Wat betekent self-certification nou echt?

Niemand geeft je een CE-certificaat. Er is geen examen en er staat geen inspecteur voor de deur.

Je schrijft een dossier over je product. Je tekent een verklaring dat het aan de regels voldoet. Je zet het CE-logo erop. Klaar.

Dat is de normale route, en die heet zelfcertificering. Voor de meeste producten werkt het zo.

Soms mag je niet alleen tekenen. Dan moet je een externe partij betalen — een notified body — die je dossier controleert en als eerste tekent. Dat kost flink extra geld en twee tot zes maanden extra doorlooptijd.

De enige vraag die er in elk project echt toe doet, is dus: mogen we dit zelf tekenen, of moeten we ervoor betalen?

Zelfcertificering is niet hetzelfde als gratis

Even iets rechtzetten, want hier gaat bijna elke start-up de mist in.

Zelfcertificering betekent niet dat je geen tests hoeft te doen, en het is niet gratis. Je product gaat gewoon het lab in, en dat labwerk is de echte kostenpost bij een connected product.

Zelfcertificering bepaalt alleen wie er aan het eind tekent. De rekening van een notified body komt bovenop de tests, hij vervangt ze niet.

De ene regel die het bepaalt

• Europa: je hebt een externe partij nodig als er geen norm is die bij je product past.
• Amerika: je hebt een externe partij nodig zodra je product zendt.

Dat is het hele verschil, en de rest volgt daaruit.

De Europese logica is de moeite waard om te snappen, want hij is niet vanzelfsprekend. Een norm is een publieke afspraak over wat "veilig" en "netjes" betekent voor een soort product. Europa behandelt de norm zélf als de expert. Volg je hem precies, dan mag je alleen tekenen. Stap je erbuiten, dan moet je een expertoordeel gaan inkopen.

Let op wat dat betekent: het heeft niets te maken met hoe gevaarlijk je product is. Een onschuldig sensortje in een ongebruikelijke frequentieband heeft een externe partij nodig. Een kachel van 2000 watt op netspanning niet.

Saaie radio — bluetooth, wifi, LTE. Goedkoop in Europa: zelf tekenen. Duur in Amerika: je moet verplicht een certificeringsinstantie inschakelen, zonder uitzondering.

Ongebruikelijke radio — een nieuwe band, een nieuwe modulatie. Precies andersom. Amerika rekent ongeveer hetzelfde vaste tarief. In Europa klapt de rekening open naar een notified body.

Kort door de bocht: Europa straft je af als je iets nieuws doet met radio. Amerika straft je af als je überhaupt radio gebruikt.

Wanneer mag je zelf tekenen?

Altijd van jou

Veiligheid en elektromagnetische storing (EMC). Voor deze twee kun je nooit worden gedwongen een externe partij in te schakelen. Zelfs niet als er geen norm bestaat. Ontbreekt die, dan moet je gewoon een goede onderbouwing in je dossier schrijven.

Dit verrast mensen, en het scheelt echt geld. RED artikel 17(2) is de reden.

Hangt af van de norm

Radiogedrag (gebruikt het apparaat de ether netjes) en cybersecurity.

Deze mag je zelf tekenen, maar alleen als er een passende norm bestaat, die officieel op de lijst staat, die jouw product dekt, en die je volledig volgt. Struikel je over één van die vier, dan heb je een externe partij nodig. RED artikel 17(4).

Altijd een externe partij

Medische hulpmiddelen boven de laagste risicoklasse. Machineveiligheidsonderdelen die machine learning gebruiken. Alles wat geld verplaatst. En in Amerika: alles wat zendt.

Hier is het producttype de trigger, niet de normen. Geen enkele hoeveelheid normenwerk helpt je eronderuit.

De vijf manieren waarop mensen struikelen over die middelste

1. Er bestaat geen norm voor jouw band en jouw toepassing.
2. Er bestaat een norm, maar hij staat nu niet op de officiële EU-lijst. Gepubliceerd is niet hetzelfde als geharmoniseerd.
3. Je product valt buiten wat de norm zegt te dekken. Dan bestaat die norm voor jou net zo goed niet.
4. Je hebt hem grotendeels gevolgd. "Gedeeltelijk" telt hier als "helemaal niet". Één overgeslagen test is genoeg.
5. De norm staat op de lijst, maar met een waarschuwing bij precies het deel waarop jij je beroept.

Die vierde velt goede engineers. Een labrapport waarin staat "getest volgens EN 300 xxx, met uitzondering van clausule 5.3.2" heeft je ongemerkt van een gratis handtekening naar een betaalde verplaatst.

Het cybersecurity-deel

Dit is het stuk dat veranderd is, en het verwart iedereen omdat er twee regelingen hetzelfde werk doen op verschillende momenten.

