EUROPESE
COMMISSIE

Brussel, 15.9.2022
COM(2022) 454 final
ANNEXES 1 to 6

BIJLAGEN
bij
VOORSTEL VOOR EEN VERORDENING VAN HET EUROPEES PARLEMENT EN
DE RAAD
betreffende horizontale cyberbeveiligingsvereisten voor producten met digitale
elementen en tot wijziging van Verordening (EU) 2019/1020
{SEC(2022) 321 final} - {SWD(2022) 282 final} - {SWD(2022) 283 final}

NL

NL

BIJLAGE I
ESSENTIËLE CYBERBEVEILIGINGSVEREISTEN
1.

BEVEILIGINGSEISEN MET BETREKKING TOT DE EIGENSCHAPPEN VAN PRODUCTEN
MET DIGITALE ELEMENTEN

(1)

Producten met digitale elementen worden zodanig ontworpen, ontwikkeld en
geproduceerd dat zij een passend cyberbeveiligingsniveau op basis van de

(2)

Producten met digitale elementen worden geleverd zonder bekende
kwetsbaarheden die kunnen worden uitgebuit;

(3)

Op basis van de in artikel 10, lid 2, bedoelde risicobeoordeling en, indien van
toepassing, moeten producten met digitale elementen:
(a)

worden geleverd met een standaard beveiligde configuratie, met inbegrip
van de mogelijkheid om het product in zijn oorspronkelijke toestand te
herstellen;

(b)

zorgen voor bescherming tegen ongeoorloofde toegang door middel van
passende controlemechanismen, met inbegrip van maar niet beperkt tot
authenticatie-, identiteits- of toegangsbeheersystemen;

(c)

de vertrouwelijkheid van opgeslagen, verzonden of anderszins verwerkte
persoonsgegevens of andere gegevens beschermen, bijvoorbeeld door
relevante inactieve gegevens of gegevens in overdracht met behulp van
geavanceerde mechanismen te versleutelen;

(d)

de integriteit van opgeslagen, verzonden of anderszins verwerkte
die niet door de gebruiker is toegestaan, en melding maken van
beschadiging;

NL

(e)

uitsluitend persoons- of andere gegevens verwerken die adequaat,
relevant en beperkt zijn tot wat noodzakelijk is met betrekking tot het

(f)

de beschikbaarheid van essentiële functies beschermen, met inbegrip van
de weerbaarheid tegen en de beperking van denial of service-aanvallen;

(g)

hun eigen negatieve impact op de beschikbaarheid van diensten die door
andere apparaten of netwerken worden geleverd, tot een minimum
beperken;

(h)

worden ontworpen, ontwikkeld en geproduceerd om kwetsbaarheden
voor aanvallen, met inbegrip van externe interfaces, te beperken;

(i)

worden ontworpen, ontwikkeld en geproduceerd om de gevolgen van een
incident te beperken met behulp van passende mechanismen en
technieken om uitbuiting te beperken;

(j)

veiligheidsgerelateerde informatie verstrekken door relevante interne
activiteiten, met inbegrip van de toegang tot of wijziging van gegevens,
diensten of functies te registreren en/of te monitoren;

1

NL

(k)

2.

ervoor zorgen dat kwetsbaarheden kunnen worden aangepakt door
middel van beveiligingsupdates, onder meer, indien van toepassing, door
middel van automatische updates en de kennisgeving van beschikbare
updates aan gebruikers.

VEREISTEN VOOR DE RESPONS OP KWETSBAARHEDEN
Fabrikanten van de producten met digitale elementen moeten:
(1)

kwetsbaarheden en componenten in het product vaststellen en documenteren,
onder meer door een softwarestuklijst op te stellen in een algemeen gebruikt en
machineleesbaar formaat waarin ten minste de afhankelijkheden van het
product op het hoogste niveau worden aangegeven;

(2)
elementen, kwetsbaarheden onverwijld aanpakken en verhelpen, onder meer
door beveiligingsupdates te verstrekken;

NL

(3)

de beveiliging van het product met digitale elementen op doeltreffende en
regelmatige wijze testen en evalueren;

(4)

zodra een beveiligingsupdate beschikbaar is gesteld, informatie openbaar
maken over verholpen kwetsbaarheden, met inbegrip van een beschrijving van
de kwetsbaarheden, informatie aan de hand waarvan gebruikers het betreffende
product met digitale elementen kunnen identificeren, de gevolgen van de
kwetsbaarheden, de ernst ervan en informatie die gebruikers helpt de
kwetsbaarheden te verhelpen;

(5)

een beleid inzake gecoördineerde openbaarmaking van kwetsbaarheden
invoeren en handhaven;

(6)

maatregelen nemen om het delen van informatie over potentiële
kwetsbaarheden in hun product met digitale elementen en in componenten van
derden in dat product te vergemakkelijken, onder meer door een contactadres te
verstrekken voor de melding van de kwetsbaarheden die in het product met
digitale elementen zijn ontdekt;

(7)

voorzien in mechanismen om updates voor producten met digitale elementen
veilig te verspreiden om ervoor te zorgen dat kwetsbaarheden die kunnen
worden uitgebuit, tijdig worden verholpen of beperkt;

(8)

ervoor zorgen dat, wanneer er beveiligingspatches of -updates beschikbaar zijn
om vastgestelde beveiligingsproblemen aan te pakken, deze onverwijld en
kosteloos worden verspreid, vergezeld van adviezen met relevante informatie
voor gebruikers, onder meer over eventueel te nemen maatregelen.

