Za zgodność z CRA odpowiada podmiot, który spełnia definicję producenta: opracowuje lub wytwarza produkt albo zleca to komuś innemu i wprowadza produkt do obrotu pod własną nazwą lub znakiem towarowym. Jeśli sprzedajesz pod własną marką urządzenie lub oprogramowanie zaprojektowane i wytworzone przez dostawcę, producentem jesteś Ty, a nie fabryka. Umowa z dostawcą nie zmienia tej roli. Pomaga tylko wykonać obowiązki, które z niej wynikają.
- Pojęcia OEM, ODM i white-label nie występują w rozporządzeniu. Liczą się role: producent, importer, dystrybutor.
- O roli producenta rozstrzyga nazwa lub znak towarowy, pod którym produkt trafia do obrotu (art. 3 pkt 13, art. 21).
- Własna marka na cudzym produkcie oznacza pełne obowiązki z art. 13 i 14, także wtedy, gdy nie masz wpływu na projekt.
- Po istotnej modyfikacji produktu już wprowadzonego do obrotu, który dalej udostępniasz na rynku, też jesteś uważany za producenta (art. 21 i 22).
- Rozporządzenie nie określa treści umowy z dostawcą. Umowa ma dać Ci dokumenty, SBOM, poprawki i informacje na czas.
Co oznaczają OEM, ODM i white-label w CRA?
Nic, bo rozporządzenie nie używa tych pojęć. CRA zna producenta, upoważnionego przedstawiciela, importera i dystrybutora, a rolę przypisuje według tego, kto i pod czyją nazwą lub znakiem towarowym wprowadza produkt do obrotu. Każdy układ handlowy trzeba więc przełożyć na jedną z tych ról, osobno dla każdego produktu.
W praktyce handlowej te nazwy opisują, kto projektuje i wytwarza produkt, a kto go sprzedaje. Dla CRA ważne są trzy pytania:
- Czyja nazwa lub znak towarowy jest na produkcie w chwili wprowadzenia do obrotu, czyli pierwszego udostępnienia na rynku Unii (art. 3 pkt 21)?
- Gdzie ma siedzibę podmiot, którego nazwa jest na produkcie: w Unii czy poza nią?
- Czy produkt został zmieniony po wprowadzeniu do obrotu?
Ogólny podział obowiązków między producenta, importera i dystrybutora opisuje artykuł CRA: obowiązki producenta, importera i dystrybutora. Tutaj zajmujemy się układami, w których projekt, produkcja i marka należą do różnych firm.
Kto jest producentem, gdy sprzedajesz produkt dostawcy pod własną marką?
Ty. Art. 3 pkt 13 uznaje za producenta także podmiot, który zleca zaprojektowanie, opracowanie lub wytworzenie produktu i wprowadza go do obrotu pod własną nazwą handlową lub znakiem towarowym. Art. 21 mówi to samo o importerze i dystrybutorze, który wprowadza produkt do obrotu pod własną nazwą: jest uważany za producenta i podlega art. 13 i 14.
Nie ma znaczenia, czy produkt powstał na Twoje zamówienie, czy dostawca oferuje gotowy model wielu odbiorcom, a Ty dodajesz logo. W obu przypadkach masz obowiązki producenta w całości, m.in.:
- produkt zgodny z zasadniczymi wymaganiami z załącznika I część I i ocena ryzyka w cyberprzestrzeni (art. 13 ust. 1–3),
- należyta staranność wobec komponentów pochodzących od stron trzecich (art. 13 ust. 5),
- obsługa podatności przez okres wsparcia, który co do zasady wynosi co najmniej pięć lat (art. 13 ust. 8),
- dokumentacja techniczna, ocena zgodności, deklaracja zgodności UE i oznakowanie CE (art. 13 ust. 12),
- Twoja nazwa i dane kontaktowe na produkcie, opakowaniu lub w dołączonym dokumencie (art. 13 ust. 16),
- zgłaszanie aktywnie wykorzystywanych podatności i poważnych incydentów (art. 14).
Za naruszenie obowiązków z art. 13 i 14 art. 64 ust. 2 przewiduje najwyższy próg kar. Szczegóły opisuje artykuł Kary za brak zgodności z CRA.
Jaką rolę masz w typowych układach z dostawcą?
