Wprowadzanie do obrotu na podstawie unijnego Aktu w sprawie cyberodporności

Pojęcia dotyczące rynku

„wprowadzenie do obrotu” oznacza pierwsze udostępnienie produktu z elementami cyfrowymi na rynku Unii;

Rozporządzenie (UE) 2024/2847, art. 3 pkt 21

„udostępnianie na rynku” oznacza dostarczanie produktu z elementami cyfrowymi do dystrybucji lub używania na rynku Unii w ramach działalności handlowej, odpłatnie albo nieodpłatnie;

Rozporządzenie (UE) 2024/2847, art. 3 pkt 22

Wprowadzenie do obrotu oznacza pierwszą dostawę produktu na rynek Unii. Udostępnianie na rynku ma szersze znaczenie. Obejmuje również późniejsze dostawy do dystrybucji lub używania, dokonane po pierwszej dostawie.

Cena nie rozstrzyga tej kwestii. Bezpłatny produkt nadal może być udostępniany na rynku, jeśli dostawa jest częścią działalności handlowej. Inaczej jest z produktem wytworzonym wyłącznie na własny użytek producenta: samo jego istnienie nie oznacza, że produkt wprowadzono do obrotu.

Data dotycząca pojedynczego produktu

Podobnie jak pojęcie „udostępniania na rynku”, pojęcie wprowadzenia do obrotu odnosi się do każdego pojedynczego produktu, a nie do typu produktu, niezależnie od tego, czy produkt wytworzono jako pojedynczy egzemplarz, czy seryjnie. W rezultacie każdy pojedynczy produkt można wprowadzić na rynek Unii tylko raz w całej UE; wprowadzenie nie następuje osobno w każdym państwie członkowskim. Nawet jeśli model lub typ produktu dostarczano przed wejściem w życie nowych unijnych przepisów harmonizacyjnych ustanawiających nowe obowiązkowe wymagania, poszczególne egzemplarze tego samego modelu lub typu wprowadzane do obrotu po rozpoczęciu stosowania nowych wymagań muszą te wymagania spełniać.

Blue Guide z 2022 r., sekcja 2.3

FAQ Komisji stosuje tę zasadę do CRA. Wcześniejsze wprowadzenie do obrotu jednego typu produktu nie obejmuje wszystkich późniejszych egzemplarzy tego typu. Datę wprowadzenia do obrotu należy ustalić osobno dla każdego produktu.

Ma to znaczenie dla zapasów i powtarzającego się importu. Jeśli partię routerów wprowadzono do obrotu przed 11 grudnia 2027 r., same późniejsze dostawy do użytkowników końcowych nie obejmują tych egzemplarzy pełnym systemem CRA. Inaczej jest z późniejszą partią tego samego modelu wprowadzoną na rynek Unii 11 grudnia 2027 r. lub później.

Produkty wprowadzone do obrotu przed 11 grudnia 2027 r.

Produkty z elementami cyfrowymi wprowadzone do obrotu przed dniem 11 grudnia 2027 r. podlegają wymogom określonym w niniejszym rozporządzeniu wyłącznie wtedy, gdy od tej daty zostaną poddane istotnej modyfikacji.

Rozporządzenie (UE) 2024/2847, art. 69 ust. 2

Na zasadzie odstępstwa od ust. 2 niniejszego artykułu obowiązki określone w art. 14 mają zastosowanie do wszystkich produktów z elementami cyfrowymi objętych zakresem niniejszego rozporządzenia, które wprowadzono do obrotu przed dniem 11 grudnia 2027 r.

Rozporządzenie (UE) 2024/2847, art. 69 ust. 3

Przepis przejściowy chroni produkty wprowadzone do obrotu przed 11 grudnia 2027 r. przed pełnymi wymogami CRA, chyba że od tej daty zostaną istotnie zmodyfikowane. Nie chroni nowych egzemplarzy wprowadzanych do obrotu później.

