VERORDENING (EU) 2024/2847 VAN HET EUROPEES PARLEMENT EN DE RAAD van 23 oktober 2024 betreffende horizontale cyberbeveiligingsvereisten voor producten met digitale elementen en tot wijziging van Verordeningen (EU) nr. 168/2013 en (EU) 2019/1020 en Richtlijn (EU) 2020/1828 (Verordening cyberweerbaarheid) (Voor de EER relevante tekst)

op de markt worden aangeboden zonder bekende uitbuitbare kwetsbaarheden;

op de markt worden aangeboden met een standaard beveiligde configuratie, tenzij anders overeengekomen tussen de fabrikant en de zakelijke gebruiker met betrekking tot een product met digitale elementen op maat, met inbegrip van de mogelijkheid om het product in zijn oorspronkelijke toestand te herstellen;

garanderen dat kwetsbaarheden kunnen worden aangepakt door middel van beveiligingsupdates, waaronder, indien van toepassing, door automatische beveiligingsupdates die worden geïnstalleerd binnen een passende termijn en die als standaardinstelling zijn ingeschakeld, met een duidelijk en gebruiksvriendelijk opt-outmechanisme, door de melding van beschikbare updates aan gebruikers, en door de mogelijkheid om die tijdelijk uit te stellen;

zorgen voor bescherming tegen ongeoorloofde toegang door middel van passende controlemechanismen, met inbegrip van maar niet beperkt tot authenticatie-, identiteits- of toegangsbeheersystemen, en melding maken van eventuele ongeoorloofde toegang;

de vertrouwelijkheid van opgeslagen, verzonden of anderszins verwerkte persoonsgegevens of andere gegevens beschermen, bijvoorbeeld door relevante inactieve gegevens of gegevens in overdracht met behulp van geavanceerde mechanismen te versleutelen, en door andere technische middelen te gebruiken;

de integriteit van opgeslagen, verzonden of anderszins verwerkte gegevens, persoonsgegevens of andere gegevens, commando’s, programma’s en configuraties beschermen tegen manipulatie of wijziging die niet door de gebruiker is toegestaan, en melding maken van beschadiging;

uitsluitend persoons- of andere gegevens verwerken die toereikend en ter zake dienend zijn en beperkt zijn tot wat noodzakelijk is met betrekking tot het beoogde doel van het product met digitale elementen (minimale gegevensverwerking);

de beschikbaarheid van essentiële en basisfuncties beschermen, ook na een incident, onder meer door middel van weerbaarheids- en beperkingsmaatregelen tegen denial of serviceaanvallen;

de negatieve impact van de producten zelf of van verbonden apparaten op de beschikbaarheid van diensten die door andere apparaten of netwerken worden geleverd, tot een minimum beperken;

worden ontworpen, ontwikkeld en geproduceerd om kwetsbaarheden voor aanvallen, met inbegrip van externe interfaces, te beperken;

worden ontworpen, ontwikkeld en geproduceerd om de gevolgen van een incident te beperken met behulp van passende mechanismen en technieken om uitbuiting te beperken;

beveiligingsgerelateerde informatie verstrekken door relevante interne activiteiten te registreren en te monitoren, met inbegrip van de toegang tot of wijziging van gegevens, diensten of functies, met een opt-outmechanisme voor de gebruiker;

gebruikers de mogelijkheid bieden om alle gegevens en instellingen veilig en gemakkelijk permanent te verwijderen en, indien die gegevens naar andere producten of systemen kunnen worden overgedragen, ervoor zorgen dat dat op een veilige manier gebeurt.