O roli decydują trzy rzeczy: czyja nazwa lub znak towarowy jest na produkcie, czy podmiot z tą nazwą ma siedzibę w Unii oraz czy produkt zmieniono po wprowadzeniu do obrotu. Tabela pokazuje sześć najczęstszych układów. Rolę ustalasz osobno dla każdego produktu, więc jedna firma może występować w kilku wierszach jednocześnie.
| Układ | Rola w CRA | Podstawa |
|---|---|---|
| Sprzedajesz pod własną marką produkt zaprojektowany i wytworzony przez dostawcę | Producent | Art. 3 pkt 13, art. 21 |
| Sprowadzasz i wprowadzasz do obrotu produkt z marką podmiotu spoza Unii | Importer | Art. 3 pkt 16, art. 19 |
| Odsprzedajesz produkt pod marką producenta, bez zmiany jego właściwości | Dystrybutor | Art. 3 pkt 17, art. 20 |
| Jako importer lub dystrybutor wprowadzasz produkt do obrotu pod własną nazwą lub znakiem towarowym | Uważany za producenta, podlega art. 13 i 14 | Art. 21 |
| Istotnie modyfikujesz produkt już wprowadzony do obrotu | Uważany za producenta: importer i dystrybutor na podstawie art. 21, inna osoba, która udostępnia zmieniony produkt na rynku, na podstawie art. 22 | Art. 3 pkt 30, art. 21, art. 22 |
| Wytwarzasz produkt według projektu właściciela marki, który wprowadza go do obrotu pod własną nazwą | Z definicji producenta wynika, że jest nim właściciel marki. CRA nie tworzy osobnej roli dla wykonawcy kontraktowego | Art. 3 pkt 13 |
Jeśli kupujesz produkt pod marką producenta z siedzibą w Unii i odsprzedajesz go bez zmian, jesteś dystrybutorem. Definicja importera dotyczy tylko produktów opatrzonych nazwą podmiotu spoza Unii.
Czy umowa może przenieść odpowiedzialność na dostawcę?
Rozporządzenie nie zawiera przepisu, który pozwalałby przenieść obowiązki producenta na dostawcę umową. Obowiązki z art. 13 i 14 ma podmiot, który spełnia definicję producenta albo jest za niego uważany na podstawie art. 21 lub 22. Umowa może zapewnić Ci dokumenty, poprawki i informacje oraz uregulować rozliczenia między stronami.
Mechanizm, w którym inny podmiot wykonuje zadania w imieniu producenta, CRA opisuje jeden: to upoważniony przedstawiciel (art. 18). Jego pełnomocnictwo nie może jednak obejmować obowiązków z art. 13 ust. 1–11, sporządzenia dokumentacji technicznej ani utrzymania zgodności produkcji seryjnej (art. 18 ust. 2).
Producent może korzystać z cudzej pracy. Art. 13 ust. 12 pozwala na przykład zlecić przeprowadzenie procedury oceny zgodności. Dostawca może też przygotować dla Ciebie SBOM, wyniki testów czy opis architektury. Nie zmienia to tego, że to Ty sporządzasz dokumentację techniczną, sporządzasz deklarację zgodności UE i odpowiadasz przed organem nadzoru rynku za ich treść.
Co się dzieje, gdy modyfikujesz produkt?
Jeśli zmiana jest istotna i udostępniasz zmieniony produkt na rynku, jesteś uważany za producenta. Istotna modyfikacja to zmiana po wprowadzeniu produktu do obrotu, która wpływa na jego zgodność z wymaganiami załącznika I część I albo zmienia przeznaczenie, dla którego produkt oceniono (art. 3 pkt 30). Importer i dystrybutor podlegają wtedy art. 13 i 14 na podstawie art. 21.
Art. 22 obejmuje każdą inną osobę, która istotnie modyfikuje produkt i udostępnia go na rynku, np. integratora. Taka osoba odpowiada za zmodyfikowaną część, a jeśli zmiana wpływa na cyberbezpieczeństwo produktu jako całości, to za cały produkt. Art. 21 nie zawiera takiego ograniczenia dla importera i dystrybutora.
Wskazówki, jak oceniać zmiany oprogramowania, zawiera motyw 39:
- Zwykle nie jest istotną modyfikacją: aktualizacja zabezpieczeń, która zmniejsza ryzyko i nie zmienia przeznaczenia produktu, oraz drobna aktualizacja funkcjonalności, np. ulepszenia wizualne albo nowe języki w interfejsie.