2

NL

BIJLAGE II
INFORMATIE EN INSTRUCTIES VOOR DE GEBRUIKER
Het product met digitale elementen gaat ten minste vergezeld van:

NL

1.

de naam, geregistreerde handelsnaam of geregistreerde merknaam van de fabrikant,
en het postadres en het e-mailadres waarop contact met de fabrikant kan worden
opgenomen, op het product, of wanneer dit niet mogelijk is, op de verpakking van
het product of in een bij het product gevoegd document;

2.

het contactpunt waar informatie over kwetsbaarheden op het gebied van
cyberbeveiliging van het product kan worden gemeld en ontvangen;

3.

de correcte identificatie van het type, de partij, de versie of het serienummer of een
ander element aan de hand waarvan het product kan worden geïdentificeerd en de
bijbehorende instructies en gebruikersinformatie;

4.

het beoogde gebruik, met inbegrip van de door de fabrikant geboden
beveiligingsomgeving, alsmede de essentiële functies en informatie over de
beveiligingseigenschappen van het product;

5.

elke bekende of voorzienbare omstandigheid die verband houdt met het gebruik van
het product met digitale elementen overeenkomstig het beoogde doel ervan of in een
situatie van redelijkerwijs voorzienbaar verkeerd gebruik, die tot significante

6.

informatie over mogelijkheid om de softwarestuklijst te raadplegen, en indien die
mogelijkheid bestaat, de plaats;

7.

indien van toepassing, het internetadres waarop de EU-conformiteitsverklaring kan
worden geraadpleegd;

8.

het soort technische beveiligingsondersteuning dat door de fabrikant wordt
aangeboden en tot wanneer deze wordt verleend, ten minste tot wanneer gebruikers
kunnen verwachten dat zij beveiligingsupdates ontvangen;

9.

gedetailleerde instructies of een internetadres met betrekking tot dergelijke
gedetailleerde instructies en informatie over:
(a)

de nodige maatregelen tijdens de eerste inbedrijfstelling en gedurende de hele
levensduur van het product om een veilig gebruik ervan te waarborgen;

(b)

hoe veranderingen in het product van invloed kunnen zijn op de beveiliging
van gegevens;

(c)

hoe veiligheidsrelevante updates kunnen worden geïnstalleerd;

(d)

de veilige buitenbedrijfstelling van het product, met inbegrip van informatie
over de wijze waarop gebruikersgegevens veilig kunnen worden verwijderd.

3

NL

III
KRITIEKE PRODUCTEN MET DIGITALE ELEMENTEN
Klasse I

NL

1.

software voor identiteitsbeheersystemen en software voor het beheer van
geprivilegieerde toegang;

2.

op zichzelf staande en ingebedde browsers;

3.

wachtwoordbeheer;

4.

software die kwaadaardige software opzoekt, verwijdert of in quarantaine plaatst;

5.

producten met digitale elementen met de functie van virtueel particulier netwerk
(VPN);

6.

netwerkbeheersystemen;

7.

hulpmiddelen voor netwerkconfiguratiebeheer;

8.

monitoringsystemen voor netwerkverkeer;

9.

beheer van netwerkmiddelen;

10.

Security
information
and
event
management-systemen
(beveiligingsinformatie en evenementenbeheer);

11.

update-/patchbeheer, met inbegrip van opstartbeheer;

12.

systemen voor configuratiebeheer van toepassingen;

13.

software voor toegang/delen op afstand;

14.

software voor het beheer van mobiele apparaten;

15.

fysieke netwerkinterfaces;

16.

besturingssystemen die niet onder klasse II vallen;

17.

firewalls, inbraakdetectiesystemen en/of inbraakpreventiesystemen die niet onder
klasse II vallen;

18.

routers, modems bestemd voor verbinding met het internet en schakelaars die niet
onder klasse II vallen;

19.

microprocessoren die niet onder klasse II vallen;

20.

microcontrollers;

21.

toepassingsspecifieke geïntegreerde schakelingen (ASIC) en veld-programmeerbare
gate-arrays (FPGA) bestemd voor gebruik door essentiële entiteiten van het type als
bedoeld in [bijlage I bij Richtlijn XXX/XXXX (NIS2)];

22.

besturingssystemen voor industriële automatisatie (IAC) die niet onder klasse II
vallen, zoals programmeerbare logische regeleenheden (PLC), Distributed Control
Systems (DCS), automatische numerieke controle (CNC) voor machine-instrumenten
en SCADA-systemen (Supervisory Control and Data Acquisition);

23.

industrieel internet der dingen dat niet onder klasse II valt.