kwetsbaarheden en componenten in producten met digitale elementen vaststellen en documenteren, onder meer door een softwarestuklijst op te stellen in een algemeen gebruikt en machineleesbaar formaat waarin ten minste de afhankelijkheden van de producten op het hoogste niveau worden aangegeven;

in verband met de risico’s die verbonden zijn aan producten met digitale elementen, kwetsbaarheden onverwijld aanpakken en verhelpen, onder meer door beveiligingsupdates te verstrekken; indien technisch haalbaar moeten nieuwe beveiligingsupdates afzonderlijk van de functionaliteitsupdates worden verstrekt;

de beveiliging van het product met digitale elementen op doeltreffende en regelmatige wijze testen en evalueren;

zodra een beveiligingsupdate beschikbaar is gesteld, informatie delen en openbaar maken over verholpen kwetsbaarheden, met inbegrip van een beschrijving van de kwetsbaarheden, informatie aan de hand waarvan gebruikers het betreffende product met digitale elementen kunnen identificeren, de gevolgen van de kwetsbaarheden, de ernst ervan en duidelijke en toegankelijke informatie die gebruikers helpt de kwetsbaarheden te verhelpen; in naar behoren gemotiveerde gevallen kunnen fabrikanten, wanneer zij van mening zijn dat de beveiligingsrisico’s van openbaarmaking zwaarder wegen dan de beveiligingsvoordelen, het openbaar maken van informatie over een verholpen kwetsbaarheid uitstellen totdat de gebruikers de mogelijkheid hebben gekregen de desbetreffende patch uit te voeren;

een beleid inzake gecoördineerde openbaarmaking van kwetsbaarheden invoeren en handhaven;

maatregelen nemen om het delen van informatie over potentiële kwetsbaarheden in hun product met digitale elementen en in componenten van derden in dat product te vergemakkelijken, onder meer door een contactadres te verstrekken voor de melding van de kwetsbaarheden die in het product met digitale elementen zijn ontdekt;

voorzien in mechanismen om updates voor producten met digitale elementen veilig te verspreiden om ervoor te zorgen dat kwetsbaarheden tijdig en, waar van toepassing voor beveiligingsupdates, automatisch worden verholpen of beperkt;

ervoor zorgen dat, wanneer er beveiligingsupdates beschikbaar zijn om vastgestelde beveiligingsproblemen aan te pakken, die onverwijld en — tenzij anders overeengekomen tussen een fabrikant en een zakelijke gebruiker met betrekking tot een product met digitale elementen op maat — kosteloos worden verspreid, vergezeld van adviezen met relevante informatie voor gebruikers, onder meer over eventueel te nemen maatregelen.

de naam, de geregistreerde handelsnaam of het geregistreerde merk van de fabrikant, en het postadres, het e-mailadres of een ander digitaal communicatiemiddel alsook, indien beschikbaar, de website waarop contact met de fabrikant kan worden opgenomen;

het centraal contactpunt waar informatie over kwetsbaarheden van het product met digitale elementen kan worden gemeld en ontvangen, en waar het beleid van de fabrikant inzake gecoördineerde openbaarmaking van kwetsbaarheden kan worden gevonden;

naam en type en eventuele aanvullende informatie die de unieke identificatie van het product met digitale elementen mogelijk maakt;

het beoogde doel van het product met digitale elementen, met inbegrip van de door de fabrikant geboden beveiligingsomgeving, alsook de essentiële functies en informatie over de beveiligingseigenschappen van het product;

elke bekende of voorzienbare omstandigheid die verband houdt met het gebruik van het product met digitale elementen overeenkomstig het beoogde doel ervan of in een situatie van redelijkerwijs voorzienbaar verkeerd gebruik, die tot significante cyberbeveiligingsrisico’s kan leiden;

indien van toepassing, het internetadres waarop de EU-conformiteitsverklaring kan worden geraadpleegd;

het soort technische beveiligingsondersteuning dat door de fabrikant wordt aangeboden en de einddatum van de ondersteuningsperiode tijdens welke gebruikers kunnen verwachten dat kwetsbaarheden worden aangepakt en zij beveiligingsupdates ontvangen;

gedetailleerde instructies of een internetadres met betrekking tot dergelijke gedetailleerde instructies en informatie over:

indien de fabrikant besluit de softwarestuklijst ter beschikking te stellen van de gebruiker, informatie over waar de softwarestuklijst kan worden geraadpleegd.

