Op de markt aanbieden onder de EU-verordening cyberweerbaarheid
Sytance · Bijgewerkt
De datum waarop CRA-verplichtingen gelden, hangt af van wanneer het product in de handel wordt gebracht, niet van wanneer het model voor het eerst is ontworpen. De belangrijkste vragen zijn wanneer het product voor het eerst op de markt van de Unie is geleverd, of een latere levering alleen verdere distributie van dat product is en of een latere wijziging een ingrijpende wijziging vormt.
Marktbegrippen
‚in de handel brengen’: het voor het eerst op de markt van de Unie aanbieden van een product met digitale elementen;
Verordening (EU) 2024/2847, artikel 3, punt 21
‚op de markt aanbieden’: het in het kader van een handelsactiviteit, al dan niet tegen betaling, leveren van een product met digitale elementen met het oog op distributie of gebruik op de markt van de Unie;
Verordening (EU) 2024/2847, artikel 3, punt 22
In de handel brengen is de eerste levering van het product op de markt van de Unie. Op de markt aanbieden heeft een ruimere betekenis. Het omvat ook latere leveringen voor distributie of gebruik nadat de eerste levering al heeft plaatsgevonden.
Eerste levering
De eerste levering op de markt van de Unie is het in de handel brengen.
Latere levering
Latere verkoop of distributie van hetzelfde product is het op de markt aanbieden.
Voorraad
Een product vervaardigen, opslaan of afwerken is niet voldoende, tenzij het wordt geleverd voor distributie of gebruik.
De prijs is niet doorslaggevend. Ook een gratis product kan op de markt worden aangeboden als de levering deel uitmaakt van een handelsactiviteit. Anders ligt het bij een product dat uitsluitend voor eigen gebruik door de fabrikant is gemaakt: alleen doordat het bestaat, wordt het niet in de handel gebracht.
Datum per afzonderlijk product
Net als bij ‚op de markt aanbieden’ heeft ‚in de handel brengen’ betrekking op elk afzonderlijk product en niet op een producttype, ongeacht of het als afzonderlijk exemplaar of in serie is vervaardigd. Daarom kan een afzonderlijk product in de hele EU slechts één keer op de markt van de Unie in de handel worden gebracht; dit gebeurt niet opnieuw in elke lidstaat. Ook als een productmodel of -type al is geleverd voordat nieuwe harmonisatiewetgeving van de Unie met nieuwe verplichte eisen in werking trad, moeten afzonderlijke exemplaren van hetzelfde model of type die in de handel worden gebracht nadat de nieuwe eisen van toepassing zijn geworden, aan die nieuwe eisen voldoen.
De Blauwe Gids 2022, punt 2.3
De FAQ van de Commissie past dit punt toe op de CRA. Dat één exemplaar van een producttype eerder in de handel is gebracht, dekt niet alle latere exemplaren van hetzelfde type. Voor elk afzonderlijk product geldt de eigen datum waarop het op de markt is gebracht.
Dit is van belang voor voorraden en herhaalde invoer. Als een partij routers vóór 11 december 2027 in de handel is gebracht, vallen die exemplaren niet alsnog volledig onder de CRA alleen omdat ze de eindgebruikers later bereiken. Voor een latere partij van hetzelfde model die op of na 11 december 2027 op de markt van de Unie in de handel wordt gebracht, geldt iets anders.
Producten die vóór 11 december 2027 in de handel zijn gebracht
Producten met digitale elementen die vóór 11 december 2027 in de handel zijn gebracht, vallen vanaf die datum alleen onder de eisen van deze verordening als die producten ingrijpend worden gewijzigd.
Verordening (EU) 2024/2847, artikel 69, lid 2
In afwijking van lid 2 van dit artikel zijn de verplichtingen van artikel 14 van toepassing op alle producten met digitale elementen die binnen het toepassingsgebied van deze verordening vallen en vóór 11 december 2027 in de handel zijn gebracht.
Verordening (EU) 2024/2847, artikel 69, lid 3
De overgangsregel stelt producten die al vóór 11 december 2027 in de handel zijn gebracht vrij van de volledige CRA-eisen, tenzij zij vanaf die datum ingrijpend worden gewijzigd. De regel geldt niet voor nieuwe exemplaren die later in de handel worden gebracht.
De meldplicht van artikel 14 staat hier los van. Deze gaat eerder gelden en is ook van toepassing op producten binnen het toepassingsgebied die vóór 11 december 2027 in de handel zijn gebracht.
Fabrikanten moeten actief uitgebuite kwetsbaarheden en ernstige incidenten melden wanneer artikel 14 dat vereist.
Producten die vanaf deze datum in de handel worden gebracht, moeten vóór het in de handel brengen voldoen aan de toepasselijke CRA-eisen.
Producten die vóór 11 december 2027 in de handel zijn gebracht, hoeven vanaf deze datum alleen aan de volledige CRA-eisen te voldoen als zij ingrijpend worden gewijzigd.
