Wie op Bol verkoopt is verantwoordelijk voor de producteisen uit de Europese wetgeving. Dat zijn onder meer de CE-markering, de algemene productveiligheid onder de GPSR, de energie-etikettering via EPREL en de eisen voor batterijen en verpakking. Voor elk daarvan geldt bovendien dat u met documentatie moet kunnen onderbouwen dat uw product voldoet.
Welke regels precies gelden, hangt namelijk af van wat u verkoopt. De meest voorkomende producteisen zijn daarom deze:
CE-markering voor producten die onder een CE-richtlijn of verordening vallen, met een technisch dossier eronder.
GPSR voor de algemene veiligheid van consumentenproducten, met een risicobeoordeling en traceerbaarheid.
EPREL voor de registratie en het energielabel van energiegerelateerde producten.
Batterijen onder de batterijverordening, voor producten met een batterij.
Verpakking onder de PPWR, met eisen aan materiaal en etikettering.
De rode draad is dus bewijs. Een marktplaats, een toezichthouder of een afnemer wil immers niet horen dat het klopt. Hij wil namelijk het dossier zien. Kortom, daar draait het bij producteisen om.
Waarom controleert Bol deze producteisen?
Bol controleert de producteisen omdat de marktplaats zelf een zorgplicht heeft. Sinds de GPSR in december 2024 van kracht werd, moeten platforms namelijk nagaan of producten aan de Europese regels voldoen. Bol vraagt verkopers daarom om een aantoonbaar dossier. Ontbreekt dat, dan kan een listing worden geblokkeerd of volgt er een vraag vanuit het toezicht.
De verantwoordelijkheid ligt bovendien niet alleen bij de fabrikant. Immers, de GPSR legt ook de marktplaats een plicht op. Daardoor moet Bol kunnen laten zien dat de producten op het platform aan de regels voldoen. Die eis geeft het vervolgens door aan de verkopers.
Voor u verschuiven de producteisen daarmee van sluitpost naar voorwaarde. Een compleet dossier is immers het verschil tussen ongestoord verkopen en een geblokkeerde listing of vragen van de toezichthouder.
Wat betekent dit voor u als verkoper op Bol?
Voor u als verkoper op Bol betekent het dat de producteisen geen bijzaak meer zijn. U hebt namelijk een dossier nodig dat CE, GPSR, EPREL, batterijen en verpakking dekt en dat standhoudt als Bol, een toezichthouder of een afnemer erom vraagt. Een erkende partner neemt dat werk daarom uit handen en levert een dossier dat de toets doorstaat.
Het goede nieuws is dat u het toch niet zelf hoeft uit te zoeken. Waar veel verkopers namelijk op vastlopen is niet de regel zelf, maar de vraag ervoor. Geldt dit voor mijn product? Wat vraag ik aan mijn leverancier? En waar begin ik?
Vraag uw leverancier naar de onderbouwing, niet naar het CE-logo
Een leverancier die CE claimt heeft namelijk niet altijd de rapporten. De eerste vraag is daarom niet of het product CE heeft, maar welke testrapporten en verklaringen hij vandaag kan sturen. Dat bepaalt immers of uw dossier standhoudt als Bol of een toezichthouder erom vraagt.
Declaer beantwoordt die vragen en bouwt vervolgens het dossier dat eronder hoort. Zo weet u met een vaste prijs vooraf en een voorstel binnen 24 uur waar u aan toe bent voordat u begint.
Verkoopt u op Bol en twijfelt u over uw dossier?
Laat kort weten om wat voor product het gaat. Wij bepalen de route en sturen binnen 24 uur een offerte met een vaste prijs.
Declaer is erkend compliancepartner van Bol
Declaer is erkend compliancepartner van Bol en staat op het Bol Certified Partners-platform, in het thema Wetgeving en Certificering. Daarnaast draagt Declaer de bronze partnerstatus, de hoogste rang voor een productcompliance-partner. Dat is dus het bewijs dat wij de producteisen op Bol dagelijks voor verkopers regelen.
Het partnerplatform is namelijk een etalage, geen doorverwijzing. Bol zet er de partijen op de kaart waar verkopers hun zaken mee kunnen regelen. Onder het thema Wetgeving en Certificering staan zo de bureaus die helpen om producten aantoonbaar aan de Europese regels te laten voldoen. Declaer is daar bovendien als eerste onder de aangescherpte voorwaarden toegelaten.
Het officiële partnerlabel van Bol. Bronze is de hoogste partnerrang voor productcompliance.
De rang heet bronze. Dat klinkt weliswaar bescheiden, maar het is het plafond voor een compliancepartner. Hoger komt een partij in deze categorie namelijk niet. Dat Declaer daar als eerste onder de nieuwe voorwaarden binnenkomt, zegt dus iets over de manier waarop wij dossiers opbouwen.