naam en type van het product met digitale elementen en eventuele aanvullende informatie die de unieke identificatie ervan mogelijk maakt

naam en adres van de fabrikant of de gemachtigde vertegenwoordiger van de fabrikant

een vermelding dat de EU-conformiteitsverklaring wordt verstrekt onder de uitsluitende verantwoordelijkheid van de aanbieder

voorwerp van de verklaring (identificatie van het product met digitale elementen aan de hand waarvan het product kan worden getraceerd; indien passend kan een foto worden bijgevoegd)

een verklaring dat het hierboven beschreven voorwerp van de verklaring in overeenstemming is met de desbetreffende harmonisatiewetgeving van de Unie

verwijzingen naar alle gebruikte relevante geharmoniseerde normen of andere gemeenschappelijke specificaties of cyberbeveiligingscertificering met betrekking waartoe de conformiteitsverklaring is aangegeven

indien van toepassing, de naam en het nummer van de aangemelde instantie, een beschrijving van de uitgevoerde conformiteitsbeoordelingsprocedure en de identificatie van het afgegeven certificaat;

aanvullende informatie:

Ondertekend voor en namens:

(plaats en datum van afgifte):

(naam, functie) (handtekening):

een algemene beschrijving van het product met digitale elementen, met inbegrip van:

een beschrijving van het ontwerp, de ontwikkeling en de productie van het product met digitale elementen en de procedures inzake de respons op kwetsbaarheden, met inbegrip van:

een beoordeling van de cyberbeveiligingsrisico’s waartegen het product met digitale elementen wordt ontworpen, ontwikkeld, geproduceerd, geleverd en onderhouden op grond van artikel 13, met inbegrip van de wijze waarop de essentiële cyberbeveiligingsvereisten van deel I van bijlage I van toepassing zijn;

relevante informatie die in aanmerking is genomen om op grond van artikel 13, lid 8, de ondersteuningsperiode van het product met digitale elementen te bepalen;

een lijst van de geheel of gedeeltelijk toegepaste geharmoniseerde normen waarvan de referenties in het Publicatieblad van de Europese Unie zijn bekendgemaakt, gemeenschappelijke specificaties als bedoeld in artikel 27 van deze verordening of Europese cyberbeveiligingscertificeringsregelingen die zijn vastgesteld op grond van Verordening (EU) 2019/881 op grond van artikel 27, lid 8, van deze verordening en, indien die geharmoniseerde normen, gemeenschappelijke specificaties of Europese cyberbeveiligingscertificeringsregelingen niet zijn toegepast, een beschrijving van de gekozen oplossingen om aan de essentiële cyberbeveiligingsvereisten van de delen I en II van bijlage I te voldoen, met inbegrip van een lijst van andere relevante technische specificaties die zijn toegepast. In het geval van gedeeltelijk toegepaste geharmoniseerde normen, gemeenschappelijke specificaties of Europese cyberbeveiligingscertificeringsregelingen, wordt in de technische documentatie gespecificeerd welke delen zijn toegepast;

verslagen van de tests die zijn uitgevoerd om de conformiteit van het product met digitale elementen en van de procedures inzake de respons op kwetsbaarheden met de toepasselijke essentiële cyberbeveiligingsvereisten van de delen I en II van bijlage I te verifiëren;

een exemplaar van de EU-conformiteitsverklaring;

indien van toepassing, de softwarestuklijst, ingevolge een met redenen omkleed verzoek van een markttoezichtautoriteit, op voorwaarde dat dat noodzakelijk is om die autoriteit in staat te stellen de naleving van de essentiële cyberbeveiligingsvereisten van bijlage I te controleren.

naam en adres van de fabrikant en, indien de aanvraag wordt ingediend door de gemachtigde vertegenwoordiger van de fabrikant, de naam en het adres van die gemachtigde vertegenwoordiger;

een schriftelijke verklaring dat dezelfde aanvraag niet is ingediend bij een andere aangemelde instantie;

de technische documentatie aan de hand waarvan kan worden beoordeeld of het product met digitale elementen voldoet aan de toepasselijke essentiële cyberbeveiligingsvereisten van deel I van bijlage I en de procedures inzake de respons op kwetsbaarheden van de fabrikant van deel II van bijlage I, en die een adequate analyse en beoordeling van de risico’s omvat. In de technische documentatie worden de toepasselijke vereisten vermeld en de documentatie heeft, voor zover relevant voor de beoordeling, betrekking op het ontwerp, de vervaardiging en de werking van het product met digitale elementen. De technische documentatie bevat, indien van toepassing, ten minste de in bijlage VII vermelde elementen;