Datum waarop softwareversies in de handel worden gebracht
Volgens de richtsnoeren van de Commissie van juli 2026 wordt zelfstandige software in de handel gebracht zodra de productiefase is voltooid en de software voor het eerst in het kader van een handelsactiviteit wordt geleverd voor distributie of gebruik op de EU-markt. Kopieën van dezelfde software hebben dezelfde datum. Varianten met andere componenten, configuraties of ingeschakelde functies worden hiervoor als afzonderlijke producten beschouwd.
Latere downloads van dezelfde versie zijn doorgaans latere aanbiedingen op de markt van hetzelfde softwareproduct. Een latere versie krijgt een nieuwe datum waarop zij in de handel wordt gebracht als die versie een ingrijpende wijziging vormt.
Dezelfde softwareversie
Latere downloads vallen doorgaans onder de eerste datum waarop die versie op de markt is gebracht.
Ingrijpend gewijzigde versie
Een ingrijpend gewijzigde versie wordt beschouwd als nieuw in de handel gebracht.
Deze uitleg geldt voor zelfstandige software die digitaal wordt geleverd. Als software op een fysieke drager wordt geleverd, blijft het fysieke product van belang. Als software nodig is om een hardwareproduct zijn functies te laten vervullen, kunnen de hardware en software één product vormen, ook als de software later wordt gedownload.
Ingrijpende wijziging
‚ingrijpende wijziging’: een wijziging van het product met digitale elementen na het in de handel brengen ervan die van invloed is op de conformiteit van het product met digitale elementen met de essentiële cyberbeveiligingseisen in deel I van bijlage I, of die leidt tot een wijziging van het beoogde doel waarvoor het product met digitale elementen is beoordeeld;
Verordening (EU) 2024/2847, artikel 3, punt 30
De definitie omvat twee gevallen. Een wijziging kan ingrijpend zijn als zij van invloed is op de naleving van de cyberbeveiligingseisen voor het product in deel I van bijlage I. Een wijziging kan ook ingrijpend zijn als zij het beoogde doel verandert waarvoor het product is beoordeeld.
Pas bij een wijziging na het in de handel brengen de definitie van ingrijpende wijziging toe: heeft de wijziging gevolgen voor de naleving van de essentiële cyberbeveiligingseisen of verandert zij het beoogde doel waarvoor het product is beoordeeld? Een reparatie of beveiligingsupdate moet aan de hand van die voorwaarden worden beoordeeld.
- Een beveiligingsupdate die een kwetsbaarheid verhelpt en het beoogde doel niet verandert, wijst doorgaans niet op een ingrijpende wijziging.
- Een functie-update die verandert waarvoor het product bedoeld is, kan ingrijpend zijn.
- Ook een kleine functie kan van belang zijn als deze een nieuwe interface, gegevensstroom, externe afhankelijkheid of aanvalsscenario toevoegt waarmee eerder geen rekening is gehouden.
- Een product dat vóór 11 december 2027 in de handel is gebracht, valt vanaf die datum volledig onder de CRA als het ingrijpend wordt gewijzigd.
Verantwoordelijkheid na een wijziging
Volgens artikel 21 wordt een importeur of distributeur als fabrikant beschouwd als deze het product onder zijn eigen naam of merk in de handel brengt, of een product dat al in de handel is gebracht ingrijpend wijzigt.
Artikel 22 past dezelfde redenering ruimer toe. Ook iemand anders dan de fabrikant, importeur of distributeur kan als fabrikant worden beschouwd als die persoon een ingrijpende wijziging uitvoert en het gewijzigde product op de markt aanbiedt.
Veelvoorkomende gevallen rond de timing
De hoofdvraag is of het afzonderlijke product al vóór 11 december 2027 op de markt van de Unie in de handel was gebracht. Dat het de eindgebruiker pas later bereikt, betekent op zichzelf niet dat de overgangsregeling vervalt.
Voorraad die vóór de volledige toepassing al is geleverd voor distributie of gebruik op de markt van de Unie, kan verder door de toeleveringsketen gaan, met inachtneming van artikel 14 en de trigger voor een ingrijpende wijziging. Anders ligt het bij voorraad die vóór die datum alleen is vervaardigd of opgeslagen en nog niet voor distributie of gebruik is geleverd.
Voor hetzelfde model geldt niet één permanente CRA-marktdatum. Exemplaren die op of na 11 december 2027 op de markt van de Unie in de handel worden gebracht, moeten aan de CRA voldoen, ook als eerdere exemplaren van dat model al vóór die datum in de handel zijn gebracht.
Een niet-ingrijpende update leidt doorgaans niet tot een nieuwe datum waarop het product in de handel wordt gebracht. Een ingrijpende update wel. Het hangt ervan af of de update gevolgen heeft voor de CRA-conformiteit van het product of het beoordeelde beoogde doel verandert.
Een latere versie van zelfstandige software wordt nieuw in de handel gebracht als deze een ingrijpende wijziging vormt. Een kleine versie-update die niet ingrijpend is, behoudt doorgaans de datum waarop de eerdere versie in de handel is gebracht.