Twee woorden dragen meer van de Cyber Resilience Act, Verordening (EU) 2024/2847, dan alle andere: "in de handel gebracht". De essentiële eisen gelden op dat moment (artikel 13(1)). De overgangsregel van artikel 69(2) zegt dat producten die vóór 11 december 2027 in de handel zijn gebracht "alleen onder de verordening vallen indien zij vanaf die datum substantieel worden gewijzigd". Het niveau, de ondersteuningsperiode, het technisch dossier, alles hangt aan een product, en artikel 3(21) zegt dat een product in de handel wordt gebracht wanneer het "voor het eerst op de markt wordt aangeboden". Voor een router is dat een levering. Voor software die wordt uitgeleverd als download, als vermelding in een app store of als client die de klant installeert, was niet duidelijk welk moment dat was, of zelfs of het geleverde überhaupt een product was. De richtsnoeren van de Commissie over de toepassing van de verordening, C(2026) 5252 van 27 juli 2026, delen 2.1 en 2.2, punten 10 tot 21 met de voorbeelden 1 tot 6, beantwoorden beide. Dit artikel is die punten, met de overgangsantwoorden uit de FAQ van de Commissie, versie 1.4 van 4 september 2026.

Welke software een product met digitale elementen is

Punt 20 geeft de toets: "een softwareproduct met digitale elementen moet aan een gebruiker worden geleverd, door die gebruiker worden verkregen en worden uitgevoerd op, of als onderdeel van, een elektronisch informatiesysteem aan de kant van de gebruiker". Software "die wordt gedownload, geïnstalleerd of anderszins aan de gebruiker geleverd en die op het elektronische informatiesysteem van de gebruiker wordt uitgevoerd, voldoet aan die criteria, ook bijvoorbeeld waar zij de vorm aanneemt van een browserextensie of een met webtechnologieën ontwikkelde toepassing die voor lokale uitvoering wordt geleverd".

Punt 21 geeft de andere kant: "software die op afstand wordt uitgevoerd en waartoe de gebruiker slechts toegang heeft, is alleen daarom nog geen product met digitale elementen". Dat "is doorgaans het geval voor webapplicaties, met inbegrip van progressive web apps, wanneer zij uitsluitend via een webbrowser worden benaderd", en voor websites, die "zelf niet als producten met digitale elementen worden beschouwd" en alleen onder de verordening vallen "voor zover zij als gegevensverwerking op afstand kwalificeren" voor een product dat er wel een is.

De vier voorbeelden tekenen de kaart voor een softwarebedrijf. Een mobiele app die uit een store wordt gedownload en geïnstalleerd, is een product (voorbeeld 3). Een desktoptoepassing "gebouwd met webtechnologieën maar verpakt voor lokale installatie" is een product (voorbeeld 4). "Een webapplicatie waartoe de gebruiker uitsluitend via een webbrowser toegang heeft, is geen product met digitale elementen", maar "een toepassing die aan de gebruiker wordt geleverd als lokaal geïnstalleerde client die op het apparaat van de gebruiker wordt uitgevoerd, is dat wel", en als die client voor een functie afhangt van verwerking op afstand, is die verwerking ook deel van het product (voorbeeld 5). Een website die informatie presenteert, is geen product (voorbeeld 6). Of een product vervolgens onder het toepassingsgebied valt, is artikel 2 en de toets van de commerciële activiteit; het artikel over het toepassingsgebied en de gratis bepaling nemen het vandaar over.

Een bedrijf dat dezelfde functionaliteit aanbiedt als browsergebaseerde SaaS en als desktopclient heeft dus één ding buiten de verordening en één erbinnen, en de datumvraag van de verordening geldt voor het tweede.

Wanneer zelfstandige software in de handel wordt gebracht

Punt 11 herinnert aan de regel van de Blauwe Gids dat in de handel brengen betrekking heeft "op elk individueel product, niet op een producttype". Punt 13 past die vervolgens aan voor software, die "niet onderworpen is aan fysieke productie- of voorraadbeperkingen: elke handeling waarbij de software voor download of distributie beschikbaar wordt gesteld, leidt tot het aanmaken van een nieuwe identieke kopie voor de gebruiker". De conclusie: "Zolang deze versie van de software niet wordt gewijzigd op een wijze die de naleving van de CRA raakt, wordt het in de handel brengen op de EU-markt geacht te hebben plaatsgevonden op het moment van het eerste aanbod voor distributie of gebruik."

