Rollen en verplichtingen onder de EU-verordening cyberweerbaarheid

Rollen zijn afhankelijk van het product

De CRA gebruikt rollen uit het productrecht. Verplichtingen worden niet uitsluitend toegewezen aan de persoon die de code heeft geschreven, eigenaar is van de repository of een dienst beheert. Eerst moet worden bepaald of een product met digitale elementen op de markt van de Unie beschikbaar wordt gesteld. Vervolgens is de vraag wat de actor met dat product doet.

De CRA noemt de fabrikant, gemachtigde, importeur, distributeur en enkele andere verplichte personen marktdeelnemers. Die term is nuttig omdat deze de rollen koppelt aan marktactiviteiten. Iemand die alleen code bijdraagt, een repository host of niet-gerelateerde ondersteuning levert, krijgt daardoor niet automatisch alle CRA-rollen.

De fabrikant is de centrale rol

“fabrikant”: een natuurlijke of rechtspersoon die producten met digitale elementen ontwikkelt of vervaardigt of producten met digitale elementen laat ontwerpen, ontwikkelen of vervaardigen en deze onder zijn eigen naam of merknaam in de handel brengt, tegen betaling, door geld te verdienen of gratis;

Verordening (EU) 2024/2847, artikel 3, punt 13

De definitie bestaat uit twee delen. De actor moet direct of via een andere partij betrokken zijn bij de ontwikkeling of vervaardiging van het product en het onder de eigen naam of merknaam in de handel brengen. De oorspronkelijke softwareauteur is niet altijd de fabrikant. Een merkeigenaar die een product laat ontwikkelen kan de fabrikant zijn als deze het product als eigen product in de handel brengt.

Daarom liggen de belangrijkste CRA-verplichtingen bij de fabrikant. De CRA beschouwt de fabrikant als verantwoordelijk voor productontwerp, ontwikkeling, conformiteit, gebruikersinformatie, ondersteuningsperiode, afhandeling van kwetsbaarheden en meldingsverplichtingen op grond van de artikelen 13 en 14.

Importeurs en distributeurs vervullen rollen in de toeleveringsketen

Een importeur is in de Unie gevestigd en brengt op de markt van de Unie een product met digitale elementen in de handel dat de naam of merknaam draagt van een buiten de Unie gevestigde persoon. De rol bestaat omdat een niet-EU-fabrikant mogelijk niet rechtstreeks onder EU-markttoezicht valt.

Een distributeur is een andere actor in de toeleveringsketen dan de fabrikant of importeur, die een product op de markt van de Unie aanbiedt zonder de eigenschappen ervan te wijzigen. De rol van een distributeur is beperkter dan die van een fabrikant omdat de distributeur het product niet heeft ontworpen of ontwikkeld en het niet als eigen product in de handel brengt.

Importeurs en distributeurs controleren conformiteitsmarkeringen en informatie over fabrikanten en importeurs. Hun verplichtingen omvatten ook het achterhouden van een product wanneer er reden is om aan te nemen dat het niet conform is en samenwerking met markttoezichtautoriteiten.

De gemachtigde handelt op basis van een mandaat

Een gemachtigde is in de Unie gevestigd en handelt alleen namens de fabrikant omdat de fabrikant hem een schriftelijk mandaat heeft gegeven. Het mandaat moet de taken specificeren. De aanwijzing van een gemachtigde draagt de rol van fabrikant zelf niet over.

Dit onderscheid is in de praktijk van belang. De gemachtigde kan voor specifieke taken het EU-aanspreekpunt zijn, bijvoorbeeld voor het verstrekken van documenten aan markttoezichtautoriteiten of voor samenwerking bij corrigerende maatregelen. De kerntaken voor ontwerp, ontwikkeling, productie en het behouden van conformiteit blijven bij de fabrikant.

Open source omvat twee afzonderlijke concepten

Gratis opensourcesoftware valt niet altijd buiten de CRA. Als iemand in het kader van een commerciële activiteit een gratis opensourceproduct met digitale elementen onder de eigen naam of merknaam op de markt brengt, kan die persoon voor dat product de fabrikant zijn.

De CRA creëert ook een andere rol voor opensourcesoftware die wordt gepubliceerd maar in die zin niet op de markt wordt aangeboden. Die rol is de steward voor opensourcesoftware.

“steward voor opensourcesoftware”: een rechtspersoon, niet zijnde een fabrikant, met als doel of opdracht om op systematische wijze en op een duurzame basis ondersteuning te bieden voor de ontwikkeling van specifieke producten met digitale elementen die als vrije en opensourcesoftware kwalificeren en bestemd zijn voor commerciële activiteiten, en die de levensvatbaarheid van die producten waarborgt;

Verordening (EU) 2024/2847, artikel 3, punt 14

De stewardrol is daarom geen aanduiding voor elke maintainer of bijdrager. De rol geldt voor een rechtspersoon en specifieke vrije opensourcesoftware wanneer die persoon het project blijvend ondersteunt en de levensvatbaarheid ervan waarborgt zonder fabrikant van dat product te zijn. De Commissie omschrijft de stewardregeling als toegesneden en lichter dan de regeling voor fabrikanten.

Individuele bijdragers aan broncode worden weer anders behandeld. De CRA is niet van toepassing op natuurlijke of rechtspersonen die broncode bijdragen aan vrije opensourcesoftware die niet onder hun verantwoordelijkheid valt.

Wijziging van rol

Een rol kan veranderen wanneer de actor niet langer alleen het product van iemand anders levert, maar het product presenteert of wijzigt op een manier die de CRA als activiteit van een fabrikant beschouwt.

Een importeur of distributeur wordt voor de toepassing van deze verordening als fabrikant beschouwd en is onderworpen aan de artikelen 13 en 14 wanneer die importeur of distributeur een product met digitale elementen onder zijn eigen naam of merknaam in de handel brengt of een ingrijpende wijziging uitvoert aan een product met digitale elementen dat al in de handel is gebracht.

Verordening (EU) 2024/2847, artikel 21

Hetzelfde beginsel geldt ook buiten importeurs en distributeurs. Een andere persoon dan de fabrikant, importeur of distributeur wordt als fabrikant behandeld wanneer deze een ingrijpende wijziging uitvoert en het gewijzigde product op de markt aanbiedt. Voor die persoon gelden de fabrikantverplichtingen voor het getroffen deel van het product of voor het hele product als de wijziging van invloed is op de cyberbeveiliging van het product als geheel.

Niet elke update, reparatie of ondersteuningsactiviteit is een ingrijpende wijziging. De CRA-definitie hangt ervan af of een wijziging na het in de handel brengen van invloed is op naleving van essentiële cyberbeveiligingsvereisten of het beoogde gebruik verandert waarvoor het product is beoordeeld. Een beveiligingsupdate die alleen het risico vermindert, wijst doorgaans niet op een rolwijziging. Een functiewijziging die het beoogde gebruik verandert of het cyberbeveiligingsrisico verhoogt, kan daar wel op wijzen.

Deze regels verduidelijken veelvoorkomende grenzen. Een in de EU gevestigde actor die een product met een niet-EU-merk op de markt van de Unie in de handel brengt, is gewoonlijk een importeur. Een actor in de toeleveringsketen die een ongewijzigd product aanbiedt, is gewoonlijk een distributeur. Een actor die de eigen naam of merknaam gebruikt of het product ingrijpend wijzigt en aanbiedt, kan fabrikant worden.