4

(SIEM)

NL

Klasse II
1.

besturingssystemen voor servers, desktopcomputers en mobiele apparaten;

2.

hypervisors en containerruntimesystemen die de gevirtualiseerde uitvoering van
besturingssystemen en soortgelijke omgevingen ondersteunen;

3.

publiekesleutelinfrastructuur en uitgevers van digitale certificaten;

4.

firewalls, inbraakdetectiesystemen en/of inbraakpreventiesystemen bestemd voor
industrieel gebruik;

5.

microprocessoren voor algemeen gebruik;

6.

microprocessoren bestemd voor integratie
regeleenheden en beveiligingselementen;

7.

routers, modems bestemd voor verbinding met het internet en schakelaars bestemd
voor industrieel gebruik;

8.

beveiligingselementen;

in

programmeerbare

logische

9.

NL

10.

veilige cryptoprocessoren;

11.

smartcards, smartcardlezers en tokens;

12.

besturingssystemen voor industriële automatisatie (IAC) bestemd voor gebruik door
essentiële entiteiten van het type als bedoeld in [bijlage I bij Richtlijn XXX/XXXX
(NIS2)], zoals programmeerbare logische regeleenheden (PLC), Distributed Control
Systems (DCS), automatische numerieke controle (CNC) voor machine-instrumenten
en SCADA-systemen (Supervisory Control and Data Acquisition);

13.

industrieel internet der dingen bestemd voor gebruik door essentiële entiteiten van
het type als bedoeld in [bijlage I bij Richtlijn XXX/XXXX (NIS2)];

14.

robotdetectie- en actuatorcomponenten en robotcontrollers;

15.

slimme meters.

5

NL

IV
EU-CONFORMITEITSVERKLARING
De in artikel 20 bedoelde EU-conformiteitsverklaring omvat de volgende informatie:
1.

naam en type en eventuele aanvullende informatie die de unieke identificatie van het
product met digitale elementen mogelijk maakt;

2.

naam en adres van de fabrikant of diens gemachtigde vertegenwoordiger;

3.

een vermelding dat de EU-conformiteitsverklaring wordt verstrekt onder de
uitsluitende verantwoordelijkheid van de aanbieder;

4.

voorwerp van de verklaring (identificatie van het product aan de hand waarvan het
product kan worden getraceerd. In voorkomend geval kan een foto worden
bijgevoegd);

5.

een verklaring dat het hierboven beschreven voorwerp van de verklaring in
overeenstemming is met de desbetreffende harmonisatiewetgeving van de Unie;

6.

verwijzingen naar alle gebruikte relevante geharmoniseerde normen of andere
gemeenschappelijke specificaties of cyberbeveiligingscertificering met betrekking
waartoe de conformiteitsverklaring is aangegeven;

7.

indien van toepassing, de naam en het nummer van de aangemelde instantie, een
beschrijving van de uitgevoerde conformiteitsbeoordelingsprocedure en de
identificatie van het afgegeven certificaat;

8.

aanvullende informatie:
Ondertekend voor en
(plaats en datum van afgifte):
(naam, functie) (handtekening):

NL

6

NL

BIJLAGE V
INHOUD VAN DE TECHNISCHE DOCUMENTATIE
De in artikel 23 bedoelde technische documentatie bevat ten minste de volgende informatie,
voor zover van toepassing op het desbetreffende product met digitale elementen:
1.

een algemene beschrijving van het product met digitale elementen, met inbegrip van:
(a)

het beoogde doel;

(b)

versies van software die van invloed zijn op de naleving van de essentiële
eisen;

(c)
illustraties waarop de externe kenmerken, markering en interne lay-out te zien
zijn;
(d)
2.

gebruikersinformatie en -instructies zoals beschreven in bijlage II;

een beschrijving van het ontwerp, de ontwikkeling en de productie van het product
en de procedures inzake de respons op kwetsbaarheden, met inbegrip van:
(a)

volledige informatie over het ontwerp en de ontwikkeling van het product met
digitale elementen, met inbegrip van, indien van toepassing, tekeningen en
uitgelegd hoe softwarecomponenten voortbouwen op elkaar of elkaar aanvullen
en zijn geïntegreerd in de algemene verwerking;

(b)

volledige informatie en specificaties van de door de fabrikant ingestelde
processen voor de respons op kwetsbaarheden, met inbegrip van de
softwarestuklijst, het gecoördineerde beleid inzake openbaarmaking van
kwetsbaarheden, bewijs van het verstrekken van een contactadres voor de
melding van de kwetsbaarheden en een beschrijving van de gekozen technische
oplossingen voor de veilige verspreiding van updates;

(c)

volledige informatie en specificaties van de productie- en monitoringprocessen
van het product met digitale elementen en de validering van die processen;

3.
elementen wordt ontworpen, ontwikkeld, geproduceerd, geleverd en onderhouden
overeenkomstig artikel 10 van deze verordening;
4.

