemeenschappelijke evaluatiemethode. Ze kunnen op zichzelf staand silicium zijn of kunnen worden geïntegreerd in systemen-op-chip (SoC). Beveiligde elementen kunnen een toepassingsomgeving of een besturingssysteem incorporeren en een of meer toepassingen omvatten. Deze categorie omvat, maar is niet beperkt tot, Trusted Platform Modules (TPM’s) en ingebedde Universal Integrated Circuit Cards (UICC’s). Smartcards of soortgelijke apparaten zijn beveiligde elementen die in een dragermateriaal zijn geïntegreerd, zoals plastic of hout, in de vorm van een kaart, of beveiligde elementen die in dragermaterialen zijn geïntegreerd en andere vormen aannemen. Deze categorie omvat, maar is niet beperkt tot, identiteits- en reisdocumenten, gekwalificeerde handtekeningkaarten, vervangbare UICC’s, fysieke betaal- en toegangskaarten, digitale tachograafkaarten of polsbanden met geïntegreerde beveiligde betaalelementen. |
Wat u vastlegt
Voor elk product dat u in de handel brengt: de kernfunctionaliteit in één zin, in de woorden van de beschrijving waarmee zij overeenkomt of de vaststelling dat zij met geen enkele overeenkomt; de bijkomende functies die u onder regel 1 terzijde legt; de componenten die u integreert en die zelf in de lijst staan, terzijde gelegd onder regel 2; waar het product op een categorie lijkt, of het die overstijgt of erbij achterblijft en waarom, onder regel 3; en, voor een suite, welke modules afzonderlijk worden verkocht. Die pagina is de indeling waar een aangemelde instantie om zal vragen, de invoer voor de toepassingsbepaling, die nu onder elke categorie de beschrijving toont, en de reden waarom uw technisch dossier de ene conformiteitsprocedure noemt en niet de andere.
Bronnen
- Verordening (EU) 2024/2847, artikel 7(1) en (4), artikel 8(1), artikel 32, artikel 64(3), bijlage III, bijlage IV, bijlage VII.
- Uitvoeringsverordening (EU) 2025/2392 van de Commissie van 28 november 2025, overwegingen 1 tot 5, artikelen 1 tot 3, bijlage I en bijlage II, gelezen bij het Publicatiebureau op 12 september 2026.
- Europese Commissie, richtsnoeren van de Commissie over de toepassing van Verordening (EU) 2024/2847, C(2026) 5252 final van 27 juli 2026, bijlage, deel 6, punten 136 tot 152 en voorbeelden 57 tot 63.
Dit is geen juridisch advies. De beschrijvingen zijn de eigen woorden van de wet en de voorbeelden die van de Commissie; de indeling van uw product is de uwe, en zij is het eerste wat een markttoezichtautoriteit zal lezen.