Producten binnen de scope van de EU-CRA
Sytance · Bijgewerkt
Een product valt binnen de reikwijdte als het een product met digitale elementen is, in het kader van een commerciële activiteit op de Uniemarkt wordt aangeboden en het beoogde doel of redelijkerwijs te verwachten gebruik ervan een directe of indirecte, logische of fysieke gegevensverbinding met een apparaat of netwerk omvat. Artikel 2 kan bepaalde productcategorieën vervolgens buiten die reikwijdte plaatsen.
Producten binnen de reikwijdte
Deze verordening is van toepassing op producten met digitale elementen die op de markt worden aangeboden en waarvan het beoogde doel of redelijkerwijs te verwachten gebruik een directe of indirecte, logische of fysieke gegevensverbinding met een apparaat of netwerk omvat.
Verordening (EU) 2024/2847, artikel 2, lid 1
De voorwaarden gelden cumulatief. De productnaam, verkoopbenaming, sector of een architectuurdiagram bepaalt op zichzelf niet het antwoord. Het product moet voldoen aan de gedefinieerde CRA-termen, op de Uniemarkt komen en de relevante verbinding moet deel uitmaken van het beoogde doel of redelijkerwijs te verwachten gebruik ervan.
- Product: software, hardware, een afzonderlijk op de markt aangeboden component of een oplossing voor gegevensverwerking op afstand die deel uitmaakt van het product.
- Aanbieding op de markt: het product wordt in het kader van een commerciële activiteit aangeboden voor distributie of gebruik op de Uniemarkt.
- Verbinding: het beoogde doel of redelijkerwijs te verwachten gebruik van het product omvat een logische, fysieke, directe of indirecte gegevensverbinding.
- Uitsluiting: artikel 2 of een gedelegeerde handeling kan een product dat anders binnen de reikwijdte valt, van de CRA uitsluiten.
Product met digitale elementen
“product met digitale elementen”: een software- of hardwareproduct en de oplossingen voor gegevensverwerking op afstand ervan, met inbegrip van software- of hardwarecomponenten die afzonderlijk op de markt worden aangeboden;
Verordening (EU) 2024/2847, artikel 3, lid 1
De definitie omvat complete producten en componenten die afzonderlijk op de markt worden aangeboden. Software is niet beperkt tot software die in hardware is ingebed. Hardware is niet beperkt tot afgewerkte consumentenapparaten. Een component kan ook een product met digitale elementen zijn wanneer het afzonderlijk op de markt wordt aangeboden.
Softwareproducten
Mobiele apps, desktopprogramma's, firmware, stuurprogramma's, besturingssystemen, SDK's en downloadbare tools kunnen producten zijn.
Hardwareproducten
Routers, sensoren, industriële controllers, slimme huishoudelijke apparaten, moederborden, geïntegreerde schakelingen en andere elektronische systemen kunnen producten zijn.
Afzonderlijke componenten
Software of hardware die bedoeld is om te worden geïntegreerd, kan op zichzelf een product zijn wanneer het afzonderlijk op de markt wordt aangeboden.
Gegevensverwerking op afstand
“gegevensverwerking op afstand”: gegevensverwerking op afstand waarvoor de software door of onder verantwoordelijkheid van de fabrikant wordt ontworpen en ontwikkeld en bij afwezigheid waarvan het product met digitale elementen een van zijn functies niet kan uitvoeren;
Verordening (EU) 2024/2847, artikel 3, lid 2
Een oplossing voor gegevensverwerking op afstand is niet elke clouddienst die een gebruiker vanaf het product kan bereiken. De software moet door of onder verantwoordelijkheid van de fabrikant worden ontworpen en ontwikkeld, en zonder die verwerking moet het product een van zijn functies niet kunnen uitvoeren.
Onderdeel van het product
Een clouddienst die een productfunctie uitvoert, kan binnen de productgrens van de CRA vallen.
Buiten het product
Een zelfstandige SaaS-dienst of niet-gerelateerde website valt er niet alleen onder omdat een product binnen de reikwijdte ermee verbinding kan maken.