het bewijsmateriaal voor de adequaatheid van de technische ontwerp- en ontwikkelingsoplossingen en de procedures inzake de respons op kwetsbaarheden. In het bewijsmateriaal worden alle gebruikte documenten vermeld, met name wanneer de desbetreffende geharmoniseerde normen of technische specificaties niet volledig zijn toegepast. Zo nodig worden ook de resultaten vermeld van tests die door een geschikt laboratorium van de fabrikant of namens en onder de verantwoordelijkheid van de fabrikant door een ander laboratorium zijn verricht.

onderzoekt de technische documentatie en het bewijsmateriaal om te beoordelen of het technisch ontwerp en de ontwikkeling van het product met digitale elementen voldoen aan de essentiële cyberbeveiligingsvereisten van deel I van bijlage I en of de door de fabrikant ingestelde procedures inzake de respons op kwetsbaarheden voldoen aan de essentiële cyberbeveiligingsvereisten van deel II van bijlage I;

controleert of de monsters overeenkomstig de technische documentatie zijn ontwikkeld of vervaardigd, en stelt vast welke elementen zijn ontworpen en ontwikkeld overeenkomstig de toepasselijke bepalingen van de desbetreffende geharmoniseerde normen of technische specificaties, alsook welke elementen zijn ontworpen en ontwikkeld zonder de desbetreffende bepalingen van die normen toe te passen;

verricht de nodige onderzoeken en tests, of laat die verrichten om, wanneer de fabrikant ervoor heeft gekozen de oplossingen uit de desbetreffende geharmoniseerde normen of technische specificaties voor de vereisten van bijlage I toe te passen, te controleren of die op de juiste wijze zijn toegepast;

verricht de nodige onderzoeken en tests, of laat die verrichten om, ingeval de oplossingen in de desbetreffende geharmoniseerde normen of technische specificaties voor de cyberbeveiligingsvereisten van bijlage I niet zijn toegepast, te controleren of de door de fabrikant gekozen oplossingen aan de desbetreffende essentiële cyberbeveiligingsvereisten voldoen;

stelt in overleg met de fabrikant de plaats vast waar de onderzoeken en tests zullen worden uitgevoerd.

De fabrikant brengt de CE-markering aan op elk afzonderlijk product met digitale elementen dat in overeenstemming is met het type dat is beschreven in het certificaat van EU-typeonderzoek en voldoet aan de toepasselijke vereisten van deze verordening.

De fabrikant stelt voor elk productmodel een schriftelijke conformiteitsverklaring op en houdt die verklaring tot tien jaar na het in de handel brengen van het product met digitale elementen of gedurende de ondersteuningsperiode, indien die langer is, ter beschikking van de nationale autoriteiten. In de conformiteitsverklaring wordt het productmodel geïdentificeerd waarvoor de verklaring is opgesteld. Een kopie van de conformiteitsverklaring wordt op verzoek aan de relevante autoriteiten verstrekt.

De fabrikant dient voor de betrokken producten met digitale elementen bij een aangemelde instantie van zijn keuze een aanvraag tot beoordeling van zijn kwaliteitssysteem in.

De aanvraag omvat:

Het kwaliteitssysteem waarborgt dat de producten met digitale elementen voldoen aan de essentiële cyberbeveiligingsvereisten van deel I van bijlage I en dat de door de fabrikant ingestelde procedures inzake de respons op kwetsbaarheden voldoen aan de cyberbeveiligingsvereisten van deel II van bijlage I.

Alle door de fabrikant vastgestelde elementen, vereisten en bepalingen worden systematisch en geordend gedocumenteerd in de vorm van schriftelijk vastgelegde beleidsmaatregelen, procedures en instructies. Aan de hand van die documentatie van het kwaliteitssysteem moeten de kwaliteitsprogramma’s, -plannen, -handboeken en -dossiers eenduidig kunnen worden geïnterpreteerd.

