Ten artykuł należy do cyklu o akcie o cyberodporności (CRA); kontekst znajdziesz we wprowadzeniu do CRA. CRA — podobnie jak inne unijne regulacje produktowe oparte na tzw. nowych ramach prawnych — rozkłada obowiązki wzdłuż łańcucha dostaw. Tutaj wyjaśniamy, kto jest kim i kto za co odpowiada.
Kim jest producent w rozumieniu CRA?
Producent to podmiot, który opracowuje lub wytwarza produkt z elementami cyfrowymi albo zleca jego zaprojektowanie i wprowadza go do obrotu pod własną nazwą lub znakiem towarowym.
To na producencie spoczywa najszerszy zakres obowiązków (art. 13): zaprojektowanie produktu zgodnie z zasadniczymi wymaganiami (Załącznik I część I), wdrożenie procedur postępowania z podatnościami (Załącznik I część II), ocena ryzyka w cyberprzestrzeni, sporządzenie dokumentacji technicznej (Załącznik VII), przeprowadzenie oceny zgodności, sporządzenie deklaracji zgodności UE i umieszczenie oznakowania CE, a także zdefiniowanie okresu wsparcia. Obowiązki producenta rozwijamy w osobnym artykule: Obowiązki producentów i okres wsparcia.
Kim jest upoważniony przedstawiciel?
Upoważniony przedstawiciel to osoba fizyczna lub prawna mająca siedzibę w Unii, którą producent na piśmie umocował do wykonywania w jego imieniu określonych obowiązków.
Producent spoza UE może (a w niektórych sytuacjach powinien) wyznaczyć upoważnionego przedstawiciela. Zakres jego zadań wynika z pełnomocnictwa — wykonuje on obowiązki producenta w granicach udzielonego umocowania (art. 18) i jest punktem kontaktowym dla organów.
Jakie obowiązki mają importerzy?
Importer wprowadza do obrotu produkty pochodzące od producenta spoza UE i odpowiada za to, by produkt spełniał wymagania CRA.
Zgodnie z art. 19 importerzy wprowadzają do obrotu wyłącznie produkty z elementami cyfrowymi, które spełniają zasadnicze wymagania określone w Załączniku I część I i w odniesieniu do których producent wypełnił swoje obowiązki. W praktyce importer weryfikuje m.in., czy producent przeprowadził właściwą ocenę zgodności, sporządził dokumentację techniczną, umieścił oznakowanie CE oraz dołączył wymagane informacje i instrukcje dla użytkowników (Załącznik II).
Jakie obowiązki mają dystrybutorzy?
Dystrybutor udostępnia produkt na rynku i działa z należytą starannością w odniesieniu do wymagań CRA.
Dystrybutor, zanim udostępni produkt, sprawdza w szczególności, czy produkt nosi oznakowanie CE i czy towarzyszą mu wymagane dokumenty i instrukcje. Jeżeli dystrybutor uzna, że produkt nie spełnia wymagań, nie udostępnia go, dopóki nie zostanie doprowadzony do zgodności (art. 20).
Kiedy importer lub dystrybutor staje się producentem?
Importer lub dystrybutor przejmuje obowiązki producenta, jeśli wprowadza produkt do obrotu pod własną nazwą lub znakiem towarowym albo dokonuje jego istotnej modyfikacji.
To istotny mechanizm: jeżeli istotnie modyfikujesz produkt już wprowadzony do obrotu lub firmujesz go własną marką, prawo traktuje Cię jak producenta — z całym ciężarem obowiązków i odpowiedzialności. Pojęcie istotnej modyfikacji decyduje też o tym, kiedy potrzebna jest ponowna ocena zgodności — wracamy do niego w artykule Ocena zgodności, oznakowanie CE i dokumentacja techniczna.
Jak możemy Ci pomóc?
W Legal Geek pomagamy ustalić, jaką rolę pełnisz w łańcuchu dostaw na gruncie CRA i jakie obowiązki się z nią wiążą — to bywa zaskakujące, zwłaszcza dla dystrybutorów firmujących produkty własną marką. Przygotowujemy też umowy i pełnomocnictwa dla upoważnionych przedstawicieli producentów spoza UE.
Co dalej w cyklu?
- Akt o cyberodporności (CRA) — wprowadzenie
- Kogo dotyczy CRA — czym jest „produkt z elementami cyfrowymi”
- Obowiązki producentów i okres wsparcia
- Ocena zgodności, oznakowanie CE i dokumentacja techniczna
- Wolne i otwarte oprogramowanie a CRA