Verordening (EU) 2023/988 inzake algemene productveiligheid (GPSR), tekst op EUR-Lex
Bronnen nagekeken op 2 oktober 2026
FF
Francois Frietman
Oprichter Declaer
Jurist met een achtergrond in e-commerce. Schrijft over de regels die hij dagelijks toepast in dossiers voor merken en fabrikanten. Meer over Francois
Veelgestelde vragen
Welke producteisen controleert Bol?
Bol kijkt naar de regels die per productgroep gelden: CE-markering, algemene productveiligheid onder de GPSR, energie-etikettering via EPREL en de eisen voor batterijen en verpakking. U moet bovendien met documentatie kunnen onderbouwen dat uw product aan die eisen voldoet.
Verwijst Bol verkopers rechtstreeks naar Declaer door?
Nee. Het Bol Certified Partners-platform promoot namelijk geverifieerde partijen, maar Bol stuurt verkopers niet automatisch door. Een verkoper kiest dus zelf een partner uit het overzicht. Declaer staat daar onder het thema Wetgeving en Certificering.
Werkt Declaer alleen voor verkopers op Bol?
Nee. Declaer regelt namelijk productcompliance voor merken en fabrikanten, ongeacht het verkoopkanaal. De erkenning door Bol is dus een bevestiging, geen beperking. Ook buiten Bol geldt bovendien dezelfde aanpak en dezelfde documentatie.
Wij bouwen namelijk het compliancedossier voor merken en fabrikanten, van de scope tot de verklaring die u ondertekent. Zo krijgt u een offerte binnen 24 uur met een vaste prijs en een doorlooptijd.
Welke duurzaamheidsclaims op verpakking nu verboden zijn
De Nederlandse wet kent sinds 27 september 2026 twaalf nieuwe handelspraktijken die onder alle omstandigheden misleidend zijn. Zij staan in artikel 6:193g van het Burgerlijk Wetboek, onderdelen ab tot en met am. Vier gaan over milieuclaims en keurmerken, een over wettelijke eisen als verkoopargument, de rest over levensduur en reparatie.
Deze onderdelen komen uit Richtlijn (EU) 2024/825, in de wandelgangen de EmpCo-richtlijn. Nederland heeft die omgezet met de Implementatiewet richtlijn betere duurzaamheidsinformatie voor consumenten, Staatsblad 2026, 152. De wet wijzigt Boek 6 van het Burgerlijk Wetboek. De Autoriteit Consument en Markt is aangewezen als toezichthouder.
Onder alle omstandigheden misleidend betekent dat de toezichthouder niet hoeft aan te tonen dat de consument daadwerkelijk is misleid. De praktijk staat op de zwarte lijst. Daarmee is zij verboden, ongeacht de context.
Onderdeel
Wat verboden is
Raakt vooral
ab
Een duurzaamheidskeurmerk tonen dat niet op een certificeringsregeling rust of niet door een overheidsinstantie is ingesteld
Eigen logo op de doos
ac
Een generieke milieuclaim maken zonder erkende voortreffelijke milieuprestaties
Groen, eco, milieuvriendelijk
ad
Een milieuclaim over het hele product doen terwijl hij slechts op een onderdeel slaat
Gerecycled materiaal
ae
Beweren dat een product door compensatie van broeikasgassen neutraal of positief uitpakt
Klimaatneutraal, CO2-neutraal
af
Wettelijk verplichte eisen presenteren als onderscheidend kenmerk van uw aanbod
CE, RoHS, EU-normen in listings
ag, ah
Verzwijgen dat een software-update nadelig uitpakt. Een update als noodzakelijk voorstellen terwijl hij alleen functies toevoegt
Producten met een app
ai
Reclame maken voor een product met een kenmerk dat bewust de levensduur beperkt
Geplande veroudering
aj
Valselijk beweren dat een product een bepaalde levensduur heeft
Gaat tien jaar mee
ak
Een product als repareerbaar presenteren terwijl het dat niet is
Repareerbaar, duurzaam ontwerp
al, am
Aanzetten tot te vroeg vervangen van verbruiksgoederen. Onjuist beweren dat niet-originele onderdelen de werking aantasten
Filters, cartridges, accessoires
Of u eco nog mag gebruiken
Een algemene milieuclaim als groen, ecologisch, milieuvriendelijk of biologisch afbreekbaar mag alleen nog wanneer u erkende voortreffelijke milieuprestaties kunt aantonen. Dat kan op drie manieren. De EU-milieukeur, een nationaal type I keurmerk zoals Milieukeur en een topklasse onder andere Europese wetgeving, zoals het energielabel.
