W CRA najszersze obowiązki ma producent: odpowiada za bezpieczeństwo produktu, obsługę podatności, dokumentację i ocenę zgodności. Importer sprawdza, czy producent spoza UE je wykonał, zanim wprowadzi produkt do obrotu. Dystrybutor działa z należytą starannością i sprawdza oznakowanie CE oraz dokumenty. Importer lub dystrybutor, który sprzedaje produkt pod własną marką albo istotnie go modyfikuje, staje się producentem.
- Rolę ustala się osobno dla każdego produktu. Ta sama firma może być producentem jednego urządzenia i dystrybutorem innego.
- Producent podlega art. 13 i 14: wymagania dla produktu, obsługa podatności, dokumentacja, ocena zgodności, zgłaszanie.
- Importer (art. 19) wprowadza do obrotu tylko produkty zgodne i musi umieć to wykazać dokumentami.
- Dystrybutor (art. 20) sprawdza oznakowanie CE i to, czy producent oraz importer dopełnili obowiązków informacyjnych.
- Własna marka lub istotna modyfikacja oznacza obowiązki producenta (art. 21 i 22).
Kim jest producent, importer i dystrybutor w CRA?
Producent opracowuje lub wytwarza produkt albo zleca to i wprowadza go do obrotu pod własną nazwą lub znakiem towarowym. Importer ma siedzibę w Unii i wprowadza do obrotu produkt opatrzony nazwą podmiotu spoza Unii. Dystrybutor udostępnia produkt na rynku unijnym bez zmiany jego właściwości i nie jest producentem ani importerem.
Definicje znajdują się w art. 3 pkt 13, 16 i 17. Dwa pojęcia rozstrzygają o roli:
- Wprowadzenie do obrotu to pierwsze udostępnienie produktu na rynku Unii. Robi to producent albo importer.
- Udostępnienie na rynku to każde dostarczenie produktu do dystrybucji lub używania w ramach działalności handlowej, odpłatnie lub nieodpłatnie. Robi to także dystrybutor.
Rolę ustala się dla konkretnego produktu. Firma, która projektuje własne sterowniki i jednocześnie odsprzedaje cudze czujniki, jest producentem pierwszych i dystrybutorem drugich.
Jakie obowiązki ma producent?
Producent odpowiada za to, że produkt zaprojektowano i wytworzono zgodnie z zasadniczymi wymaganiami z załącznika I, a podatności są obsługiwane przez cały okres wsparcia. Przeprowadza ocenę ryzyka i ocenę zgodności, sporządza dokumentację techniczną i deklarację zgodności UE, umieszcza oznakowanie CE oraz zgłasza aktywnie wykorzystywane podatności i poważne incydenty.
Obowiązki producenta opisują art. 13 i 14. Szczegóły znajdziesz w artykułach CRA dla producentów IoT i elektroniki, Dokumentacja techniczna CRA i Zgłaszanie podatności i incydentów CRA.
Jakie obowiązki ma importer?
Importer może wprowadzić do obrotu wyłącznie produkt, który spełnia zasadnicze wymagania i którego producent prowadzi obsługę podatności zgodnie z CRA. Przed wprowadzeniem produktu do obrotu upewnia się, że producent przeprowadził ocenę zgodności, sporządził dokumentację techniczną, umieścił oznakowanie CE i dołączył wymagane dokumenty. Musi umieć to wykazać.
Zgodnie z art. 19 importer:
- zapewnia, że producent przeprowadził właściwą procedurę oceny zgodności i sporządził dokumentację techniczną,
- sprawdza, czy produkt ma oznakowanie CE, deklarację zgodności UE oraz informacje i instrukcje dla użytkownika w języku łatwo zrozumiałym dla użytkowników i organów,
- sprawdza, czy producent podał swoje dane, oznaczył produkt i podał datę końca okresu wsparcia,
- umieszcza na produkcie, opakowaniu lub w dołączonym dokumencie własne dane kontaktowe,
- nie wprowadza produktu do obrotu, jeśli ma powody sądzić, że produkt lub procedury producenta są niezgodne z CRA,
- po uzyskaniu informacji o podatności bez zbędnej zwłoki informuje producenta,
- gdy produkt stwarza istotne ryzyko w cyberprzestrzeni, informuje organy nadzoru rynku.
Jakie obowiązki ma dystrybutor?
Dystrybutor działa z należytą starannością. Przed udostępnieniem produktu sprawdza, czy ma on oznakowanie CE oraz czy producent i importer dopełnili obowiązków informacyjnych i przekazali wymagane dokumenty. Jeżeli ma powody sądzić, że produkt lub procedury producenta nie są zgodne z zasadniczymi wymaganiami, nie udostępnia produktu, dopóki zgodność nie zostanie zapewniona.
