CRA dotyczy produktów z elementami cyfrowymi, czyli sprzętu i oprogramowania, które udostępnia się na rynku UE w ramach działalności handlowej i których użycie obejmuje połączenie danych z urządzeniem lub siecią. Jeśli sprzedajesz urządzenie z firmware, aplikację instalowaną u użytkownika albo komponent z oprogramowaniem, najpewniej podlegasz CRA, o ile produktu nie obejmuje jedno z wyłączeń.
- Zakres wyznaczają art. 2 i definicje z art. 3: produkt z elementami cyfrowymi, połączenie danych, udostępnienie na rynku UE w działalności handlowej.
- CRA obejmuje sprzęt, oprogramowanie i komponenty sprzedawane osobno.
- Usługa działająca wyłącznie u dostawcy (SaaS) co do zasady nie jest produktem. Wyjątkiem jest zdalne przetwarzanie danych, bez którego produkt nie spełnia swojej funkcji.
- Wyłączone są m.in. wyroby medyczne, pojazdy objęte przepisami o homologacji, produkty lotnicze i wyposażenie morskie, ale tylko te objęte wskazanymi aktami.
- To, że produkt podlega CRA, nie mówi jeszcze, jakie masz obowiązki. Zależą od roli firmy i kategorii produktu.
Kiedy produkt podlega CRA? Pięć warunków
Produkt podlega CRA, gdy jest produktem z elementami cyfrowymi, jego użycie obejmuje połączenie danych z urządzeniem lub siecią, jest udostępniany na rynku UE w ramach działalności handlowej i nie obejmuje go żadne wyłączenie. Artykuł 2 i definicje z art. 3 można sprowadzić do pięciu pytań:
- Czy to produkt z elementami cyfrowymi? Chodzi o oprogramowanie lub sprzęt oraz związane z nimi rozwiązania zdalnego przetwarzania danych. Także o komponenty sprzętowe i programowe, które wprowadza się do obrotu osobno.
- Czy jego użycie obejmuje połączenie danych? Przeznaczenie albo dające się racjonalnie przewidzieć użycie musi obejmować bezpośrednie lub pośrednie, logiczne lub fizyczne połączenie danych z urządzeniem lub siecią.
- Czy jest udostępniany na rynku UE? Chodzi o dostarczanie produktu do dystrybucji lub używania na rynku unijnym.
- Czy dzieje się to w ramach działalności handlowej? Odpłatnie lub nieodpłatnie. Bezpłatna aplikacja dołączona do płatnego urządzenia też jest udostępniana w działalności handlowej.
- Czy produkt obejmuje wyłączenie? Wyłączenia wymienia art. 2. Komisja może je uzupełnić aktem delegowanym (art. 2 ust. 5).
Co podlega CRA, a co nie? Przykłady
CRA obejmuje urządzenia z oprogramowaniem, samodzielne programy i komponenty sprzedawane osobno. Nie obejmuje usług działających wyłącznie u dostawcy ani produktów bez oprogramowania i połączenia danych. Przykłady w tabeli są orientacyjne. O kwalifikacji konkretnego produktu decydują jego funkcje, przeznaczenie i sposób sprzedaży.
| Produkt | Czy podlega CRA | Dlaczego |
|---|---|---|
| Bramka IoT, router, kamera IP | Tak | Sprzęt z oprogramowaniem, połączony z siecią |
| Sterownik z Modbus lub portem serwisowym | Tak | Wymienia dane z innymi urządzeniami, choć nie łączy się z internetem |
| Czujnik z Bluetooth i aplikacja do niego | Tak, oba | Urządzenie i aplikacja są produktami z elementami cyfrowymi |
| Program instalowany na komputerze użytkownika | Tak | Samodzielne oprogramowanie udostępniane w działalności handlowej |
| Moduł komunikacyjny lub biblioteka sprzedawane osobno | Tak | Komponent wprowadzany do obrotu osobno |
| Serwer w chmurze, przez który aplikacja steruje urządzeniem | Tak, jako część produktu | Zdalne przetwarzanie danych zaprojektowane przez producenta lub na jego odpowiedzialność, bez którego produkt nie spełnia jednej z funkcji |
| Portal internetowy, sklep online, system CRM dostępny przez przeglądarkę | Co do zasady nie | Usługa działająca u dostawcy, nie produkt |
| Czajnik z mechanicznym wyłącznikiem i diodą | Nie | Brak oprogramowania i połączenia danych |
| Wyrób medyczny objęty rozporządzeniem 2017/745 | Nie | Wyłączenie z art. 2 |
Sama elektronika nie wystarcza
Produkt, w którym sygnał elektryczny tylko uruchamia lub zasila funkcję i nie przenosi informacji zakodowanej cyfrowo, pozostaje poza zakresem. Granica bywa cienka: ten sam zasilacz w wersji z interfejsem do odczytu parametrów już przesyła dane.
Oprogramowanie: liczy się, gdzie działa
Program, który użytkownik pobiera i uruchamia na swoim urządzeniu, jest produktem. Usługa, z której korzysta wyłącznie przez przeglądarkę, co do zasady nie jest. Wiele produktów ma jednak obie części: urządzenie lub aplikację u użytkownika oraz zaplecze u producenta. Jeśli bez zaplecza produkt nie spełnia jednej ze swoich funkcji, a zaplecze zaprojektował producent lub zrobiono to na jego odpowiedzialność, jest ono częścią produktu i wchodzi do oceny ryzyka oraz dokumentacji.