De wetgever noemt in de overwegingen bij de richtlijn zelf de woorden die hieronder vallen: milieuvriendelijk, milieubewust, groen, natuurvriendelijk, ecologisch, ecologisch verantwoord, klimaatvriendelijk, zacht voor het milieu, koolstofarm, energie-efficiënt, biologisch afbreekbaar en biogebaseerd.
Er is een tweede route. Voor de meeste merken is dat de werkbare. Een milieuclaim is namelijk alleen generiek wanneer de specificatie ontbreekt. Zet u de onderbouwing duidelijk op hetzelfde medium, dus op dezelfde doos of dezelfde productpagina? Dan is de claim niet generiek. Het verbod van onderdeel ac geldt dan niet.
Let op wat u als specificatie laat gelden. De claim en de onderbouwing moeten over hetzelfde gaan. Energie-efficiënt mag u onderbouwen met een energielabel onder Verordening (EU) 2017/1369. Biologisch afbreekbaar kunt u niet onderbouwen met de EU-milieukeur wanneer die keur voor uw productgroep geen eisen aan afbreekbaarheid stelt.
Een woord als bewust, duurzaam of verantwoord valt sowieso buiten de ontsnappingsroute van de milieukeur. Die woorden slaan namelijk niet alleen op milieukenmerken maar ook op sociale kenmerken. Daar zegt een milieukeurmerk niets over.
Wat er met uw eigen duurzaamheidslogo gebeurt
Een duurzaamheidskeurmerk mag u alleen tonen wanneer het op een certificeringsregeling rust of door een overheidsinstantie is ingesteld. Een zelfbedacht groen bolletje met het woord eco erin valt af. Keurmerken van overheden buiten de Europese Unie vallen volgens de Commissie ook af, tenzij er een certificeringsregeling onder ligt.
Een certificeringsregeling is in de wet scherp omschreven. Zij staat open voor alle handelaren onder eerlijke voorwaarden. De eisen zijn met deskundigen opgesteld. Er is een procedure voor niet-naleving, met schorsing of intrekking van het keurmerk. Het toezicht ligt bij een onafhankelijke derde. Een eigen merkprogramma zonder externe controle voldoet daar niet aan.
Voor merken die in Azië laten produceren zit hier een tweede valkuil. De Commissie schrijft in haar vragen en antwoorden van 22 september 2026 dat keurmerken van overheidsinstanties buiten de Unie niet onder de uitzondering vallen. Een nationaal milieulabel uit het land van productie is dus geen vrijbrief, tenzij er een certificeringsregeling achter zit.
Het begrip keurmerk is daarbij ruimer dan een logo met een naam eronder. De Commissie waarschuwt expliciet voor beeldelementen in het artwork. Groene blaadjes, waterdruppels en vergelijkbare natuuriconen kunnen door de gemiddelde consument worden gelezen als een impliciete milieuclaim of als een vrijwillig keurmerk. Dat hangt af van de context, de plaatsing en de totale indruk van de verpakking.
Waarom CE-gekeurd geen verkoopargument meer is
Het is sinds 27 september 2026 onder alle omstandigheden misleidend om een wettelijke verplichting te presenteren als onderscheidend kenmerk van uw aanbod. CE-markering, RoHS of een EU-veiligheidsnorm geldt voor elk product in de categorie. Zo’n eis in uw productomschrijving zetten als pluspunt mag dus niet meer.
Dit is onderdeel af, in de richtlijn punt 10 bis van de zwarte lijst. Het staat tussen de milieubepalingen maar gaat niet over duurzaamheid. Voor merken die via marktplaatsen verkopen is het wel direct raak. Het type bulletpoint waarop dit verbod ziet is CE-gekeurd, voldoet aan alle EU-veiligheidsnormen of RoHS-compliant.
Het verbod gaat niet over de markering zelf. De CE-markering aanbrengen blijft verplicht waar de wetgeving dat eist. De conformiteitsverklaring blijft het document dat u ondertekent. Het gaat over de presentatie: u mag de verplichting niet voorstellen als iets waarin uw aanbod zich onderscheidt.
Er is een uitzondering. Die is scherp begrensd. De Commissie bevestigt dat het verbod niet geldt wanneer de eis slechts voor een deel van de categorie geldt. Concurrerende producten op de Uniemarkt vallen er dan buiten. Geldt de eis voor alles in uw categorie, dan valt u onder het verbod. Dezelfde redenering geldt voor eisen uit derde landen.
Een verwant verbod staat in artikel 6:193c BW: adverteren met een voordeel dat zowel irrelevant is als niet uit enig kenmerk van het product voortvloeit. De richtlijn noemt glutenvrij flessenwater als voorbeeld. Water bevat van nature geen gluten, dus is het geen kenmerk van dat merk. Nikkelvrije sieraden mogen wel, want sommige sieraden bevatten wel degelijk nikkel.
