Betaalterminals, POS en kiosk hardware

• Directive 2014/53/EU — Radio Equipment
• Directive 2014/35/EU — Low Voltage
• Regulation (EU) 2024/2847 — Cyber Resilience Act
• Regulation (EU) 2016/679 — GDPR
• Directive (EU) 2015/2366 — PSD2 for the payment service itself

Wie moet aanwijzen

Fabrikanten buiten de Unie die betaalterminals, zelfbedieningskiosken of kaartlezers op de EU-markt plaatsen. De hardwareverplichtingen liggen bij de fabrikant; de betalingsdienstverplichtingen liggen bij de betalingsinstelling, die een aparte gereguleerde entiteit is, en verkopers verwarren vaak de twee.

Drempels en vrijstellingen

Geen voor de hardware. PSD2-autorisatie geldt voor de betalingsdienstverlener in plaats van voor de terminalmaker, tenzij de verkoper ook fondsen of accounttoegang beheert.

Wat op het etiket moet

CE-markering, details van de fabrikant en EU-vertegenwoordiger, model- en serienummer, radioparameters waar draadloos, en vanaf december 2027 de CRA-ondersteuningsperiode en kwetsbaarheidscontactpunt.

Marktplaatsvelden

Acquirers en betalingsschema's stellen PCI PIN Transaction Security goedkeuring als commerciële voorwaarde, wat een schema-eis is in plaats van EU-wetgeving, maar in de praktijk beslissend is: een niet-goedgekeurde terminal kan niet worden ingezet ongeacht de CE-markering.

Documentatie die u moet bewaren

EU-verklaring van overeenstemming, technisch dossier, radio- en veiligheidstestverslagen, documentatie over cybersecurity onder EN 18031 en, vanaf 2026, het CRA-kwetsbaarheidsbehandelingsproces en SBOM. Waar de verkoper een beheerscloud exploiteert, het Artikel 30-register, de Artikel 27-aanwijzing en het overdrachtsmechanisme.

Normen en tests

EN IEC 62368-1 voor veiligheid, de toepasselijke radio-standaarden, EN 55032 en EN 55035 voor EMC, EN 18031 voor de RED-cybersecurityvereisten, en afzonderlijk PCI PTS-evaluatie voor het PIN-invoerapparaat.

Taalvereisten

Instructies en documentatie voor handelaren in de taal van elke lidstaat van inzet.

Vanaf wanneer

Hardwaredocumentatie vóór plaatsing op de markt. CRA-kwetsbaarheidsrapportage vanaf 11 september 2026 en het volledige regime vanaf 11 december 2027, wat voor terminals met lange inzetcycli betekent dat de ondersteuningsperiode nu moet worden gepland.

Bewaartermijn

Tien jaar voor technische documentatie, of de CRA-ondersteuningsperiode als deze langer is, wat voor betalingshardware typisch de volledige inzetduur is.

Bij niet-naleving

Terugtrekking en douaneweigering voor de hardware. Onder de CRA, tot €15 miljoen of 2,5% van de omzet. Afzonderlijk is een kwetsbaarheid in ingezette terminals een reputatie- en contractueel evenement met acquirers dat meestal de regelgevende kosten overschrijdt.

Wie handhaaft

Marktoezichtautoriteiten en radio-regulators, CSIRTs voor CRA-rapportage, gegevensbeschermingsautoriteiten waar persoonsgegevens worden verwerkt, en nationale bevoegde autoriteiten voor de betalingsdienstzijde.

Waar de grens ligt

CE-gemarkeerd en PCI-goedgekeurd zijn maakt de verkoper geen betalingsinstelling, en omgekeerd houdt het hebben van een PSD2-licentie de hardware niet vrij van productconformiteit. Lange inzetcycli maken de CRA-ondersteuningsperiode de moeilijkste verplichting in deze categorie, omdat terminals een decennium in het veld blijven.

Veelgestelde vragen

Is PCI-goedkeuring een wettelijke vereiste in de EU?

Nee, het is een schema-eis opgelegd door de kaartnetwerken en acquirers. Het is commercieel beslissend maar vervangt geen CE-markering of de CRA-verplichtingen.

Wie rapporteert een kwetsbaarheid in ingezette terminals?

De fabrikant, onder Artikel 14 CRA vanaf september 2026, binnen 24 uur nadat hij zich ervan bewust is geworden dat deze wordt uitgebuit.