Zgodnie z art. 20 dystrybutor sprawdza w szczególności, czy producent oznaczył produkt i podał swoje dane, dołączył informacje i instrukcje dla użytkownika, podał datę końca okresu wsparcia i dołączył deklarację zgodności UE albo jej uproszczoną wersję, a importer podał swoje dane kontaktowe. Po uzyskaniu informacji o podatności bez zbędnej zwłoki informuje producenta, a przy istotnym ryzyku także organy nadzoru rynku.
Jak wygląda porównanie obowiązków?
| Obowiązek | Producent | Importer | Dystrybutor |
|---|---|---|---|
| Projekt zgodny z załącznikiem I, ocena ryzyka | Wykonuje | Wprowadza do obrotu tylko produkty zgodne | Należyta staranność |
| Ocena zgodności, dokumentacja techniczna | Wykonuje i przechowuje | Upewnia się, że producent je wykonał | Nie dotyczy |
| Oznakowanie CE, deklaracja zgodności UE | Umieszcza i sporządza | Sprawdza | Sprawdza |
| Dane kontaktowe na produkcie, opakowaniu lub w dołączonym dokumencie | Własne | Własne, obok danych producenta | Sprawdza dane producenta i importera |
| Obsługa podatności w okresie wsparcia | Prowadzi | Informuje producenta o podatności | Informuje producenta o podatności |
| Zgłaszanie z art. 14 | Zgłasza | Nie, chyba że jest uważany za producenta | Nie, chyba że jest uważany za producenta |
| Produkt niezgodny | Działania naprawcze, wycofanie lub odzyskanie | Nie wprowadza do obrotu, podejmuje działania naprawcze | Nie udostępnia, zapewnia działania naprawcze |
Kiedy importer lub dystrybutor staje się producentem?
Gdy wprowadza produkt do obrotu pod własną nazwą lub znakiem towarowym albo dokonuje istotnej modyfikacji produktu, który jest już w obrocie. Wtedy podlega art. 13 i 14, tak jak producent. Istotną modyfikacją jest zmiana, która wpływa na zgodność produktu z wymaganiami załącznika I część I albo zmienia jego przeznaczenie.
To samo dotyczy każdej innej osoby, która istotnie modyfikuje produkt i udostępnia go na rynku (art. 22). Odpowiada wtedy za zmodyfikowaną część, a jeśli zmiana wpływa na cyberbezpieczeństwo całego produktu, to za cały produkt.
Polska firma kupuje od dostawcy spoza UE gotowe kamery IP i sprzedaje je pod własną marką, z własną aplikacją. Wobec klientów i organów jest producentem kamer: potrzebuje oceny ryzyka, dokumentacji technicznej, SBOM, procesu obsługi podatności i zdolności do zgłoszenia w 24 godziny. W umowie z dostawcą powinna więc zapewnić sobie dostęp do informacji o komponentach, poprawki bezpieczeństwa przez cały okres wsparcia i szybkie informacje o podatnościach.
Gdyby sprzedawała te same kamery pod marką dostawcy, byłaby importerem i sprawdzałaby, czy producent wykonał swoje obowiązki.
Co może, a czego nie może upoważniony przedstawiciel?
Producent może pisemnym pełnomocnictwem wyznaczyć upoważnionego przedstawiciela z siedzibą w Unii. Przedstawiciel co najmniej przechowuje deklarację zgodności UE i dokumentację techniczną do dyspozycji organów, przekazuje im informacje i współpracuje przy usuwaniu ryzyka. Nie można mu powierzyć obowiązków z art. 13 ust. 1–11, sporządzenia dokumentacji technicznej ani utrzymania zgodności produkcji seryjnej.
Wynika to z art. 18. Odpowiedzialność za produkt pozostaje przy producencie.
Co powinien zrobić producent?
Każda firma w łańcuchu dostaw powinna ustalić swoją rolę osobno dla każdego produktu, a potem dopasować do niej umowy z dostawcami i odbiorcami. Producent potrzebuje od dostawców informacji o komponentach i podatnościach. Importer i dystrybutor potrzebują od producenta dokumentów, które pozwolą im wykazać, że sprawdzili produkt.
- Zrób listę produktów i przypisz rolę do każdego. Zwróć uwagę na produkty pod własną marką i produkty, które modyfikujesz.
- Sprawdź, czy modyfikacje są istotne. Własny firmware, dodane funkcje lub zmiana przeznaczenia mogą uczynić Cię producentem.
- Uzupełnij umowy z dostawcami. SBOM, okres wsparcia komponentów, terminy informowania o podatnościach i dostęp do poprawek.
- Jako importer lub dystrybutor przygotuj listę kontrolną przyjęcia produktu. Oznakowanie CE, deklaracja zgodności UE, instrukcje, dane producenta, data końca wsparcia.
- Ustal kanał przekazywania informacji o podatnościach do producenta i z powrotem.
- Przechowuj dane o dostawcach i odbiorcach przez 10 lat.
Jeśli nie wiesz, czy produkt w ogóle podlega CRA, zacznij od artykułu Czy Cyber Resilience Act dotyczy Twojego produktu?. Kategorie produktów opisuje artykuł Kategorie produktów CRA.