Wat u doet met verpakking die al gedrukt is
Er is geen overgangsregeling voor oude voorraad. De regels gelden ook voor verpakking die voor 27 september 2026 al gedrukt of geleverd was. De Europese consumentenautoriteiten hebben wel afgesproken dat zij bij echte overgangsproblemen gefaseerd handhaven en niet meteen vernietiging of terugroeping eisen.
Die afspraak staat in de Common Understanding on old stock situations van het Consumer Protection Cooperation Network, het samenwerkingsverband van Europese consumentenautoriteiten. De ACM publiceerde het document op 1 juli 2026 met een Nederlandse toelichting. Het is uitdrukkelijk geen bindende uitleg van de richtlijn, maar een gedeelde lijn voor hoe toezichthouders hun bevoegdheden inzetten.
De kern is dat autoriteiten rekening kunnen houden met objectieve beperkingen: verpakkingscycli, voorraadvolumes, eerder geplaatste productieorders, afhankelijkheden in de keten, een lange houdbaarheid en de technische haalbaarheid van een correctie. Zij kunnen ervan afzien vernietiging of een terugroepactie te verlangen wanneer dat onevenredige kosten of onnodige milieuschade zou opleveren.
Daar staat tegenover wat zij van u verwachten. Het document somt de inspanningen op die zij redelijk achten:
Online claims verwijderen of corrigeren. Digitale uitingen kunt u vandaag aanpassen, dus daar wordt het eerst naar gekeken.
Advertenties en promotiemateriaal bijwerken. Hetzelfde argument als hierboven.
Nieuwe verpakking en nieuwe orders aanpassen. Wat nog niet gedrukt is, gaat correct de pers op.
Stickeren of labelling verwijderen waar dat haalbaar en proportioneel is.
Corrigerende informatie tonen op het verkooppunt, ook online, bij de betreffende producten.
Afstemmen met leveranciers en andere partijen in de keten.
Vastleggen wat u wanneer heeft gedaan, inclusief interne richtlijnen en onderbouwingswerk.
Dat laatste punt is het punt dat merken onderschatten. De gefaseerde aanpak geldt voor wie aantoonbaar bezig is. Zonder dossier waaruit blijkt wanneer u wat heeft aangepast, heeft u geen aantoonbare inspanning. Dan is er niets om rekening mee te houden.
Hoe de verpakkingsverordening er overheen valt
Op verpakking liggen twee regimes over elkaar heen. De consumentenregels bepalen of u een claim mag maken. De verpakkingsverordening stelt daarbovenop eisen aan claims over recyclebaarheid, gerecycled gehalte en herbruikbaarheid. Die claims mogen alleen boven de wettelijke minimumeis uitgaan. U toont dat aan in uw technische documentatie.
Artikel 14 van Verordening (EU) 2025/40, de PPWR, geldt sinds 12 augustus 2026. Het stelt twee eisen aan een milieuclaim over een verpakkingseigenschap waarvoor de verordening zelf voorschriften kent. De claim mag uitsluitend gaan over wat de minimumeisen overschrijdt, berekend volgens de methoden uit die verordening. Daarnaast moet de claim specificeren waarop hij slaat: op de verpakkingseenheid, op een onderdeel daarvan of op alle verpakking die u op de markt brengt.
De slotzin van dat artikel is de zin die het werk bepaalt. Dat aan deze eisen is voldaan moet blijken uit de technische documentatie bij de verpakking, bedoeld in bijlage VII. Een recyclebaarheidsclaim is daarmee geen marketingkeuze meer maar een dossieritem naast uw conformiteitsbeoordeling.
Praktisch betekent dit het volgende. 100 procent recyclebaar is sinds 12 augustus 2026 pas een claim wanneer u kunt laten zien dat uw verpakking de minimumeis van de PPWR overstijgt. Dat rekent u uit met de regels uit die verordening. Wie die onderbouwing niet heeft, maakt een claim die zowel onder de verpakkingsverordening als onder artikel 6:193g BW te ver gaat.
Wat u nu van uw doos haalt
Begin bij de artwork-bestanden die bij uw leverancier liggen, niet bij uw website. Inventariseer elke claim, elk logo en elk groen beeldelement op doos, label en handleiding. Leg per claim vast waarop hij rust. Pas daarna bepaalt u wat eraf moet, wat u specificeert en wat u laat staan.
Haal de artwork op bij uw leverancier. Niet de verkoopfoto maar het drukbestand, inclusief de meertalige varianten. Daar staan claims in die nooit door uw marketingafdeling zijn gegaan.
Markeer drie categorieën. Tekstclaims. Logo’s en keurmerken. Beeldelementen zoals bladeren, aarde, waterdruppels en groene vlakken.
Zoek per claim de onderbouwing. Een testrapport, een certificaat, een berekening of niets. Niets is ook een uitkomst. Dan weet u dat de claim eraf gaat.