Zij bevat met name een behoorlijke beschrijving van:

De aangemelde instantie beoordeelt het kwaliteitssysteem om te controleren of het aan de in punt 3.2 bedoelde vereisten voldoet.

Zij veronderstelt dat aan die vereisten wordt voldaan voor elementen van het kwaliteitssysteem die voldoen aan de desbetreffende specificaties van de nationale norm ter uitvoering van de desbetreffende geharmoniseerde norm of technische specificatie.

Het auditteam heeft ervaring met kwaliteitsmanagementsystemen. Bovendien heeft ten minste één lid van het team ervaring met beoordelingen in het betrokken productgebied en de betrokken producttechnologie en is op de hoogte van de toepasselijke vereisten van deze verordening. De audit omvat een beoordelingsbezoek aan de bedrijfsruimten van de fabrikant, indien dergelijke bedrijfsruimten bestaan. Het auditteam evalueert de in punt 3.1, b), bedoelde technische documentatie om te controleren of de fabrikant zich bewust is van de toepasselijke vereisten van deze verordening en in staat is het vereiste onderzoek te verrichten om te waarborgen dat het product met digitale elementen aan die vereisten voldoet.

De fabrikant of de gemachtigde vertegenwoordiger van de fabrikant wordt van de beslissing in kennis gesteld.

In die kennisgeving moeten de conclusies van de audit worden opgenomen, evenals de met redenen omklede beoordelingsbeslissing.

De fabrikant verbindt zich ertoe de verplichtingen die voortvloeien uit het goedgekeurde kwaliteitssysteem na te komen en ervoor te zorgen dat het systeem passend en doeltreffend blijft.

De fabrikant brengt de aangemelde instantie die het kwaliteitssysteem heeft goedgekeurd op de hoogte van elke voorgenomen wijziging van het kwaliteitssysteem.

De aangemelde instantie evalueert de voorgestelde wijzigingen en beslist of het gewijzigde kwaliteitssysteem blijft voldoen aan de in punt 3.2 bedoelde vereisten dan wel of een nieuwe beoordeling noodzakelijk is.

Zij stelt de fabrikant van haar besluit in kennis. In die kennisgeving moeten de conclusies van het onderzoek worden opgenomen, evenals de met redenen omklede beoordelingsbeslissing.

Het toezicht heeft tot doel te controleren of de fabrikant naar behoren voldoet aan de verplichtingen die voortvloeien uit het goedgekeurde kwaliteitssysteem.

De fabrikant verleent de aangemelde instantie voor beoordelingsdoeleinden toegang tot de ontwerp-, ontwikkelings-, productie-, inspectie-, test- en opslaglocaties en verstrekt haar alle nodige informatie, met name:

De aangemelde instantie verricht periodieke audits om te controleren of de fabrikant het kwaliteitssysteem onderhoudt en toepast en verstrekt de fabrikant een auditverslag.

De fabrikant brengt de CE-markering en, onder de verantwoordelijkheid van de in punt 3.1 bedoelde aangemelde instantie, het identificatienummer van die instantie aan op elk afzonderlijk product met digitale elementen dat aan de vereisten van deel I van bijlage I voldoet.

De fabrikant stelt voor elk productmodel een schriftelijke conformiteitsverklaring op en houdt die verklaring tot tien jaar na het in de handel brengen van het product met digitale elementen of gedurende de ondersteuningsperiode, indien die langer is, ter beschikking van de nationale autoriteiten. In de conformiteitsverklaring wordt het productmodel geïdentificeerd waarvoor de verklaring is opgesteld.

Een kopie van de conformiteitsverklaring wordt op verzoek aan de relevante autoriteiten verstrekt.

de in punt 3.1 bedoelde technische documentatie;

de in punt 3.1 bedoelde documentatie over het kwaliteitssysteem;

de in punt 3.5 bedoelde wijzigingen zoals die zijn goedgekeurd;

de in de punten 3.5 en 4.3 bedoelde beslissingen en verslagen van de aangemelde instantie.