Role i obowiązki na podstawie unijnego Aktu w sprawie cyberodporności
Sytance · Zaktualizowano
Obowiązki na gruncie CRA zależą od roli danej osoby w odniesieniu do konkretnego produktu z elementami cyfrowymi. Ta sama osoba prawna może być producentem jednego produktu, importerem lub dystrybutorem innego, upoważnionym przedstawicielem działającym na podstawie pisemnego pełnomocnictwa albo opiekunem oprogramowania open source w ramach określonego projektu bezpłatnego i otwartego oprogramowania.
Role zależą od produktu
CRA posługuje się rolami właściwymi dla prawa produktowego. Nie przypisuje obowiązków wyłącznie na podstawie tego, kto napisał kod, jest właścicielem repozytorium lub obsługuje usługę. Najpierw należy ustalić, czy produkt z elementami cyfrowymi jest udostępniany na rynku Unii. Następnie trzeba określić, co dany podmiot robi z tym produktem.
CRA określa producenta, upoważnionego przedstawiciela, importera, dystrybutora i niektóre inne podmioty zobowiązane mianem podmiotów gospodarczych. Pojęcie to jest przydatne, ponieważ łączy role z działalnością rynkową. Samo tworzenie kodu, prowadzenie repozytorium lub świadczenie niezwiązanej z produktem pomocy technicznej nie przypisuje danej osobie każdej z ról CRA.
Producent pełni główną rolę
„producent” oznacza osobę fizyczną lub prawną, która opracowuje lub wytwarza produkty z elementami cyfrowymi lub zleca ich zaprojektowanie, opracowanie lub wytworzenie, a następnie wprowadza je do obrotu pod własną nazwą lub znakiem towarowym, odpłatnie, w ramach monetyzacji lub nieodpłatnie;
Rozporządzenie (UE) 2024/2847, art. 3 pkt 13
Definicja ma dwie części. Podmiot musi być związany z opracowaniem lub wytworzeniem produktu — bezpośrednio lub za pośrednictwem innej strony — i wprowadzać go do obrotu pod własną nazwą lub znakiem towarowym. Pierwotny autor oprogramowania nie zawsze jest producentem. Właściciel marki, dla którego opracowano produkt, może być producentem, jeżeli wprowadza go do obrotu jako własny.
Dlatego główne obowiązki wynikające z CRA spoczywają na producencie. CRA uznaje go za podmiot odpowiedzialny za projektowanie, rozwój i zgodność produktu, informacje dla użytkowników, okres wsparcia, obsługę podatności oraz obowiązki sprawozdawcze wynikające z art. 13 i 14.
Importerzy i dystrybutorzy pełnią role w łańcuchu dostaw
Importer ma siedzibę w Unii i wprowadza na rynek Unii produkt z elementami cyfrowymi oznaczony nazwą lub znakiem towarowym podmiotu spoza Unii. Rola importera istnieje, ponieważ producent spoza UE może pozostawać poza bezpośrednim zasięgiem unijnych mechanizmów kontroli rynku.
Dystrybutor to inny podmiot w łańcuchu dostaw, niebędący producentem ani importerem, który udostępnia produkt na rynku Unii bez wpływu na jego właściwości. Rola dystrybutora jest węższa niż rola producenta, ponieważ dystrybutor nie projektował ani nie opracował produktu i nie wprowadza go do obrotu jako własnego.
Importerzy i dystrybutorzy sprawdzają oznakowanie zgodności oraz informacje o producencie i importerze. Ich obowiązki obejmują też wstrzymanie udostępniania produktu, gdy istnieją podstawy, by sądzić, że nie jest zgodny z przepisami, oraz współpracę z organami nadzoru rynku.
Upoważniony przedstawiciel działa na podstawie pełnomocnictwa
Upoważniony przedstawiciel ma siedzibę w Unii i działa w imieniu producenta wyłącznie na podstawie udzielonego mu przez producenta pisemnego pełnomocnictwa. Pełnomocnictwo musi określać powierzone zadania. Wyznaczenie upoważnionego przedstawiciela nie przenosi na niego samej roli producenta.