Toets de keurmerken. Rust het keurmerk op een certificeringsregeling met onafhankelijk toezicht of is het door een EU-overheidsinstantie ingesteld? Zo nee, dan vervalt het.
Schrap de compensatieclaims. Klimaatneutraal en CO2-neutraal op basis van compensatie kennen geen onderbouwing die dit verbod opheft.
Loop uw listings langs op onderdeel af. CE, RoHS, EU-normen en andere verplichtingen horen niet in de verkoopargumenten.
Leg de planning vast. Welke uiting past u wanneer aan, welke voorraad loopt uit en wanneer gaat de nieuwe artwork naar de drukker.
Het laatste punt is tegelijk het goedkoopste. Online uitingen past u zelf aan. De gedrukte voorraad is het dure deel. Juist daarvoor is de vastgelegde planning het bewijs van een aantoonbare inspanning.
Bronnen
Richtlijn (EU) 2024/825 betreffende het versterken van de positie van de consument voor de groene transitie, tekst op EUR-Lex
Verordening (EU) 2025/40 betreffende verpakkingen en verpakkingsafval, artikel 14, tekst op EUR-Lex
Wetgeving nagekeken op 1 oktober 2026
FF
Francois Frietman
Oprichter Declaer
Jurist met een achtergrond in e-commerce. Schrijft over de regels die hij dagelijks toepast in dossiers voor merken en fabrikanten. Meer over Francois
Veelgestelde vragen
Mag ik duurzaam of groen nog op mijn verpakking zetten?
Alleen wanneer u erkende voortreffelijke milieuprestaties kunt aantonen. Er is een tweede weg: specificeer de claim op dezelfde verpakking. Zet u er duidelijk bij waar het duurzaamheidsvoordeel precies in zit, dan is het geen generieke claim en geldt het verbod van onderdeel ac niet.
Geldt dit ook als ik alleen aan bedrijven verkoop?
Nee. De regels komen uit het consumentenrecht en gelden voor commerciële communicatie richting consumenten. Verkoopt u uitsluitend aan bedrijven, dan vallen uw uitingen er niet onder. Zodra uw product via een afnemer of marktplaats bij consumenten komt, geldt het voor de claims die de consument te zien krijgt.
Moet ik mijn bestaande voorraad vernietigen?
Nee. De regels kennen geen overgangsregeling, maar de Europese consumentenautoriteiten hebben afgesproken dat zij bij echte overgangsproblemen gefaseerd handhaven. Zij kunnen afzien van vernietiging of terugroeping wanneer dat onevenredige kosten of onnodige milieuschade geeft. Daarvoor moet u wel kunnen laten zien welke stappen u wanneer heeft gezet.
Mag ik CE-gekeurd in mijn productomschrijving zetten?
Nee, niet als verkoopargument. Onderdeel af van artikel 6:193g BW verbiedt het presenteren van wettelijk opgelegde eisen als onderscheidend kenmerk van uw aanbod. De CE-markering zelf blijft uiteraard verplicht waar de wetgeving dat eist. Het verbod gaat over het uitventen ervan, niet over de markering.
Telt een groen blaadje op mijn doos als claim?
Dat kan. De Europese Commissie schrijft dat natuuriconen zoals bladeren en waterdruppels meetellen. De gemiddelde consument kan ze lezen als een impliciete milieuclaim of als een vrijwillig keurmerk. Of dat zo is hangt af van de plaatsing, de combinatie met tekst en de totale indruk van de verpakking.
Wie is aansprakelijk als mijn leverancier de claim op de doos zette?
U, zodra u het product onder uw eigen merk in de Europese Unie verkoopt. De regels richten zich op de handelaar die de commerciële communicatie doet. Dat uw leverancier het artwork aanleverde verandert daar niets aan, net zomin als dat bij de conformiteitsverklaring het geval is.
De Cyber Resilience Act verplichtingen gaan in twee stappen in. De meldplicht uit Verordening (EU) 2024/2847, in het Nederlands de Verordening cyberweerbaarheid, geldt sinds 11 september 2026. De producteisen, de conformiteitsbeoordeling en de CE-markering volgen op 11 december 2027. Verkoopt u een product met digitale elementen onder uw eigen merk, dan bent u de fabrikant.
De Europese Commissie publiceerde op 27 juli 2026 richtsnoeren met 67 praktijkvoorbeelden. Die zijn niet bindend, maar ze laten wel zien hoe de toezichthouder de verordening leest.
Wat geldt er nu al
Sinds 11 september 2026 moet een fabrikant elke actief uitgebuite kwetsbaarheid en elk ernstig beveiligingsincident in zijn product melden bij het Nationaal Cyber Security Centrum. De eerste melding gaat binnen 24 uur de deur uit. Die plicht geldt ook voor producten die al jaren op de markt liggen.