- Może być istotną modyfikacją: aktualizacja, która zmienia przeznaczenie produktu w sposób nieprzewidziany w pierwotnej ocenie ryzyka albo zmienia charakter zagrożenia lub podnosi poziom ryzyka. Motyw zauważa, że dodanie nowych funkcji zazwyczaj poszerza płaszczyznę ataku.
Motyw 39 zapowiada wytyczne Komisji o tym, co stanowi istotną modyfikację. Przed decyzją sprawdź ich aktualną treść na stronie Komisji. Według motywu 41 po istotnej modyfikacji należy sprawdzić zgodność produktu i w stosownych przypadkach poddać go nowej ocenie zgodności.
Istotna modyfikacja ma też znaczenie dla starszych produktów. Produkt wprowadzony do obrotu przed 11 grudnia 2027 r. podlega wymaganiom CRA tylko wtedy, gdy po tej dacie zostanie istotnie zmodyfikowany (art. 69 ust. 2). Wyjątkiem są obowiązki zgłoszeniowe z art. 14, które obejmują także takie produkty (art. 69 ust. 3).
Polski dystrybutor kupuje routery pod marką producenta i przed sprzedażą wgrywa do nich własny firmware z dodatkową usługą zdalnego dostępu. Produkt był już wprowadzony do obrotu, a zmiana dodaje funkcję, która wpływa na jego zgodność z wymaganiami cyberbezpieczeństwa. Dystrybutor powinien przyjąć, że dokonał istotnej modyfikacji i na podstawie art. 21 podlega art. 13 i 14.
Gdyby sprzedawał te same routery bez zmian i pod marką producenta, pozostałby dystrybutorem z obowiązkami z art. 20.
Jakie obowiązki ma firma, która produkuje dla cudzych marek?
Jeżeli wytwarzasz produkt, który klient wprowadza do obrotu pod własną nazwą lub znakiem towarowym, to z definicji w art. 3 pkt 13 wynika, że obowiązki producenta z art. 13 i 14 ma klient. CRA nie przewiduje osobnej roli dla wykonawcy kontraktowego. Producentem jesteś natomiast dla każdego produktu i komponentu, który sam wprowadzasz do obrotu pod własną nazwą.
Warto sprawdzić dwie sytuacje:
- Ten sam model sprzedajesz także pod własną marką. Dla tych egzemplarzy jesteś producentem z pełnymi obowiązkami.
- Sprzedajesz osobno moduły, płytki lub oprogramowanie. Komponenty wprowadzane do obrotu oddzielnie też są produktami z elementami cyfrowymi (art. 3 pkt 1).
Nawet gdy formalnie nie jesteś producentem, Twoi klienci będą potrzebować od Ciebie danych i wsparcia. Art. 13 ust. 5 wymaga od nich należytej staranności wobec komponentów stron trzecich, a motyw 34 podaje, na czym może ona polegać: sprawdzenie, czy komponent ma oznakowanie CE, czy jest regularnie aktualizowany, czy nie ma podatności zarejestrowanych w publicznych bazach, albo dodatkowe testy bezpieczeństwa. Dostawca, który ma gotowy SBOM, historię aktualizacji i jasny kanał zgłaszania podatności, ułatwia klientowi wykazanie tej staranności.
Co warto zapisać w umowie z dostawcą?
CRA nie określa, co ma zawierać umowa między właścicielem marki a dostawcą. Poniższe punkty to zalecenia praktyczne. Wynikają z tego, że obowiązki producenta dotyczą całego produktu przez cały okres wsparcia, a wielu z nich nie wykonasz bez danych, poprawek i szybkich informacji od firmy, która produkt zaprojektowała i wytworzyła.