NL

een lijst van de geheel of gedeeltelijk toegepaste geharmoniseerde normen waarvan
de referenties in het Publicatieblad van de Europese Unie zijn bekendgemaakt,
gemeenschappelijke specificaties als bedoeld in artikel 19 van deze verordening of
regelingen voor cyberbeveiligingscertificering uit hoofde van Verordening (EU)
2019/881 krachtens artikel 18, lid 3, en, indien die geharmoniseerde normen,
gemeenschappelijke specificaties of regelingen voor cyberbeveiligingscertificering
niet zijn toegepast, een beschrijving van de gekozen oplossingen om aan de
essentiële eisen van de afdelingen 1 en 2 van bijlage I te voldoen, met inbegrip van
een lijst van andere relevante technische specificaties die zijn toegepast. In het geval
van gedeeltelijk toegepaste geharmoniseerde normen, gemeenschappelijke
specificaties of regelingen voor cyberbeveiligingscertificering, wordt in de
technische documentatie gespecificeerd welke delen zijn toegepast;

7

NL

NL

5.

verslagen van de tests die zijn uitgevoerd om de conformiteit van het product en van
de procedures inzake de respons op kwetsbaarheden met de toepasselijke essentiële
eisen van afdelingen 1 en 2 van bijlage I te verifiëren;

6.

een exemplaar van de EU-conformiteitsverklaring;

7.

indien van toepassing, de softwarestuklijst zoals gedefinieerd in artikel 3, punt 36, na
een met redenen omkleed verzoek van een markttoezichtautoriteit, op voorwaarde
dat dit noodzakelijk is om deze autoriteit in staat te stellen de naleving van de
essentiële eisen van bijlage I te controleren.

8

NL

BIJLAGE VI
CONFORMITEITSBEOORDELINGSPROCEDURES
Conformiteitsbeoordelingsprocedure op basis van interne controle (op basis van module
A)
1.
de fabrikant de verplichtingen in de punten 2, 3 en 4 nakomt en op eigen
verantwoordelijkheid garandeert en verklaart dat de producten met digitale
elementen aan alle essentiële eisen van afdeling 1 van bijlage I voldoen en dat de
fabrikant aan de essentiële eisen van afdeling 2 van bijlage I voldoet.
2.

De fabrikant stelt de in bijlage V beschreven technische documentatie op.

3.

Ontwerp, ontwikkeling, productie en reactie op kwetsbaarheden van producten met
digitale elementen
De fabrikant neemt alle nodige maatregelen om ervoor te zorgen dat het ontwerp, de
ontwikkeling, de productie en de procedures inzake de respons op kwetsbaarheden
en het toezicht daarop waarborgen dat de vervaardigde of ontwikkelde producten met
digitale elementen en de door de fabrikant ingestelde processen in overeenstemming
zijn met de essentiële eisen van de afdelingen 1 en 2 van bijlage I.

4.

Conformiteitsmarkering en conformiteitsverklaring

4.1.

De fabrikant brengt de CE-markering aan op elk afzonderlijk product met digitale
elementen dat aan de toepasselijke eisen van deze verordening voldoet.

4.2.

De fabrikant stelt overeenkomstig artikel 20 voor elk product met digitale elementen
een schriftelijke EU-conformiteitsverklaring op en houdt deze verklaring, samen met
de technische documentatie, tot tien jaar na het in de handel brengen van het product
met digitale elementen ter beschikking van de nationale autoriteiten. In de EUconformiteitsverklaring wordt het product met digitale elementen geïdentificeerd
waarvoor zij is opgesteld. Een exemplaar van de EU-conformiteitsverklaring wordt
op verzoek aan de relevante autoriteiten verstrekt.

5.

Gemachtigde vertegenwoordigers
De in punt 4 vervatte verplichtingen van de fabrikant kunnen namens hem en onder
zijn verantwoordelijkheid worden vervuld door zijn gemachtigde vertegenwoordiger,
op voorwaarde dat dit in het mandaat gespecificeerd is.

EU-typeonderzoek (op basis van module B)
1.

NL

conformiteitsbeoordelingsprocedure bedoeld waarin een aangemelde instantie het
technisch ontwerp en de ontwikkeling van een product en de door de fabrikant
ingestelde procedures inzake de respons op kwetsbaarheden onderzoekt en verklaart
dat een product met digitale elementen aan de essentiële eisen van afdeling 1 van
bijlage I voldoet en dat de fabrikant aan de essentiële eisen van afdeling 2 van
bijlage I voldoet.

9

NL

2.

Het EU-typeonderzoek wordt uitgevoerd door beoordeling van de geschiktheid van
het technisch ontwerp en de ontwikkeling van het product door middel van
onderzoek van de technische documentatie en het bewijsmateriaal als bedoeld in
punt 3, alsook door onderzoek van monsters van een of meer kritieke delen van het
product (combinatie van productietype en ontwerptype).

3.