Hier zit het misverstand dat op dit moment de meeste dossiers raakt. Veel merken hebben in hun agenda 11 december 2027 staan en gaan ervan uit dat er tot die tijd niets hoeft. Dat klopt voor de producteisen. Het klopt niet voor de meldplicht.
Artikel 71 van de verordening bepaalt dat artikel 14 al vanaf 11 september 2026 van toepassing is. Artikel 69, lid 3, breidt dat uit naar alle producten binnen het toepassingsgebied. Ook producten die vóór 11 december 2027 in de handel kwamen, vallen eronder.
De richtsnoeren van de Commissie maken het onderscheid nog scherper. Voor een product dat u vóór 11 december 2027 op de markt bracht, gelden de eisen voor kwetsbaarhedenbeheer uit bijlage I deel II niet. De meldplicht geldt wel. U hoeft dus niets aan dat product te veranderen, maar u moet wel weten waar u meldt zodra er iets misgaat.
Geen terugwerkende kracht
Wist u vóór 11 september 2026 al dat een kwetsbaarheid actief werd misbruikt, dan hoeft u die niet alsnog te melden. Wist u wel van de kwetsbaarheid maar niet van misbruik? Blijkt dat misbruik daarna, dan geldt de meldplicht gewoon.
De datums uit de Verordening cyberweerbaarheid
Datum
Wat er ingaat
Voor welke producten
10 december 2024
Inwerkingtreding
Nog geen verplichtingen
11 juni 2026
Aanmelding van testhuizen
Niet van toepassing op fabrikanten
11 september 2026
Meldplicht artikel 14
Alle producten binnen de scope, ook bestaande
11 december 2027
Producteisen, beoordeling, CE-markering
Producten die daarna in de handel komen
11 juni 2028
Einde geldigheid oude typecertificaten
Certificaten uit andere harmonisatiewetgeving
Wanneer u de fabrikant bent
U bent fabrikant zodra u een product met digitale elementen onder uw eigen naam of merk in de handel brengt. Wie het product feitelijk maakt, doet niet ter zake. Een importeur die een Aziatisch ontwerp onder eigen merk verkoopt, draagt dus alle verplichtingen die de verordening aan een fabrikant stelt.
Artikel 21 legt dat rechtstreeks vast. Een importeur of distributeur wordt als fabrikant beschouwd zodra hij het product onder zijn eigen naam of merk in de handel brengt. Datzelfde geldt bij een ingrijpende wijziging aan een product dat al op de markt is.
Voor de doelgroep van Declaer is dat de kern van het verhaal. Laat u in Azië produceren en zet u uw eigen merknaam op de doos, dan bent u juridisch de fabrikant. Uw leverancier is dat niet. De omvang van uw onderneming verandert daar niets aan.
Kleine en micro-ondernemingen krijgen één verzachting. Zij hebben wel de meldplicht, maar krijgen geen boete als zij de eerste termijn van 24 uur niet halen. De melding zelf blijft verplicht.
Zit u met een vraag over uw eigen product?
Laat kort weten waar het over gaat. Wij nemen contact op met wat wij kunnen doen en wat het kost.
Uw vraag is binnen
Wij reageren op werkdagen binnen 24 uur. U kunt gewoon verderlezen.
Welke producten eronder vallen
Een product met digitale elementen is hardware of software die verbinding kan maken met een apparaat of een netwerk. Denk aan een babyfoon, een slimme deurbel, een smartwatch, een router of een app. Ook losse componenten zoals een microcontroller vallen onder de verordening.
Artikel 3, lid 1, definieert het begrip breed: een software- of hardwareproduct met zijn oplossingen voor gegevensverwerking op afstand. Ook losse onderdelen daarvan tellen mee. De cloudkant van een slimme thermostaat telt dus mee, voor zover het product zonder die verbinding een functie mist.
Buiten de verordening vallen producten die al onder eigen sectorale regels staan. De verordening noemt medische hulpmiddelen onder 2017/745 en 2017/746, motorvoertuigen onder 2019/2144 en luchtvaartproducten onder 2018/1139.
Verkoopt u radioapparatuur, dan heeft u al te maken met de eisen uit artikel 3, lid 3, punten d, e en f van de radioapparatuurrichtlijn. De essentiële eisen van de Verordening cyberweerbaarheid omvatten al die elementen. Dat is uitdrukkelijk zo bedoeld, zodat één set eisen overblijft zodra de Commissie de oude gedelegeerde verordening intrekt of aanpast.
Hoe u een melding doet
Een melding loopt in Nederland via het digitale meldloket van het Nationaal Cyber Security Centrum. Er is geen registratieplicht vooraf. De verordening vraagt drie berichten over dezelfde zaak: een waarschuwing binnen 24 uur, een melding binnen 72 uur en daarna een eindverslag.