To rozróżnienie ma praktyczne znaczenie. Przedstawiciel może być unijnym punktem kontaktowym w określonych sprawach, takich jak przekazywanie dokumentów organom nadzoru rynku lub współpraca przy działaniach naprawczych. Podstawowe obowiązki dotyczące projektowania, opracowywania, produkcji i utrzymywania zgodności produktu pozostają obowiązkami producenta.
Oprogramowanie open source wiąże się z dwoma odrębnymi pojęciami
Bezpłatne i otwarte oprogramowanie nie zawsze jest wyłączone z zakresu CRA. Jeśli podmiot w ramach działalności handlowej wprowadza do obrotu bezpłatny i otwarty produkt z elementami cyfrowymi pod własną nazwą lub znakiem towarowym, może być jego producentem.
CRA ustanawia również odrębną rolę dla oprogramowania open source, które jest publikowane, ale nie jest w tym znaczeniu udostępniane na rynku. Jest to rola opiekuna oprogramowania open source.
„opiekun oprogramowania open source” oznacza osobę prawną inną niż producent, której celem jest systematyczne i trwałe wspieranie rozwoju określonych produktów z elementami cyfrowymi stanowiących bezpłatne i otwarte oprogramowanie przeznaczone do działalności handlowej oraz zapewnianie rentowności tych produktów;
Rozporządzenie (UE) 2024/2847, art. 3 pkt 14
Rola opiekuna nie jest więc określeniem każdego opiekuna projektu ani współtwórcy. Dotyczy osoby prawnej i konkretnego bezpłatnego i otwartego oprogramowania, gdy osoba ta stale wspiera projekt i zapewnia jego rentowność, a jednocześnie nie jest producentem tego produktu. Komisja opisuje system opiekunów jako dostosowany do tej roli i lżejszy niż system dla producentów.
Poszczególni współtwórcy kodu źródłowego podlegają jeszcze innym zasadom. CRA nie ma zastosowania do osób fizycznych ani prawnych, które wnoszą kod źródłowy do bezpłatnego i otwartego oprogramowania, za które nie odpowiadają.
Zmiana roli
Rola może się zmienić, gdy podmiot przestaje jedynie dostarczać produkt innej osoby i zaczyna przedstawiać produkt lub modyfikować go w sposób, który CRA uznaje za działalność producenta.
Importer lub dystrybutor jest uznawany za producenta na potrzeby niniejszego rozporządzenia i podlega art. 13 i 14, jeżeli wprowadza do obrotu produkt z elementami cyfrowymi pod własną nazwą lub znakiem towarowym albo istotnie modyfikuje produkt z elementami cyfrowymi, który został już wprowadzony do obrotu.
Rozporządzenie (UE) 2024/2847, art. 21
Ta sama zasada ma szersze zastosowanie, nie tylko do importerów i dystrybutorów. Osobę inną niż producent, importer lub dystrybutor uznaje się za producenta, jeśli dokonuje istotnej modyfikacji i udostępnia zmodyfikowany produkt na rynku. Obowiązki producenta dotyczą wówczas zmodyfikowanej części produktu albo całego produktu, jeżeli modyfikacja wpływa na jego cyberbezpieczeństwo jako całości.
Istotna modyfikacja nie oznacza każdej aktualizacji, naprawy ani czynności wsparcia. Zgodnie z definicją CRA chodzi o to, czy zmiana po wprowadzeniu produktu do obrotu wpływa na zgodność z zasadniczymi wymogami cyberbezpieczeństwa lub zmienia zamierzone przeznaczenie, pod kątem którego oceniono produkt. Aktualizacja zabezpieczeń ograniczająca wyłącznie ryzyko zwykle przemawia przeciwko zmianie roli. Zmiana funkcji, która zmienia przeznaczenie lub zwiększa ryzyko cyberbezpieczeństwa, może przemawiać za zmianą roli.
Zasady te wyjaśniają typowe granice ról. Podmiot z siedzibą w UE, który wprowadza na rynek Unii produkt oznaczony marką spoza UE, jest zwykle importerem. Podmiot w łańcuchu dostaw, który udostępnia niezmieniony produkt, jest zwykle dystrybutorem. Podmiot używający własnej nazwy lub znaku towarowego albo dokonujący istotnej modyfikacji i udostępniający produkt może stać się producentem.