De fabrikant dient een aanvraag voor het EU-typeonderzoek in bij een aangemelde
instantie van zijn keuze.
De aanvraag omvat:
naam en adres van de fabrikant en, indien de aanvraag wordt ingediend door
zijn gemachtigde vertegenwoordiger, ook diens naam en adres;
een schriftelijke verklaring dat dezelfde aanvraag niet is ingediend bij een
andere aangemelde instantie;
de technische documentatie aan de hand waarvan kan worden beoordeeld of
het product voldoet aan de toepasselijke essentiële eisen van afdeling 1 van
bijlage I en de procedures inzake de respons op kwetsbaarheden van de
fabrikant als beschreven in afdeling 2 van bijlage I, en die een adequate
risicoanalyse en -beoordeling omvat. In de technische documentatie worden
de toepasselijke eisen vermeld, en zij heeft, voor zover relevant voor de
beoordeling, betrekking op het ontwerp, de vervaardiging en de werking van
het product. De technische documentatie bevat, indien van toepassing, ten
minste de in bijlage V vermelde elementen;
het bewijsmateriaal voor de adequaatheid van de technische ontwerp- en
ontwikkelingsoplossingen en de procedures inzake de respons op
kwetsbaarheden. In het bewijsmateriaal moeten alle gebruikte documenten
worden vermeld, met name wanneer de desbetreffende geharmoniseerde
normen en/of technische specificaties niet volledig zijn toegepast. Zo nodig
worden ook de resultaten vermeld van tests die door een geschikt
laboratorium van de fabrikant of namens hem en onder zijn
verantwoordelijkheid door een ander laboratorium zijn verricht.

NL

4.

De aangemelde instantie:

4.1.

onderzoekt de technische documentatie en het bewijsmateriaal om te beoordelen of
het technisch ontwerp en de ontwikkeling van het product voldoen aan de essentiële
eisen van afdeling 1 van bijlage I en of de door de fabrikant ingestelde procedures
inzake de respons op kwetsbaarheden voldoen aan de essentiële eisen van afdeling 2
van bijlage I;

4.2.

controleert of de monsters overeenkomstig de technische documentatie zijn
ontwikkeld of vervaardigd, en stelt vast welke elementen zijn ontworpen en
ontwikkeld overeenkomstig de toepasselijke bepalingen van de desbetreffende
geharmoniseerde normen en/of technische specificaties, alsmede welke elementen
zijn ontworpen en ontwikkeld zonder de desbetreffende bepalingen van die normen
toe te passen;

4.3.

verricht de nodige onderzoeken en tests, of laat deze verrichten om, wanneer de
fabrikant ervoor heeft gekozen de oplossingen uit de desbetreffende geharmoniseerde
normen en/of technische specificaties voor de in bijlage I beschreven eisen toe te
passen, te controleren of deze op de juiste wijze zijn toegepast;

10

NL

4.4.

verricht de nodige onderzoeken en tests, of laat deze verrichten om, ingeval de
oplossingen in de desbetreffende geharmoniseerde normen en/of technische
specificaties voor de in bijlage I beschreven eisen niet zijn toegepast, te controleren
of de door de fabrikant gekozen oplossingen aan de desbetreffende essentiële eisen
voldoen;

4.5.

stelt in overleg met de fabrikant de plaats vast waar de onderzoeken en tests zullen
worden uitgevoerd.

5.

De aangemelde instantie stelt een evaluatieverslag op over de overeenkomstig punt 4
verrichte activiteiten en de resultaten daarvan. Onverminderd haar verplichtingen
jegens de aanmeldende autoriteiten, maakt de aangemelde instantie de inhoud van
dat verslag uitsluitend met instemming van de fabrikant geheel of gedeeltelijk
openbaar.

6.

Wanneer het type en de procedures inzake de respons op kwetsbaarheden aan de
essentiële eisen van bijlage I voldoen, verstrekt de aangemelde instantie de fabrikant
een certificaat van EU-typeonderzoek. Het certificaat bevat de naam en het adres van
de fabrikant, de conclusies van het onderzoek, de eventuele voorwaarden voor de
geldigheid ervan en de nodige gegevens voor de identificatie van het goedgekeurde
type en de goedgekeurde procedures inzake de respons op kwetsbaarheden. Bij het
certificaat kunnen één of meerdere bijlagen worden gevoegd.
Het certificaat en de bijlagen bevatten alle relevante informatie om de conformiteit
van de vervaardigde of ontwikkelde producten met het onderzochte type en de
onderzochte procedures inzake de respons op kwetsbaarheden te kunnen beoordelen
en controle tijdens het gebruik mogelijk te maken.
Wanneer het type en de procedures inzake de respons op kwetsbaarheden niet
voldoen aan de toepasselijke essentiële eisen van bijlage I, weigert de aangemelde
instantie een certificaat van EU-typeonderzoek af te geven en stelt zij de aanvrager
daarvan in kennis, met vermelding van de gedetailleerde redenen voor haar
weigering.

7.