| Co zapewnić w umowie | Z jakiego obowiązku producenta to wynika |
|---|---|
| Dostęp do informacji projektowych, wyników testów i opisu procesu produkcji, z prawem do przechowywania ich u siebie | Dokumentację techniczną sporządzasz przed wprowadzeniem do obrotu, aktualizujesz co najmniej w okresie wsparcia i przechowujesz co najmniej 10 lat albo przez okres wsparcia, jeśli jest dłuższy (art. 13 ust. 12 i 13, art. 31, załącznik VII) |
| SBOM dla każdej dostarczanej wersji firmware lub oprogramowania | SBOM w formacie do odczytu maszynowego, co najmniej dla zależności najwyższego poziomu, jest częścią dokumentacji technicznej (załącznik I część II pkt 1, załącznik VII pkt 2 lit. b) |
| Poprawki bezpieczeństwa przez cały zadeklarowany okres wsparcia i sposób ich dostarczania do urządzeń | Podatności usuwasz bezzwłocznie, a aktualizacje zabezpieczeń udostępniasz co do zasady bezpłatnie i w bezpieczny sposób (art. 13 ust. 8, załącznik I część II pkt 2, 7 i 8) |
| Dostęp do wydanych aktualizacji także po zakończeniu współpracy | Aktualizacja zabezpieczeń ma pozostać dostępna co najmniej 10 lat od wydania albo do końca okresu wsparcia, jeśli to dłużej (art. 13 ust. 9) |
| Krótki termin na informację o podatności lub incydencie, liczony w godzinach, oraz kontakt dostępny poza godzinami pracy | Wczesne ostrzeżenie składasz w 24 godziny, a zgłoszenie w 72 godziny od chwili, w której dowiedziałeś się o aktywnie wykorzystywanej podatności lub poważnym incydencie (art. 14 ust. 2 i 4) |
| Uprzedzenie o zmianach w projekcie, komponentach i procesie produkcji | Masz procedury utrzymania zgodności produkcji seryjnej i uwzględniasz zmiany w projekcie oraz procesie (art. 13 ust. 14) |
| Uprzedzenie o końcu wsparcia produktu lub kluczowego komponentu, z odpowiednim wyprzedzeniem | Okres wsparcia określasz Ty i podajesz jego datę końcową przy zakupie. Przy jego ustalaniu możesz uwzględnić okresy wsparcia komponentów od stron trzecich, które zapewniają podstawowe funkcje (art. 13 ust. 8 i 19) |
Konkretne terminy, np. liczbę godzin na powiadomienie, ustalasz sam. Rozporządzenie nie podaje terminu, w którym dostawca ma poinformować właściciela marki. Terminy z art. 14 dotyczą producenta. Im krótszy termin dostawcy, tym więcej czasu zostaje Tobie.
Jako importer produktu pod marką dostawcy też potrzebujesz zapisów o dokumentach. Musisz umieć przedstawić dokumenty potwierdzające, że producent przeprowadził ocenę zgodności i sporządził dokumentację techniczną, a na wniosek organu nadzoru rynku udostępnić mu tę dokumentację (art. 19 ust. 2 i 6).
O samych dokumentach przeczytasz w artykułach Dokumentacja techniczna CRA i SBOM w Cyber Resilience Act, a o terminach zgłoszeń w artykule Zgłaszanie podatności i incydentów CRA.
Co powinien zrobić producent?
Właściciel marki powinien najpierw ustalić swoją rolę wobec każdego produktu kupowanego od dostawcy, a potem sprawdzić, czy ma dane i zapisy umowne potrzebne do wykonania obowiązków producenta. Jeżeli dostawca nie chce ich zapewnić, to ryzyko zostaje po stronie firmy, której nazwa jest na produkcie.
- Spisz produkty kupowane od dostawców i przypisz rolę do każdego. Zanotuj, czyja nazwa lub znak towarowy jest na produkcie i gdzie ten podmiot ma siedzibę.
- Wypisz wszystkie zmiany, które wprowadzasz w produkcie. Własny firmware, aplikacja, konfiguracja, dodatkowe funkcje. Oceń, czy są istotną modyfikacją.
- Poproś dostawcę o dane do dokumentacji technicznej i SBOM. Sprawdź, czego brakuje do oceny ryzyka i oceny zgodności.
- Ustal okres wsparcia i porównaj go z tym, co gwarantuje dostawca. Okres krótszy niż Twoja deklaracja wobec klientów to luka, którą musisz zamknąć.
- Uzupełnij umowę. Poprawki, terminy informowania o podatnościach, zmiany w produkcie, koniec wsparcia, dostęp do dokumentów.
- Przećwicz zgłoszenie z udziałem dostawcy. Sprawdź, czy w 24 godziny dostaniesz od niego informacje potrzebne do wczesnego ostrzeżenia.
- Przechowuj dane o dostawcach i odbiorcach przez 10 lat (art. 23).
Jak zorganizować obsługę podatności po swojej stronie, opisuje artykuł Zarządzanie podatnościami w CRA: proces krok po kroku. Jeśli nie masz pewności, czy produkt w ogóle podlega CRA, zacznij od artykułu Czy Cyber Resilience Act dotyczy Twojego produktu?.