Punt 14 formuleert de regel volledig, en het is het citeren waard omdat het december 2027 beslist voor elk softwareproduct dat al te koop is: "een zelfstandig softwareproduct met digitale elementen moet worden geacht in de handel te zijn gebracht wanneer zijn productiefase is voltooid en die software voor het eerst in het kader van een commerciële activiteit voor distributie of gebruik op de EU-markt wordt geleverd. De fabrikant moet worden geacht meerdere kopieën van hetzelfde softwareproduct met digitale elementen tegelijk in de handel te hebben gebracht." De kopieën blijven individuele producten, maar "zij worden geacht tegelijk in de handel te zijn gebracht, ongeacht wanneer het bezit of gebruik van elke afzonderlijke kopie wordt overgedragen". Voorbeeld 1: versie 1.0.0 voor het eerst aangeboden op 1 januari 2028, één kopie die dag gekocht, een andere op 15 januari; beide zijn op 1 januari in de handel gebracht.

Twee kanttekeningen in dezelfde punten doen ertoe voor een productlijn. Ten eerste zijn varianten aparte producten: "wanneer de fabrikant software beschikbaar stelt in verschillende varianten die verschillen in de opgenomen componenten, configuraties of ingeschakelde functies (bijvoorbeeld builds voor verschillende besturingssystemen of bundels met verschillende functiesets), kunnen die varianten niet worden beschouwd als meerdere kopieën van hetzelfde softwareproduct" en "moeten zij voor het in de handel brengen als afzonderlijke producten met digitale elementen worden behandeld". Ten tweede punt 15: "latere iteraties van een softwareproduct met digitale elementen worden geacht opnieuw in de handel te zijn gebracht wanneer die iteraties een 'substantiële wijziging' vormen", en "iteraties die geen substantiële wijziging vormen, vereisen van de fabrikant geen nieuwe conformiteitsbeoordelingsprocedure en veranderen daarom de datum van het in de handel brengen van die software niet". Voorbeeld 2: versie 1.0.1, geen substantiële wijziging, gekocht op 30 januari, is op 1 januari in de handel gebracht met versie 1.0.0. Punt 16 beperkt dit alles tot zelfstandige software; software gecombineerd met hardware volgt deel 2.4.

Wat dit doet met 11 december 2027

Leg de twee regels naast artikel 69(2). Een softwareproduct dat vóór 11 december 2027 voor het eerst is aangeboden, is vóór die datum in de handel gebracht, en dat geldt ook voor alle kopieën die klanten daarna downloaden, zolang de aangeboden versie niet substantieel wordt gewijzigd. De ontwerp- en conformiteitsplichten van de verordening bereiken het pas bij de eerste substantiële wijziging, en dan, onder punt 124 van de richtsnoeren, alleen de gewijzigde delen tenzij de beveiliging van het product als geheel wordt geraakt. De meldplicht van artikel 14 bereikt het hoe dan ook, sinds 11 september 2026, zoals artikel 69(3) zegt.

FAQ-antwoord 7.2 is het spiegelbeeld voor hardware en wordt voor software gemakkelijk verkeerd gelezen. Het zegt dat de verordening "van toepassing is op individuele producten, en niet op producttypes", zodat een fabrikant die 10.000 routers vóór 11 december 2027 in de handel heeft gebracht, ze niet in overeenstemming hoeft te brengen maar "geen 5.000 extra exemplaren van die router mag produceren en na" die datum in de handel brengen. Voor een fysieke eenheid wordt elk exemplaar in de handel gebracht wanneer het wordt geleverd. Voor een softwareversie zegt punt 14 dat alle kopieën met het eerste aanbod in de handel zijn gebracht, zodat een download in 2028 van een in 2027 voor het eerst aangeboden versie geen nieuw in de handel brengen is. Wat wel een nieuw in de handel brengen is: een nieuwe variant, een substantieel gewijzigde versie of, volgens het smart-tv-voorbeeld in FAQ 1.4, een update die "de oorspronkelijk beoogde functies wijzigt".