De aangemelde instantie houdt zich op de hoogte van alle veranderingen in de
algemeen erkende stand van de techniek die erop wijzen dat het goedgekeurde type
en de goedgekeurde procedures inzake de respons op kwetsbaarheden mogelijk niet
langer voldoen aan de toepasselijke essentiële eisen van bijlage I bij deze
verordening, en bepaalt of dergelijke wijzigingen nader onderzoek vereisen. Als dit
het geval is, stelt de aangemelde instantie de fabrikant daarvan in kennis.
De fabrikant brengt de aangemelde instantie die de technische documentatie
betreffende het certificaat van EU-typeonderzoek bewaart op de hoogte van alle
wijzigingen van het goedgekeurde type en de goedgekeurde procedures inzake de
respons op kwetsbaarheden die van invloed kunnen zijn op de conformiteit met de
essentiële eisen in bijlage I of de voorwaarden voor de geldigheid van het certificaat.
Dergelijke wijzigingen vereisen een aanvullende goedkeuring in de vorm van een
bijvoegsel bij het oorspronkelijke certificaat van EU-typeonderzoek.

8.

NL

Elke aangemelde instantie brengt de autoriteiten die haar hebben aangemeld, op de
hoogte van de door haar verstrekte of ingetrokken certificaten van EU-typeonderzoek
en/of bijvoegsels daarbij en verstrekt deze autoriteiten op gezette tijden of op
verzoek een lijst van geweigerde, geschorste of anderszins beperkte certificaten en/of
bijvoegsels daarbij.

11

NL

Elke aangemelde instantie brengt de andere aangemelde instanties op de hoogte van
de door haar geweigerde, ingetrokken, geschorste of anderszins beperkte certificaten
van EU-typeonderzoek en bijvoegsels daarbij, alsmede, op verzoek, van de door haar
verstrekte certificaten en bijvoegsels daarbij.
De Commissie, de lidstaten en de andere aangemelde instanties kunnen op verzoek
een kopie van de certificaten van EU-typeonderzoek en de aanvullingen ontvangen.
De Commissie en de lidstaten kunnen op verzoek een kopie van de technische
documentatie en de resultaten van het door de aangemelde instantie verrichte
onderzoek ontvangen. De aangemelde instantie bewaart een kopie van het certificaat
van EU-typeonderzoek, de bijlagen en bijvoegsels erbij, alsook het technisch dossier,
met inbegrip van de door de fabrikant overgelegde documentatie, tot het einde van de
geldigheidsduur van het certificaat.
9.

De fabrikant houdt tot tien jaar na het in de handel brengen van het product een kopie
van het certificaat van EU-typeonderzoek, de bijlagen en bijvoegsels erbij, samen
met de technische documentatie, ter beschikking van de nationale autoriteiten.

10.

De gemachtigde vertegenwoordiger van de fabrikant kan de in punt 3 bedoelde
aanvraag indienen en de in de punten 7 en 9 vermelde verplichtingen vervullen, op
voorwaarde dat dit in het mandaat gespecificeerd is.

Conformiteit met het type op basis van interne productiecontrole (op basis van module
C)
1.
gedeelte van een conformiteitsbeoordelingsprocedure bedoeld waarin de fabrikant de
verplichtingen in de punten 2 en 3 nakomt en garandeert en verklaart dat de
betrokken producten in overeenstemming zijn met het type als beschreven in het
certificaat van EU-typeonderzoek en voldoen aan de essentiële eisen in afdeling 1
van bijlage I.
2.

Productie

2.1.

De fabrikant neemt alle nodige maatregelen om ervoor te zorgen dat de productie en
het toezicht erop garanderen dat de vervaardigde producten in overeenstemming zijn
met het goedgekeurde type als beschreven in het certificaat van EU-typeonderzoek
en met de essentiële eisen van afdeling 1 van bijlage I.

3.

Conformiteitsmarkering en conformiteitsverklaring

3.1.

De fabrikant brengt de CE-markering aan op elk afzonderlijk product dat in
overeenstemming is met het type als beschreven in het certificaat van EUtypeonderzoek en met de toepasselijke eisen van het wetgevingsinstrument.

3.2.

De fabrikant stelt voor elk productmodel een schriftelijke conformiteitsverklaring op
en houdt deze verklaring tot tien jaar na het in de handel brengen van het product ter
beschikking van de nationale autoriteiten. In de conformiteitsverklaring wordt het
productmodel geïdentificeerd waarvoor zij is opgesteld. Een exemplaar van de
conformiteitsverklaring wordt op verzoek aan de relevante autoriteiten verstrekt.

4.

Gemachtigde vertegenwoordiger
De in punt 3 vervatte verplichtingen van de fabrikant kunnen namens hem en onder
zijn verantwoordelijkheid worden vervuld door zijn gemachtigde vertegenwoordiger,
op voorwaarde dat dit in het mandaat gespecificeerd is.

NL

12

NL

Conformiteit op basis van volledige kwaliteitsborging (op basis van module H)
1.
conformiteitsbeoordelingsprocedure bedoeld waarbij de fabrikant de verplichtingen
in de punten 2 en 5 nakomt en op eigen verantwoordelijkheid garandeert en verklaart
dat de betrokken producten (of productcategorieën) aan alle essentiële eisen van
afdeling 1 van bijlage I voldoen en dat de door de fabrikant ingestelde procedures
inzake de respons op kwetsbaarheden aan de eisen van afdeling 2 van bijlage I
voldoen.
2.