Soorten gegevensverbindingen
“logische verbinding”: een virtuele weergave van een gegevensverbinding die via een software-interface wordt gerealiseerd;
Verordening (EU) 2024/2847, artikel 3, lid 8
“fysieke verbinding”: een verbinding tussen elektronische informatiesystemen of componenten die met fysieke middelen tot stand wordt gebracht, met inbegrip van elektrische, optische of mechanische interfaces, draden of radiogolven;
Verordening (EU) 2024/2847, artikel 3, lid 9
“indirecte verbinding”: een verbinding met een apparaat of netwerk die niet rechtstreeks plaatsvindt, maar deel uitmaakt van een groter systeem dat rechtstreeks met dat apparaat of netwerk kan worden verbonden;
Verordening (EU) 2024/2847, artikel 3, lid 10
Het verbindingsbegrip van de CRA is ruimer dan internettoegang. Een product kan zijn verbonden via software-interfaces, hostsysteem, hardwarepoorten, bussen, kabels, optische verbindingen of radioverbindingen. Een product kan ook indirect verbonden zijn wanneer het wordt uitgevoerd binnen een groter systeem dat met een apparaat of netwerk kan worden verbonden.
Voorbeelden ter verduidelijking van de verbindingstermen:
- Directe logische verbindingen: HTTPS-sessies in browsers, e-mailclients met IMAP of SMTP, API's, pipes, bestanden, netwerksockets en andere software-interfaces.
- Indirecte logische verbindingen: een offline rekenmachine of teksteditor die draait op een besturingssysteem dat met een netwerk is verbonden.
- Fysieke verbindingen: USB, Ethernet, glasvezel, veldbus, elektrische interfaces, optische interfaces, mechanische interfaces, wifi, Bluetooth, NFC en andere radiokoppelingen.
- Geen relevante verbinding: firmware in een eenvoudige rekenmachine, een vaatwassercontroller of eenvoudig speelgoed wanneer het beoogde doel en redelijkerwijs te verwachten gebruik geen verbinding met een ander apparaat of netwerk omvatten.
Aanbieding op de markt
“op de markt aanbieden”: het in het kader van een commerciële activiteit leveren van een product met digitale elementen voor distributie of gebruik op de Uniemarkt, al dan niet tegen betaling;
Verordening (EU) 2024/2847, artikel 3, lid 22
De prijs is niet doorslaggevend. Ook gratis aanbieding kan deel uitmaken van een commerciële activiteit. De eerste aanbieding op de Uniemarkt is het in de handel brengen; ook een latere levering voor distributie of gebruik is een aanbieding op de markt.
Een product dat uitsluitend voor eigen gebruik van de fabrikant is gemaakt, verschilt van een product dat op de Uniemarkt wordt aangeboden. De FAQ van de Commissie noemt als voorbeeld ontwikkel- en configuratietools die een fabrikant voor eigen gebruik maakt: die tools vallen niet binnen de reikwijdte, tenzij ze als afzonderlijke producten op de markt worden gebracht.
Beoogd doel en redelijkerwijs te verwachten gebruik
“beoogd doel”: het gebruik waarvoor een product met digitale elementen door de fabrikant is bestemd, met inbegrip van de specifieke context en gebruiksomstandigheden, zoals vermeld in de door de fabrikant verstrekte gebruiksaanwijzingen, promotie- of verkoopmateriaal en verklaringen, alsook in de technische documentatie;
Verordening (EU) 2024/2847, artikel 3, lid 23
“redelijkerwijs te verwachten gebruik”: gebruik dat niet noodzakelijkerwijs het beoogde doel is dat de fabrikant vermeldt in de gebruiksaanwijzingen, het promotie- of verkoopmateriaal en de verklaringen, alsook de technische documentatie, maar dat waarschijnlijk voortvloeit uit redelijkerwijs te verwachten menselijk gedrag of technische handelingen of interacties;
Verordening (EU) 2024/2847, artikel 3, lid 24
Het beoogde doel blijkt uit de eigen productinformatie van de fabrikant. Het begrip redelijkerwijs te verwachten gebruik voorkomt dat de bepaling van de reikwijdte uitsluitend afhangt van een eng omschreven gebruik wanneer normaal menselijk gedrag of technische interactie verbonden gebruik waarschijnlijk maakt.