U meldt in Nederland als uw hoofdvestiging hier staat. Heeft uw groep meerdere Europese vestigingen, dan meldt de entiteit met de hoofdvestiging bij het aangewezen CSIRT van dat land. Het NCSC zorgt dat de melding bij ENISA en bij de andere lidstaten terechtkomt. U meldt dus op één plek.
De termijnen uit artikel 14
Stap
Termijn
Wat u aanlevert
Vroegtijdige waarschuwing
24 uur
Signalering en in welke lidstaten uw product beschikbaar is
Melding
72 uur
Het product, de aard van de kwetsbaarheid en uw maatregelen
Eindverslag kwetsbaarheid
14 dagen
Na het beschikbaar stellen van een oplossing
Eindverslag incident
1 maand
Na de melding binnen 72 uur
Alle termijnen starten op het moment dat u kennis krijgt van de kwetsbaarheid of het incident. De richtsnoeren van de Commissie vullen dat in: u heeft kennis zodra u na een eerste beoordeling redelijke zekerheid heeft dat er misbruik plaatsvindt. Die eerste beoordeling moet u wel meteen doen.
Niet alles is een melding waard. Een kwetsbaarheid die u zelf vindt, die uit een pentest komt of die via responsible disclosure binnenkomt zonder bekend misbruik, hoeft u niet te melden. Pas bij betrouwbaar bewijs van misbruik ontstaat de plicht.
Een kwetsbaarheid in een component van uw leverancier
Zit de kwetsbaarheid in een onderdeel dat u heeft ingekocht, dan meldt u die voor uw eigen product. Is het kwetsbare stuk code in uw product niet bereikbaar of aantoonbaar niet misbruikt, dan hoeft u niet te melden. U moet de kwetsbaarheid wel doorgeven aan de maker van dat onderdeel.
Wanneer een testhuis nodig is
De verordening kent vier categorieën. Voor een regulier product volstaat een eigen beoordeling. Bijlage III wijst daarnaast belangrijke producten aan in klasse I en klasse II. Bijlage IV noemt de kritieke producten. Voor die categorieën is een aangemelde instantie nodig zodra geharmoniseerde normen ontbreken.
Klasse I van bijlage III is voor een merk in consumentenelektronica de categorie om te controleren. Daarin staan onder meer:
Producten voor slimme huizen met een beveiligingsfunctie, met zoveel woorden slimme deursloten, beveiligingscamera’s, babyfoons en alarmsystemen.
Met het internet verbonden speelgoed dat kan spreken, filmen of een locatie volgt.
Persoonlijke wearables voor gezondheidsmonitoring en alle wearables die voor kinderen bestemd zijn.
Routers, modems en netwerkswitches die bedoeld zijn voor verbinding met het internet.
Virtuele assistenten voor slimme huizen voor algemene doeleinden.
Voor klasse I mag u zelf beoordelen, maar alleen wanneer u de geharmoniseerde normen volledig toepast. Zijn die normen er niet, dan schrijft artikel 32, lid 2 een EU-typeonderzoek of volledige kwaliteitsborging voor. Dat betekent een aangemelde instantie en dus doorlooptijd en kosten.
Bepalen of uw product in een categorie valt, doet u aan de hand van de belangrijkste functionaliteit. Uitvoeringsverordening (EU) 2025/2392 bevat daarvoor de technische beschrijvingen. Het onderscheid tussen kernfunctie en ondersteunende functie is daarbij bepalend: een smartphone met een wachtwoordbeheerder erop wordt daardoor niet zelf een wachtwoordbeheerder.
Cyber Resilience Act verplichtingen vanaf 11 december 2027
Vanaf 11 december 2027 moet een product met digitale elementen voldoen aan de essentiële eisen van bijlage I. Daar horen een gedocumenteerde risicobeoordeling, een technisch dossier, een conformiteitsbeoordeling, een EU-conformiteitsverklaring en de CE-markering bij. Zonder dat pakket mag het product niet in de handel.
Er komt ook een verplichting bij die verder reikt dan de verkoop. U bepaalt een ondersteuningsperiode die past bij de verwachte gebruiksduur van het product, met een ondergrens van vijf jaar. Gedurende die periode pakt u kwetsbaarheden aan met gratis beveiligingsupdates. Elke uitgebrachte update houdt u daarna nog tien jaar beschikbaar.
De overgang is minder hard dan hij lijkt. Producten die u vóór 11 december 2027 in de handel bracht, vallen alleen onder de eisen zodra u ze daarna ingrijpend wijzigt. En voor een model dat vóór die datum is ontworpen, hoeft u volgens de richtsnoeren niet opnieuw te ontwerpen. U voert een risicobeoordeling uit en laat daarmee zien dat de bestaande maatregelen volstaan.