Ontwerp, ontwikkeling, productie en reactie op kwetsbaarheden van producten met
digitale elementen
De fabrikant past een goedgekeurd kwaliteitssysteem als bedoeld in punt 3 toe op het
ontwerp, de ontwikkeling en de productie van de betrokken producten en op de
respons op kwetsbaarheden, handhaaft de doeltreffendheid ervan gedurende de
gehele levenscyclus van de betrokken producten en is onderworpen aan toezicht als
omschreven in punt 4.

3.

Kwaliteitssysteem

3.1.

De fabrikant dient voor de betrokken producten bij een aangemelde instantie van zijn
keuze een aanvraag tot beoordeling van zijn kwaliteitssysteem in.
De aanvraag omvat:
naam en adres van de fabrikant en, indien de aanvraag wordt ingediend door
zijn gemachtigde vertegenwoordiger, ook diens naam en adres;
de technische documentatie voor één model van elke categorie producten
die bestemd is om te worden vervaardigd of ontwikkeld. De technische
documentatie bevat, indien van toepassing, ten minste de in bijlage V
vermelde elementen;
de documentatie over het kwaliteitssysteem; en
een schriftelijke verklaring dat dezelfde aanvraag niet is ingediend bij een
andere aangemelde instantie.

3.2.

Het kwaliteitssysteem waarborgt dat de producten voldoen aan de essentiële eisen
van afdeling 1 van bijlage I en dat de door de fabrikant ingestelde procedures inzake
de respons op kwetsbaarheden voldoen aan de essentiële eisen van afdeling 2 van
bijlage I.
Alle door de fabrikant vastgestelde elementen, eisen en bepalingen moeten
systematisch en geordend worden gedocumenteerd in de vorm van schriftelijk
vastgelegde beleidsmaatregelen, procedures en instructies. Aan de hand van deze
handboeken en dossiers eenduidig kunnen worden geïnterpreteerd.
Zij moet met name een behoorlijke beschrijving bevatten van:
de
kwaliteitsdoelstellingen
en
het
organisatieschema,
de
verantwoordelijkheden en bevoegdheden van het management met
betrekking tot ontwerp, ontwikkeling, productkwaliteit en respons op
kwetsbaarheden;

NL

13

NL

de technische ontwerp- en ontwikkelingsspecificaties, met inbegrip van
normen, die zullen worden toegepast en, indien de relevante
geharmoniseerde normen en/of technische specificaties niet volledig zullen
worden toegepast, de middelen die zullen worden gebruikt om ervoor te
zorgen dat aan de essentiële eisen van afdeling 1 van bijlage I die op de
producten van toepassing zijn, wordt voldaan;
de procedurele specificaties, met inbegrip van normen, die zullen worden
toegepast en, indien de relevante geharmoniseerde normen en/of technische
specificaties niet volledig zullen worden toegepast, de middelen die zullen
worden gebruikt om ervoor te zorgen dat aan de essentiële eisen van
afdeling 2 van bijlage I die op de fabrikant van toepassing zijn, wordt
voldaan;
de controle op het ontwerp en de ontwikkeling, alsmede
verificatietechnieken, processen en systematische maatregelen voor ontwerp
en ontwikkeling die zullen worden gebruikt bij het ontwerpen en
ontwikkelen van de producten in de betrokken productcategorie;
de
bijbehorende
productie-,
kwaliteitscontroleen
kwaliteitsborgingstechnieken, -processen en systematische maatregelen die
zullen worden gebruikt;
de onderzoeken en tests die voor, tijdens en na de productie zullen worden
verricht, en de frequentie daarvan;
de kwaliteitsdossiers, zoals inspectieverslagen, test- en kalibratiegegevens,
rapporten betreffende de kwalificaties van het betrokken personeel enz.;
de middelen om toezicht te houden op het bereiken van de vereiste ontwerpen productkwaliteit en de doeltreffende werking van het kwaliteitssysteem.
3.3.

De aangemelde instantie beoordeelt het kwaliteitssysteem om te controleren of het
aan de in punt 3.2 bedoelde eisen voldoet.
Zij veronderstelt dat aan deze eisen wordt voldaan voor elementen van het
kwaliteitssysteem die voldoen aan de desbetreffende specificaties van de nationale
norm ter uitvoering van de desbetreffende geharmoniseerde norm en/of technische
specificatie.
Het auditteam moet ervaring hebben met kwaliteitsmanagementsystemen. Bovendien
moet ten minste één lid van het team ervaring hebben met beoordelingen in het
betrokken productgebied en de betrokken producttechnologie en op de hoogte zijn
van de toepasselijke eisen van deze verordening. De audit omvat een evaluatiebezoek
aan de bedrijfsruimten van de fabrikant, indien dergelijke bedrijfsruimten bestaan.
Het auditteam evalueert de in punt 3.1, tweede streepje, bedoelde technische
documentatie om te controleren of de fabrikant zich bewust is van de toepasselijke
eisen van deze verordening en het vereiste onderzoek kan verrichten om te
waarborgen dat het product aan die eisen voldoet.
De fabrikant of zijn gemachtigde vertegenwoordiger wordt van de beslissing in
kennis gesteld.
In deze kennisgeving zijn de conclusies van de audit opgenomen, evenals de met
redenen omklede beoordelingsbeslissing.

