Cyberweerbaarheidsverordening: welke documenten heeft een fabrikant nodig, en wanneer?

Drie data

De data staan in artikel 71, lid 2.

• 11 juni 2026: hoofdstuk IV over aanmeldende autoriteiten en aangemelde instanties (artikelen 35 tot en met 51)
• 11 september 2026: de meldingsverplichtingen van fabrikanten (artikel 14), voor alle producten onder de verordening
• 11 december 2027: alle andere verplichtingen, ook de softwarestuklijst

Voor wie het geldt

De verordening geldt voor producten met digitale elementen die op de markt worden aangeboden en waarvan het beoogde of redelijkerwijs voorzienbare gebruik een directe of indirecte gegevensverbinding met een apparaat of netwerk omvat (artikel 2, lid 1). Dat kan software zijn, een verbonden apparaat of een machine met besturing en dataverbinding. Sommige producten met eigen regels, zoals medische hulpmiddelen, vallen erbuiten (artikel 2, lid 2).

Producten die vóór 11 december 2027 in de handel zijn gebracht, vallen alleen onder de andere eisen als zij vanaf die datum ingrijpend worden gewijzigd (artikel 69, lid 2). De meldingsplicht geldt er wel voor (artikel 69, lid 3).

Welke documenten vanaf 11 december 2027 klaar zijn

• Technische documentatie vóór het in de handel brengen, met ten minste de elementen van bijlage VII (artikel 13, lid 12, artikel 31)
• EU-conformiteitsverklaring volgens bijlage V (artikel 28), bij het product of als vereenvoudigde EU-conformiteitsverklaring volgens bijlage VI met het exacte internetadres (artikel 13, lid 20)
• Informatie en instructies voor gebruikers volgens bijlage II, elektronisch of op papier (artikel 13, lid 18)
• De einddatum van de ondersteuningsperiode, ten minste maand en jaar, duidelijk zichtbaar bij de aankoop (artikel 13, lid 19)
• Een softwarestuklijst in een gangbaar, machineleesbaar formaat, met ten minste de afhankelijkheden op het hoogste niveau (bijlage I, deel II, punt 1)

Wat u vanaf 11 september 2026 vastlegt

Actief uitgebuite kwetsbaarheden en ernstige incidenten worden via het centrale meldingsplatform gemeld: een vroegtijdige waarschuwing binnen 24 uur, een melding binnen 72 uur, en een eindverslag (artikel 14). Leg daarom vast wie meldt, wanneer de fabrikant van het voorval wist en wat hij meldde.

Hoe kwetsbaarheden technisch worden behandeld, valt buiten deze pagina.

Hoe lang u bewaart

Technische documentatie en verklaring ten minste tien jaar nadat het product in de handel is gebracht, of gedurende de ondersteuningsperiode als die langer is (artikel 13, lid 13). Hetzelfde geldt voor de informatie voor gebruikers (artikel 13, lid 18).

Veelgestelde vragen