De Cyber Resilience Act, Verordening (EU) 2024/2847, stopt niet bij de fabrikant. Iedereen in de keten tussen fabrikant en gebruiker heeft verplichtingen, en voor een wederverkoper zijn die meer dan een formaliteit: een importeur of distributeur die een niet-conform product op de EU-markt brengt, is degene die de markttoezichtautoriteit als eerste vindt. De artikelen 19 en 20 stellen de plichten vast, en artikel 21 zegt wanneer een wederverkoper ophoudt er een te zijn.

Eerst twee definities. Een importeur brengt een product van een buiten de Unie gevestigde fabrikant op de EU-markt. Een distributeur stelt een product op de markt beschikbaar dat een importeur of fabrikant er al op heeft gebracht: een wederverkoper, een detailhandelaar, een systeemintegrator die software in een doos verkoopt. De plichten van de CRA voor elk lijken op elkaar in vorm en verschillen in diepte.

De importeur: artikel 19

Alleen conforme producten. Artikel 19, lid 1: importeurs brengen alleen producten in de handel die aan bijlage I, deel I, voldoen en waarvan de processen van de fabrikant aan deel II voldoen.

Een checklist vóór het in de handel brengen. Artikel 19, lid 2: de importeur zorgt ervoor dat de fabrikant de passende conformiteitsbeoordeling (artikel 32) heeft uitgevoerd en de technische documentatie heeft opgesteld, dat het product de CE-markering draagt en vergezeld gaat van de EU-conformiteitsverklaring en de gebruikersinformatie van bijlage II in een taal die gebruikers en autoriteiten begrijpen, en dat de fabrikant artikel 13, leden 15, 16 en 19, heeft nageleefd: identificatie op het product, het contactpunt voor kwetsbaarheden en de einddatum van de ondersteuningsperiode getoond bij aankoop. De importeur moet voor elk punt documenten kunnen overleggen.

Stoppen, en melden. Artikel 19, lid 3: een importeur die van mening is of redenen heeft om aan te nemen dat het product of de processen van de fabrikant niet conform zijn, brengt het niet in de handel totdat ze dat zijn; als het product een significant cyberbeveiligingsrisico inhoudt, informeert de importeur de fabrikant en de markttoezichtautoriteiten.

Naam op het product. Artikel 19, lid 4: de naam, geregistreerde handelsnaam of het merk en de contactgegevens van de importeur komen op het product, de verpakking of een begeleidend document.

Na de verkoop. Artikel 19, lid 5: corrigerende maatregelen, uit de handel nemen of terugroepen wanneer een in de handel gebracht product niet conform blijkt; elke kwetsbaarheid waarvan de importeur kennis krijgt, wordt onverwijld aan de fabrikant doorgegeven; een significant cyberbeveiligingsrisico wordt onmiddellijk gemeld aan de autoriteiten van elke lidstaat waar het product beschikbaar is gesteld.

Tien jaar administratie. Artikel 19, lid 6: een kopie van de EU-conformiteitsverklaring ter beschikking van de markttoezichtautoriteiten, en de technische documentatie op verzoek beschikbaar, gedurende ten minste tien jaar na het in de handel brengen of de ondersteuningsperiode, wat langer is. Artikel 19, lid 7: alle informatie en documentatie aan een autoriteit op gemotiveerd verzoek, in een taal die zij begrijpt.

Als de fabrikant verdwijnt. Artikel 19, lid 8: een importeur die verneemt dat de fabrikant zijn activiteiten heeft gestaakt en niet meer aan zijn verplichtingen kan voldoen, informeert de autoriteiten en, voor zover mogelijk, de gebruikers.

De distributeur: artikel 20

De nodige zorgvuldigheid. Artikel 20, lid 1.