Obowiązek zgłaszania z art. 14 jest odrębny. Zaczyna obowiązywać wcześniej i dotyczy również produktów objętych zakresem rozporządzenia, które wprowadzono do obrotu przed 11 grudnia 2027 r.

Daty wersji oprogramowania

Zgodnie z wytycznymi Komisji z lipca 2026 r. samodzielne oprogramowanie uznaje się za wprowadzone do obrotu po zakończeniu etapu produkcji i pierwszym dostarczeniu do dystrybucji lub używania na rynku UE w ramach działalności handlowej. Kopie tej samej wersji mają tę samą datę. Warianty o różnych komponentach, konfiguracjach lub włączonych funkcjach uznaje się na potrzeby tej analizy za odrębne produkty.

Późniejsze pobrania tej samej wersji zwykle stanowią późniejsze udostępnianie tego samego produktu programowego. Późniejsza wersja otrzymuje nową datę wprowadzenia do obrotu, jeśli stanowi istotną modyfikację.

Ta interpretacja dotyczy samodzielnego oprogramowania dostarczanego cyfrowo. Jeśli oprogramowanie dostarczono na nośniku fizycznym, znaczenie ma również produkt fizyczny. Jeśli oprogramowanie jest niezbędne do działania funkcji produktu sprzętowego, sprzęt i oprogramowanie mogą stanowić jeden produkt, nawet gdy oprogramowanie pobrano później.

Istotna modyfikacja

„istotna modyfikacja” oznacza zmianę produktu z elementami cyfrowymi po jego wprowadzeniu do obrotu, która wpływa na zgodność produktu z elementami cyfrowymi z zasadniczymi wymogami cyberbezpieczeństwa określonymi w części I załącznika I lub która powoduje zmianę zamierzonego przeznaczenia, pod kątem którego oceniono produkt z elementami cyfrowymi;

Rozporządzenie (UE) 2024/2847, art. 3 pkt 30

Definicja przewiduje dwie przesłanki. Zmiana może być istotna, jeśli wpływa na zgodność z wymaganiami cyberbezpieczeństwa produktu określonymi w części I załącznika I. Może być również istotna, jeśli zmienia zamierzone przeznaczenie, pod kątem którego oceniono produkt.

W przypadku zmiany po wprowadzeniu do obrotu zastosuj definicję istotnej modyfikacji: czy zmiana wpływa na zgodność z zasadniczymi wymogami cyberbezpieczeństwa lub zmienia zamierzone przeznaczenie, pod kątem którego oceniono produkt? Naprawę lub aktualizację zabezpieczeń należy ocenić na podstawie tych warunków.

• Aktualizacja zabezpieczeń usuwająca podatność, która nie zmienia zamierzonego przeznaczenia, zazwyczaj przemawia przeciwko uznaniu jej za istotną modyfikację.
• Aktualizacja funkcji zmieniająca zamierzone przeznaczenie produktu może stanowić istotną modyfikację.
• Nawet niewielka funkcja może mieć znaczenie, jeśli dodaje nowy interfejs, przepływ danych, zewnętrzną zależność lub scenariusz ataku, których wcześniej nie uwzględniono.
• Produkt wprowadzony do obrotu przed 11 grudnia 2027 r. obejmuje pełny system CRA, jeśli od tej daty zostanie istotnie zmodyfikowany.

Odpowiedzialność po modyfikacji

Artykuł 21 uznaje importera lub dystrybutora za producenta, jeśli wprowadza on produkt do obrotu pod własną nazwą lub znakiem towarowym albo istotnie modyfikuje produkt już wprowadzony do obrotu.

Artykuł 22 szerzej stosuje tę samą zasadę. Osobę inną niż producent, importer lub dystrybutor można uznać za producenta, jeśli dokona ona istotnej modyfikacji i udostępni zmodyfikowany produkt na rynku.

Typowe przypadki dotyczące terminów