Drie dingen volgen voor een bedrijf met producten die al te koop zijn. Leg voor elk product en elke variant de datum vast waarop de nu aangeboden versie voor het eerst is geleverd, want dat is de datum die artikel 69(2) leest. Houd de lijst van varianten eerlijk: een Windows-build en een macOS-build, een gratis niveau en een betaald niveau met andere functies, zijn verschillende producten met eigen datums en later eigen dossiers. En beschouw de roadmap tot december 2027 als het laatste venster waarin een substantiële wijziging vrij is van de conformiteitsbeoordeling, wat een argument is om de wijzigingen die de grenzen van het product veranderen vóór die datum te doen in plaats van erna.

Bèta's, archieven en software voor eigen gebruik

Drie FAQ-antwoorden sluiten de overige gaten. Artikel 4(3) staat fabrikanten toe "niet-voltooide software die niet aan deze verordening voldoet beschikbaar te stellen, mits de software alleen beschikbaar wordt gesteld voor een beperkte periode die nodig is voor testdoeleinden, met een zichtbaar teken dat duidelijk aangeeft dat zij niet aan deze verordening voldoet en niet voor andere doeleinden dan testen op de markt beschikbaar zal zijn"; FAQ 1.6 bevestigt dat dit "alfaversies, bètaversies of release candidates" omvat, en citeert overweging 37: dergelijke software mag "alleen na een risicobeoordeling" worden uitgebracht, moet "voor zover mogelijk" voldoen, moet de behandeling van kwetsbaarheden "voor zover mogelijk" toepassen, en fabrikanten "mogen gebruikers niet dwingen over te stappen op versies die alleen voor testdoeleinden zijn uitgebracht". Een bètakanaal mag; een bètakanaal waar het product leeft, mag niet.

Artikel 13(11) staat openbare softwarearchieven van historische versies toe, mits "gebruikers duidelijk en gemakkelijk toegankelijk worden geïnformeerd over de risico's van het gebruik van niet-ondersteunde software" (FAQ 1.7). En FAQ 1.5 houdt, met deel 2.2 van de Blauwe Gids, producten die alleen voor eigen gebruik van de fabrikant worden gemaakt buiten de verordening: interne tools die u nooit levert, worden niet in de handel gebracht.

Wat u opschrijft

Voor elk product en elke variant die u aan gebruikers levert: de vorm die het aan de kant van de gebruiker aanneemt, en het antwoord van punt 20 of 21 dat daaruit volgt; de datum waarop de huidige versie voor het eerst op de EU-markt is aangeboden; de versies sindsdien, elk gemarkeerd als substantiële wijziging of niet, onder de vier vragen van punt 110; de testkanalen en hun zichtbare teken; en het archief van oude versies en de waarschuwing erbij. Die pagina is het eerste deel van het technisch dossier voor de producten die er een nodig hebben, en de registratie die zegt waarom de andere er nog geen nodig hebben.

Bronnen

  • Verordening (EU) 2024/2847, artikel 3(1), (21) en (22), artikel 4(3), artikel 13(1) en (11), artikel 69(2) en (3), overwegingen 11, 12, 37 en 41.
  • Europese Commissie, richtsnoeren van de Commissie over de toepassing van Verordening (EU) 2024/2847, C(2026) 5252 final van 27 juli 2026, bijlage, delen 2.1 en 2.2, punten 10 tot 21 en voorbeelden 1 tot 6; deel 4.4.2, punt 124.
  • Europese Commissie, FAQ over de Cyber Resilience Act, versie 1.4 van 4 september 2026, antwoorden 1.4, 1.5, 1.6, 1.7, 7.2 en 7.5.
  • Europese Commissie, de Blauwe Gids voor de uitvoering van de productvoorschriften van de EU 2022, delen 2.2 en 2.3, zoals de richtsnoeren ze aanhalen.

Dit is geen juridisch advies. De punten 13 tot 15 beslaan een halve pagina en de twee voorbeelden vier regels; het is de halve pagina die beslist of uw bestaande product in december 2027 onder de verordening valt.