Firma sprzedaje sterownik ogrzewania, aplikację mobilną i prowadzi serwer, przez który aplikacja wysyła polecenia do sterownika. Sterownik i aplikacja to produkty z elementami cyfrowymi. Serwer pośredniczący w sterowaniu jest zdalnym przetwarzaniem danych, bez którego produkt nie działa zgodnie z przeznaczeniem, więc producent uwzględnia go w ocenie ryzyka.
Firmowa strona z cennikiem i formularzem kontaktowym nie jest częścią produktu.
Jakie produkty są wyłączone z CRA?
Z CRA wyłączone są produkty objęte przepisami wskazanymi w art. 2: wyroby medyczne, pojazdy podlegające homologacji, certyfikowane produkty lotnicze i wyposażenie morskie. Wyłączone są też identyczne części zamienne oraz produkty przeznaczone wyłącznie do celów obronności, bezpieczeństwa narodowego lub przetwarzania informacji niejawnych.
Zgodnie z art. 2 CRA nie stosuje się do:
- wyrobów medycznych i wyrobów do diagnostyki in vitro (rozporządzenia 2017/745 i 2017/746),
- pojazdów i ich wyposażenia objętych przepisami o homologacji (rozporządzenie 2019/2144),
- produktów lotniczych certyfikowanych według rozporządzenia 2018/1139,
- wyposażenia morskiego objętego dyrektywą 2014/90/UE,
- części zamiennych, które zastępują identyczne komponenty i są wytwarzane według tych samych specyfikacji,
- produktów opracowanych lub zmodyfikowanych wyłącznie do celów bezpieczeństwa narodowego lub obronności albo do przetwarzania informacji niejawnych.
Produkt podlega CRA. Od czego zależą obowiązki?
Obowiązki zależą od roli firmy i kategorii produktu. Producent ma najszerszy zakres obowiązków, a importer i dystrybutor przede wszystkim sprawdzają, czy producent je wykonał. Kategoria produktu (domyślna, ważna klasy I lub II, krytyczna) decyduje o tym, jak wygląda ocena zgodności.
Rola firmy
- Producent projektuje lub wytwarza produkt albo zleca to i sprzedaje go pod własną nazwą lub znakiem. Ma najszerszy zakres obowiązków.
- Importer wprowadza do obrotu w UE produkt firmy spoza UE. Sprawdza, czy producent wykonał swoje obowiązki.
- Dystrybutor udostępnia produkt dalej. Działa z należytą starannością i sprawdza m.in. oznakowanie CE.
Importer lub dystrybutor, który sprzedaje produkt pod własną marką albo istotnie go modyfikuje, staje się producentem w rozumieniu CRA (art. 21 i 22).
Kategoria produktu
Większość produktów należy do kategorii domyślnej, w której producent sam przeprowadza ocenę zgodności. Załącznik III wymienia ważne produkty klasy I i II, a załącznik IV produkty krytyczne. Dla nich ścieżka oceny zgodności jest bardziej wymagająca. Szczegóły opisujemy w artykule CRA a oznakowanie CE: ocena zgodności produktów cyfrowych.
Jak sprawdzić, czy podlegam CRA? Lista kontrolna
Przejdź sześć punktów poniżej. Jeśli produkt ma oprogramowanie, wymienia dane z innym urządzeniem lub siecią, trafia do klientów w UE w ramach działalności firmy i nie obejmuje go wyłączenie, najpewniej podlega CRA.
- Produkt zawiera oprogramowanie (firmware, system, aplikację) albo sam jest oprogramowaniem.
- Produkt wymienia dane z innym urządzeniem lub siecią: przez internet, sieć lokalną, radio, USB, magistralę przemysłową lub port serwisowy.
- Produkt jest lub będzie sprzedawany, wynajmowany albo przekazywany klientom w UE.
- Robimy to w ramach działalności firmy, nawet jeśli samo oprogramowanie jest bezpłatne.
- Produkt nie jest wyrobem medycznym, nie podlega homologacji pojazdów, certyfikacji lotniczej ani przepisom o wyposażeniu morskim.
- Produkt nie powstał wyłącznie do celów obronności lub bezpieczeństwa narodowego.
Jeśli zaznaczasz wszystkie punkty, produkt najpewniej podlega CRA. Jeśli wahasz się przy którymś z nich, to właśnie ten punkt wymaga analizy.
Co powinien zrobić producent?
Producent powinien spisać wszystkie produkty z oprogramowaniem, odpowiedzieć dla każdego na pięć pytań o zakres, ustalić rolę firmy i kategorię produktu, a wynik zapisać z uzasadnieniem. Taka notatka przydaje się w rozmowie z klientem i z organem nadzoru rynku.
- Spisz produkty i ich warianty. Każdy model, wersję z modułem komunikacyjnym i towarzyszące oprogramowanie potraktuj osobno.
- Odpowiedz na pięć pytań o zakres dla każdego z nich. Wstępny wynik da bezpłatny skaner CRA.
- Ustal rolę firmy wobec każdego produktu. Szczególnie przy produktach kupowanych od dostawców i sprzedawanych pod własną marką.
- Sprawdź kategorię produktu w załącznikach III i IV. Od niej zależy ścieżka oceny zgodności.
- Zapisz uzasadnienie. Krótka notatka, dlaczego produkt podlega lub nie podlega CRA, przyda się w rozmowie z klientem i z organem nadzoru rynku.
Terminy, w których te ustalenia zaczynają mieć skutki, opisujemy w artykule CRA 2026–2027: najważniejsze terminy i obowiązki producentów.