De verbinding moet bij het gebruik horen
Een poort, API, afhankelijkheid van een hostsysteem, radio-interface of bestandsworkflow is relevant wanneer deze deel uitmaakt van de beoogde of redelijkerwijs verwachte werking van het product.
Voorbeelden van productgrenzen
Dezelfde productfamilie kan zowel gevallen binnen als buiten de reikwijdte omvatten. De juridische uitkomst volgt uit de gedefinieerde termen, niet uit de brede commerciële categorie.
Printersoftware
Stuurprogramma's die nodig zijn om een printer te laten werken, kunnen deel uitmaken van het product met digitale elementen.
FPGA-tools
Tools voor het ontwerpen en programmeren van FPGA's kunnen softwareproducten zijn wanneer zij op de markt worden aangeboden.
Ondersteunende website
Een website is relevant wanneer deze een productfunctie ondersteunt en voldoet aan de definitie van gegevensverwerking op afstand.
Niet-verbonden apparaat
Ingebedde firmware alleen is niet voldoende wanneer het beoogde doel of redelijkerwijs te verwachten gebruik van het product geen directe of indirecte gegevensverbinding omvat.
Buiten de reikwijdte
Artikel 2 bevat rechtstreekse productuitsluitingen, een route via gedelegeerde handelingen voor latere uitsluitingen of beperkingen en een afzonderlijke regel voor beveiligingsgevoelige informatie. Een product is niet uitgesloten alleen omdat het tot een brede bedrijfstak behoort. Het moet vallen onder de Uniehandeling, gedelegeerde handeling of voorwaarde die de uitzondering creëert.
De CRA is niet van toepassing op producten met digitale elementen waarop Verordening (EU) 2017/745 of Verordening (EU) 2017/746 van toepassing is.
Producten die onder Verordening (EU) 2019/2144 vallen, zijn uitgesloten.
Artikel 2, lid 5, geeft de Commissie de mogelijkheid producten die onder andere Unieregels vallen te beperken of uit te sluiten wanneer die regels de relevante cyberbeveiligingsrisico's aanpakken en hetzelfde of een hoger beschermingsniveau bieden.
Gedelegeerde Verordening (EU) 2025/1535 van de Commissie gebruikt deze route voor producten met digitale elementen die vallen onder Verordening (EU) nr. 168/2013 betreffende twee- of driewielige voertuigen en vierwielers, met uitzondering van voertuigen van categorie L1e die zijn ontworpen om met pedalen te worden aangedreven.
Producten die zijn gecertificeerd op grond van Verordening (EU) 2018/1139 zijn uitgesloten. De FAQ van de Commissie maakt onderscheid tussen niet-gecertificeerde producten en niet-gecertificeerde componenten, waarvoor mogelijk nog een CRA-reikwijdteanalyse nodig is als aan de voorwaarden van artikel 2, lid 1, is voldaan.
Uitrusting die onder Richtlijn 2014/90/EU valt, is uitgesloten. Componenten die bedoeld zijn voor maritieme uitrusting kunnen toch binnen de reikwijdte vallen als ze niet onder die richtlijn vallen en als producten met digitale elementen op de markt worden aangeboden.
Reserveonderdelen zijn uitgesloten wanneer zij identieke componenten in producten met digitale elementen vervangen en volgens dezelfde specificaties zijn vervaardigd als de componenten die zij vervangen.
De CRA is niet van toepassing op producten die uitsluitend voor nationale veiligheid of defensie zijn ontwikkeld of aangepast, of op producten die specifiek zijn ontworpen om gerubriceerde informatie te verwerken. Producten voor tweeërlei gebruik zijn niet uitgesloten alleen omdat ze ook voor defensiedoeleinden worden gebruikt.
Artikel 2, lid 8, is geen productuitsluiting. Het bepaalt dat de CRA-verplichtingen geen openbaarmaking vereisen van informatie die in strijd zou zijn met de essentiële belangen van een lidstaat op het gebied van nationale veiligheid, openbare veiligheid of defensie.