NL

14

NL

3.4.

De fabrikant verbindt zich ertoe de verplichtingen die voortvloeien uit het
goedgekeurde kwaliteitssysteem na te komen en te zorgen dat het passend en
doeltreffend blijft.

3.5.

De fabrikant brengt de aangemelde instantie die het kwaliteitssysteem heeft
goedgekeurd op de hoogte van elke voorgenomen wijziging van het
kwaliteitssysteem.
De aangemelde instantie beoordeelt de voorgestelde wijzigingen en beslist of het
gewijzigde kwaliteitssysteem blijft voldoen aan de in punt 3.2 bedoelde eisen dan
wel of een nieuwe beoordeling noodzakelijk is.
Zij stelt de fabrikant van haar besluit in kennis. In deze kennisgeving zijn de
conclusies van het onderzoek opgenomen, evenals de met redenen omklede
beoordelingsbeslissing.

4.

Toezicht onder de verantwoordelijkheid van de aangemelde instantie

4.1.

Het toezicht heeft tot doel te controleren of de fabrikant naar behoren voldoet aan de
verplichtingen die voortvloeien uit het goedgekeurde kwaliteitssysteem.

4.2.

De fabrikant verleent de aangemelde instantie voor beoordelingsdoeleinden toegang
tot de ontwerp-, ontwikkelings-, productie-, inspectie-, test- en opslaglocaties en
verstrekt haar alle nodige informatie, met name:
de documentatie over het kwaliteitssysteem;
de kwaliteitsdossiers als bedoeld in het deel van het kwaliteitssysteem dat
betrekking heeft op het ontwerp, zoals resultaten van analyses,
berekeningen, tests enz.;
de kwaliteitsdossiers als bedoeld in het deel van het kwaliteitssysteem dat
betrekking heeft op de vervaardiging, zoals inspectieverslagen, test- en
kalibratiegegevens, rapporten betreffende de kwalificaties van het betrokken
personeel enz.

4.3.

De aangemelde instantie verricht periodieke audits om te controleren of de fabrikant
het kwaliteitssysteem onderhoudt en toepast en verstrekt de fabrikant een
auditverslag.

5.

Conformiteitsmarkering en conformiteitsverklaring

5.1.

De fabrikant brengt de CE-markering en, onder de verantwoordelijkheid van de in
punt 3.1 bedoelde aangemelde instantie, het identificatienummer van die instantie
aan op elk afzonderlijk product dat aan de eisen van afdeling 1 van bijlage I bij deze
verordening voldoet.

5.2.

De fabrikant stelt voor elk productmodel een schriftelijke conformiteitsverklaring op
en houdt deze verklaring tot tien jaar na het in de handel brengen van het product ter
beschikking van de nationale autoriteiten. In de conformiteitsverklaring wordt het
productmodel geïdentificeerd waarvoor zij is opgesteld.
Een exemplaar van de conformiteitsverklaring wordt op verzoek aan de relevante
autoriteiten verstrekt.

6.

De fabrikant houdt gedurende een periode van ten minste tien jaar nadat het product
in de handel is gebracht het volgende ter beschikking van de nationale autoriteiten:
de in punt 3.1 bedoelde technische documentatie;

NL

15

NL

de in punt 3.1 bedoelde documentatie over het kwaliteitssysteem;
de in punt 3.5 bedoelde wijzigingen zoals deze zijn goedgekeurd;
de in de punten 3.5, 4.3 en 4.4 bedoelde beslissingen en verslagen van de
aangemelde instantie.
7.

Elke aangemelde instantie brengt de autoriteiten die haar hebben aangemeld, op de
hoogte van de door haar verstrekte of ingetrokken goedkeuringen van
kwaliteitssystemen en verstrekt deze autoriteiten op gezette tijden of op verzoek een
lijst van geweigerde, geschorste of anderszins beperkte goedkeuringen voor
kwaliteitssystemen.
Elke aangemelde instantie brengt de andere aangemelde instanties op de hoogte van
de door haar geweigerde, geschorste of ingetrokken goedkeuringen voor
kwaliteitssystemen alsmede, op verzoek, van de door haar verleende goedkeuringen
voor kwaliteitssystemen.

8.

Gemachtigde vertegenwoordiger
De in de punten 3.1, 3.5, 5 en 6 vervatte verplichtingen van de fabrikant kunnen
namens hem en onder zijn verantwoordelijkheid worden vervuld door zijn
gemachtigde vertegenwoordiger, op voorwaarde dat dit in het mandaat
gespecificeerd is.

NL

16

NL