Een kortere checklist. Artikel 20, lid 2: de distributeur verifieert dat het product de CE-markering draagt en dat de fabrikant en de importeur hun plichten inzake identificatie, contact, gebruikersinformatie, ondersteuningsperiode en verklaring (artikel 13, leden 15, 16, 18, 19 en 20, en artikel 19, lid 4) zijn nagekomen en de nodige documenten hebben verstrekt.

Stoppen, en melden. Artikel 20, lid 3: wanneer de distributeur op basis van informatie waarover hij beschikt van mening is of redenen heeft om aan te nemen dat het product of de processen niet aan bijlage I voldoen, stelt hij het product niet beschikbaar totdat dat wel zo is, en meldt hij een significant cyberbeveiligingsrisico aan de fabrikant en de autoriteiten.

Na de verkoop. Artikel 20, lid 4: zorgt ervoor dat corrigerende maatregelen, uit de handel nemen of terugroepen worden genomen; geeft kwetsbaarheden onverwijld door aan de fabrikant; meldt een significant cyberbeveiligingsrisico aan de autoriteiten van de betrokken lidstaten. Artikel 20, lid 5: informatie en documentatie aan een autoriteit op gemotiveerd verzoek. Artikel 20, lid 6: dezelfde plicht als de importeur wanneer de fabrikant zijn activiteiten staakt.

De maatstaf van de distributeur is "op basis van informatie waarover hij beschikt": een wederverkoper hoeft het product niet te auditen, maar moet handelen naar wat hij weet.

Wanneer de wederverkoper fabrikant wordt: artikel 21

"Een importeur of distributeur wordt voor de toepassing van deze verordening als fabrikant beschouwd en is onderworpen aan de artikelen 13 en 14 wanneer die importeur of distributeur een product met digitale elementen onder zijn naam of merk in de handel brengt of een substantiële wijziging aanbrengt aan een product met digitale elementen dat reeds in de handel is gebracht."

Twee ingangen. Uw naam of merk op het product: een apparaat white-labelen of software hernoemen maakt u tot fabrikant van dat product, met heel artikel 13 (de 22 eisen, het technische dossier, de ondersteuningsperiode, de CE-markering) en de melding van artikel 14. Een substantiële wijziging: een product dat al op de markt is zo veranderen dat de conformiteit of het beoogde doel wordt geraakt. Een wederverkoper die eigen firmware toevoegt, of het product opneemt in een bundel die verandert wat het doet, is de grens meestal over.

Waar de sancties zitten

De artikelen 18 tot en met 23, de ketenverplichtingen, staan in de tweede boetetrede van artikel 64, lid 3: tot 10 000 000 EUR of 2 % van de wereldwijde jaaromzet. De wederverkoper die onder artikel 21 fabrikant is geworden, zit voor de artikelen 13 en 14 in de eerste trede. De treden, en wie ze toepast.

Wat in te richten

Een intakedossier per product: de conformiteitsverklaring van de fabrikant, de plaats van de CE-markering, de gebruikersinformatie van bijlage II in de juiste taal, de einddatum van de ondersteuningsperiode, en de datum waarop de importeur elk punt controleerde. Een route waarlangs door klanten gemelde kwetsbaarheden de fabrikant bereiken, gedateerd. Een beslissing, op papier, of iets wat u met het product doet (merk, bundeling, wijziging) u onder artikel 21 tot fabrikant maakt. En een dossier dat tien jaar of de ondersteuningsperiode wordt bewaard. Het distributiepakket stelt die stukken voor één product op; de datums erop zijn wat een autoriteit leest.

Bronnen

  • Verordening (EU) 2024/2847, artikel 3, punten 16 en 17, voor de definities, artikel 19, leden 1 tot en met 8, artikel 20, leden 1 tot en met 6, artikel 21 (geciteerd), artikel 64, lid 3. Gelezen in de tekst van het Publicatieblad op EUR-Lex op 11 september 2026.

Dit is geen juridisch advies. De artikelen 19 tot en met 21 zijn twee pagina's; de lidverwijzingen staan er zodat een wederverkoper zijn eigen lijst kan lezen.