Nu: de RED-cybersecurityregels

Sinds 1 augustus 2025 moet elk radioproduct dat het internet kan bereiken aan drie beveiligingseisen voldoen. Men noemt dit "RED+".

• Beschadig het netwerk niet. Geldt voor alles wat het internet kan bereiken, direct of via iets anders.
• Bescherm persoonsgegevens. Geldt als het product persoons-, verkeers- of locatiegegevens verwerkt. Geldt ook voor wearables, speelgoed en kinderopvangproducten, zelfs zonder internet.
• Bescherm tegen fraude. Geldt alleen als het product zelf geld kan verplaatsen.

Je toont dit aan met de norm EN 18031. Die mag je zelf tekenen, met één addertje.

Ontwerpregel die je een notified body bespaart Laat een gebruiker nooit het instellen van een wachtwoord overslaan. Biedt je product een "geen wachtwoord"-optie, dan verlies je het recht om zelf te tekenen.

En nee, helemaal geen login inbouwen is geen slimme omweg. Dat leest óók als "de gebruiker mag ervoor kiezen geen wachtwoord in te stellen".

Die derde eis ligt anders: kan je product geld of virtuele valuta verplaatsen, dan is een externe partij vrijwel onvermijdelijk. Reken er vanaf dag één op.

Later: de Cyber Resilience Act (CRA)

De CRA is de grotere, permanente versie. Die vervangt de RED-cybersecurityregels op 11 december 2027, dezelfde dag, zonder gat ertussen.

Het antwoord op "doe ik nu EN 18031 of wacht ik op de CRA?" is dus: allebei, na elkaar. Wachten kan niet. De huidige regels zijn al een jaar bindend.

Twee dingen die mensen verkeerd hebben over de CRA:

• Hij dekt alles met digitale onderdelen, niet alleen radio. Bedrade producten dus ook.
• De meeste gewone sensoren en trackers vallen in de laagste categorie, waar je altijd zelf mag tekenen. De enge "verplicht een externe partij"-categorieën zijn voor dingen als firewalls, hypervisors en secure chips.

Drie datums voor in de agenda

De controle die je het meeste geld bespaart

Bevestig vóór elke offerte, in twintig minuten, dat de normen die je lab wil gebruiken echt op de actuele EU-lijst staan, in de versie die zij willen gebruiken.

Dat klinkt als administratie. Dat is het niet. Het is het enige punt dat bepaalt of een project op normale kosten uitkomt of op ruwweg het dubbele, en die lijsten wijzigen elke paar maanden.

Drie valkuilen om op te letten:

• Oude versie staat nog op de lijst. Voor sommige radarnormen verwijst de EU nog naar een versie van vóór 2016. Je lab pakt standaard de nieuwere, en die telt dan niet mee.
• Waarschuwingen bij een norm. Een norm kan op de lijst staan met een aantekening dat hij een deel van de eis níét dekt. Dat deel is dan jouw probleem.
• Uitgestelde intrekkingen. Moderne EU-besluiten verstoppen het "deze versie vervalt op datum X" in artikel 2 van het besluit, niet in de tabel. Lees artikel 2.

Uitgewerkt voorbeeld: een LTE-M/NB-IoT-tracker met gps

De alledaagse klus. Asset-tracker op batterij, cellulair terug naar een server, gps voor de positie.

Conclusie: geen externe partij nodig. Voor elk onderdeel van dit product bestaan normen, ze staan op de actuele EU-lijst en ze passen. Je tekent de verklaring dus zelf, zolang je niet over een van de vier valkuilen hieronder struikelt.

Reken op zo'n 16 tot 22 weken van design freeze tot CE en FCC binnen, en dat is vrijwel allemaal labtijd, geen papierwerk.

Wat er van toepassing is

1. Een tracker verwerkt locatiegegevens, dus je hebt beide securitydelen nodig

De cybersecurityregels bestaan uit drie delen. De meeste bouwers van een connected device doen deel 1 — "beschadig het netwerk niet" — en stoppen daar.

Maar het hele bestaansrecht van een tracker is het produceren van locatiegegevens. Daarmee wordt ook de privacy-eis geraakt, en dat is EN 18031-2. Dat is een apart document met eigen eisen, en je kunt je antwoorden uit deel 1 er niet in overnemen: zelfs de gedeelde eisen zijn anders geformuleerd, en de slaag-zakredenering verschilt echt.

Dit is de meest gemaakte fout in trackerprojecten.

Ontwerpregel Bouw nooit een "wachtwoord overslaan"-optie in de installatiestroom of de configuratie-app. Kan een gebruiker weigeren inloggegevens in te stellen, dan raak je je zelfcertificering kwijt.

2. Gebruik een goedgekeurde cellulaire module, maar snap wat je erft

Je eigen cellulaire radio bouwen is de dure route. Een kant-en-klare module gebruiken — Nordic, Quectel, u-blox — is veel goedkoper en sneller.