Wat u wel moet kunnen overleggen, is de onderbouwing. De risicobeoordeling hoort in het technisch dossier, samen met de informatie waarop u de ondersteuningsperiode heeft gebaseerd. Ontbreekt een essentiële eis, dan motiveert u in datzelfde dossier waarom die niet van toepassing is.
Wat u nu zou regelen
Voor de meldplicht heeft u geen productwijziging nodig, maar wel een route. Leg vast wie binnen uw organisatie beoordeelt of er sprake is van misbruik, wie meldt en via welk kanaal. Zonder die afspraak loopt de termijn van 24 uur al tijdens het uitzoeken af.
Vier dingen die nu al kunnen, zonder dat u op 2027 wacht:
Wijs een centraal contactpunt aan waar gebruikers en onderzoekers een kwetsbaarheid kunnen melden. Vanaf 2027 is dat verplicht. Zonder dat punt bereikt een melding u pas via een omweg.
Maak een account aan op MijnNCSC of leg vast dat u het open meldformulier gebruikt. In MijnNCSC blijven de waarschuwing, de melding en het eindverslag bij elkaar staan.
Leg vast welke componenten in uw product zitten, tot en met de opensourcebibliotheken in de firmware. Zonder die lijst weet u bij een gemelde kwetsbaarheid niet of uw product geraakt wordt.
Leg de ondersteuningsperiode contractueel vast bij uw leverancier. U belooft de markt vijf jaar updates. Uw fabrikant in Azië heeft die toezegging nu vrijwel zeker niet gedaan.
De sancties staan in artikel 64. Voor de essentiële eisen en de artikelen 13 en 14 gaat het om boetes tot 15 miljoen euro. Is 2,5 procent van de wereldwijde jaaromzet hoger, dan geldt dat bedrag. Voor de overige verplichtingen ligt de grens op 10 miljoen euro of 2 procent.
In Nederland houdt de Rijksinspectie Digitale Infrastructuur toezicht. Die inspectie wijst ook de testhuizen aan. Het NCSC is uitdrukkelijk geen toezichthouder: een melding daar is geen boetemelding en geen aangifte.
Bronnen
Verordening (EU) 2024/2847 betreffende horizontale cyberbeveiligingsvereisten voor producten met digitale elementen, artikelen 13, 14, 21, 32, 64, 69 en 71, tekst op EUR-Lex
Europese Commissie, C(2026) 5252, richtsnoeren over de toepassing van de Verordening cyberweerbaarheid, 27 juli 2026, aankondiging en documenten
Jurist met een achtergrond in e-commerce. Schrijft over de regels die hij dagelijks toepast in dossiers voor merken en fabrikanten. Meer over Francois
Veelgestelde vragen
Moet ik nu al iets doen of pas in december 2027?
De meldplicht geldt sinds 11 september 2026, ook voor producten die al jaren op de markt liggen. Aan het product zelf hoeft u daarvoor niets te veranderen. U moet wel weten wie beoordeelt, wie meldt en waar dat gebeurt, want de eerste termijn is 24 uur.
Ik laat in China produceren en zet mijn merk erop. Wie is de fabrikant?
U. Artikel 21 bepaalt het zo: wie een product onder zijn eigen naam of merk in de handel brengt, wordt als fabrikant beschouwd. Alle verplichtingen uit de artikelen 13 en 14 komen dan bij u te liggen, ongeacht de omvang van uw onderneming.
Moet ik elke kwetsbaarheid in mijn product melden?
Nee. De meldplicht geldt voor kwetsbaarheden waarvan betrouwbaar bewijs bestaat dat iemand ze actief misbruikt. Ernstige beveiligingsincidenten meldt u ook. Een kwetsbaarheid uit een pentest of uit responsible disclosure zonder bekend misbruik hoeft u niet te melden. Vrijwillig melden mag altijd.
Heb ik een aangemelde instantie nodig voor mijn product?
Dat hangt af van de categorie. Voor een regulier product volstaat een eigen beoordeling. Staat uw product in bijlage III of IV, zoals een babyfoon, een beveiligingscamera of verbonden speelgoed? Dan is een aangemelde instantie nodig zodra geharmoniseerde normen ontbreken of u ze niet volledig toepast.
Wat gebeurt er als ik niet meld?
Artikel 64 kent voor overtreding van de artikelen 13 en 14 boetes tot 15 miljoen euro. Of 2,5 procent van de wereldwijde jaaromzet, als dat hoger is. Kleine en micro-ondernemingen krijgen geen boete voor het missen van de termijn van 24 uur, maar de melding zelf blijft verplicht.
Wij bouwen technische dossiers voor merken en fabrikanten, van de risicobeoordeling tot de verklaring die u ondertekent. Stuur uw product door en u krijgt binnen 24 uur een voorstel met een vaste prijs en een doorlooptijd.