Het addertje verschilt per continent:

• Amerika — echte overerving. Daar bestaat een echt juridisch mechanisme. Gebruik je de module precies zoals hij is goedgekeurd — dezelfde antenne, dezelfde condities — dan erf je zijn goedkeuring en zet je alleen "Contains FCC ID…" op je product. Verander je de antenne, dan dien je opnieuw in.
• Europa — bestaat niet. Er is geen goedkeuringsregeling voor modules. De CE van de module ontslaat jou nergens van. Jij wordt de fabrikant van het eindproduct en bent een nieuwe beoordeling verschuldigd. Wat je wél erft, is bewijs — de testrapporten van de module besparen je echte testkosten, maar je tekent voor het geheel.

Dus: koop de module voor de besparing op testkosten, niet omdat je denkt dat het papierwerk in Europa erdoor verdwijnt. Dat doet het niet.

3. Normversies worden stilletjes ingetrokken

Een levend voorbeeld uit precies dit product: de gps-ontvangstnorm EN 303 413 V1.1.1 is op 10 mei 2024 ingetrokken. Verwijst je dossier er nog naar, dan is dat dossier ondeugdelijk, ook al bestaat het document nog en download het gewoon.

De actuele is V1.2.1. Met EN 301 908-13 V13.1.1 gebeurde op dezelfde dag hetzelfde.

Controleer de lijst vóór elke offerte. Een dode versie aanhalen is op zichzelf al een formele tekortkoming, hoe goed je tests ook waren.

4. De batterij brengt zijn eigen regelboek mee

Nog niets pijnlijks, maar wel twee datums:

• 18 februari 2027 — de gebruiker moet de batterij kunnen vervangen. Er is een uitzondering die op IoT-apparaten is toegesneden (natte omgevingen, continue voeding nodig), maar je moet er daadwerkelijk voor kwalificeren, en dat is een mechanische ontwerpkeuze.
• Het recyclingsymbool is al verplicht.

Goed nieuws: voor een kleine ingebouwde batterij is er geen CO₂-verklaring en geen batterijpaspoort nodig. Die raken de grote batterijen.

Twee datums die ook gelden voor trackers die je al hebt geleverd

• 11 sep 2026 — meldplicht. Wordt een gat in je tracker actief misbruikt, dan heb je 24 uur om te melden. Dit dekt je geïnstalleerde basis, niet alleen nieuwe units. Je hebt een proces en een verantwoordelijke nodig, geen document.
• 12 sep 2026 — toegang tot data. Trackers die na deze datum worden verkocht, moeten de klant bij zijn eigen data laten. Voor een tracker is dat zeer van toepassing — positiehistorie is precies waar deze regel over gaat. Firmware- en API-werk, dus begin op tijd.

Waar het werk werkelijk in gaat zitten

Bijna alles is labtijd. Niets ervan is de handtekening. Ruwweg op volgorde van omvang:

1. Storingstesten (EMC). De grootste post, en nog meer als het product op netspanning werkt.
2. Veiligheid. Bescheiden voor een eenvoudige DC-print; een veelvoud zodra er lithium wordt geladen.
3. Cellulaire en gps-radiotesten. Rechttoe rechtaan bij een standaardmodule.
4. Cybersecuritydossier. Vrijwel alles gaat op aan het inventariseren van je softwarecomponenten en het nalopen van bekende kwetsbaarheden per component. Wordt standaard onderschat. Een normaal apparaat levert duizenden meldingen op om te beoordelen.
5. Technisch dossier en verklaring. Engineeringtijd, en het kan overlappen met de tests.
6. Pre-compliance-scan vóór de design freeze. Het beste bestede geld van het hele project. Vangt storingsproblemen op als ze nog een printrevisie zijn in plaats van een respin.
7. Amerika, als je een goedgekeurde module integreert. Je eigen cellulaire radio ontwerpen vermenigvuldigt deze post.

Zelf een radio ontwerpen in plaats van een module kopen jaagt het totaal fors omhoog. Dat is het echte argument om een module te kopen.

Ter vergelijking: een externe partij nodig hebben komt met een eigen tarief én enkele maanden bovenop al het bovenstaande. Dat is wat die vier valkuilen beschermen.

Boek het lab vroeg. Wachttijden voor een meetkamer lopen twee tot zes weken vooruit. Dat is meestal de langste vertraging in het hele project, en de makkelijkste om te voorkomen. Boek bij de design freeze, niet als de prints binnen zijn.

Nog één shortcut

Kies een lab dat tegelijk Europese notified body, Amerikaanse certificeringsinstantie én Canadese instantie is. Dan voedt één set metingen alle drie de markten. Dat scheelt een complete tweede testronde.

Gecontroleerd tegen Europese en Amerikaanse primaire bronnen op 28 juli 2026. Regels bewegen, dus controleer de normenlijst opnieuw voordat je hierop een offerte baseert.