Papéis e deveres ao abrigo do Regulamento da Ciber-Resiliência da UE

Os papéis dependem do produto

O CRA utiliza os papéis previstos na legislação relativa aos produtos. Não atribui obrigações apenas com base em quem escreveu o código, é proprietário do repositório ou explora um serviço. A primeira questão é saber se um produto com elementos digitais é disponibilizado no mercado da União. A questão seguinte é determinar o que o interveniente faz com esse produto.

O CRA designa o fabricante, o representante autorizado, o importador, o distribuidor e algumas outras pessoas com obrigações como operadores económicos. Esta expressão é útil porque mantém os papéis associados à atividade de mercado. Uma pessoa que apenas contribui com código, aloja um repositório ou presta apoio não relacionado não assume todos os papéis do CRA apenas por esse facto.

O fabricante é o papel central

«fabricante» designa uma pessoa singular ou coletiva que desenvolve ou fabrica produtos com elementos digitais ou manda conceber, desenvolver ou fabricar produtos com elementos digitais e os comercializa em seu nome ou sob a sua marca, mediante pagamento, monetização ou gratuitamente;

Regulamento (UE) 2024/2847, artigo 3.º, n.º 13

A definição tem duas partes. O interveniente tem de estar ligado ao desenvolvimento ou fabrico do produto, diretamente ou através de outra parte, e tem de comercializar o produto em seu nome ou sob a sua marca. O autor original do software nem sempre é o fabricante. Um titular de uma marca que encomende o desenvolvimento de um produto pode ser o fabricante se o comercializar como seu.

É por isso que as principais obrigações do CRA recaem sobre o fabricante. O CRA considera-o responsável pela conceção, desenvolvimento e conformidade do produto, pelas informações para os utilizadores, pelo período de suporte, pelo tratamento de vulnerabilidades e pelas obrigações de notificação decorrentes dos artigos 13.º e 14.º.

Importadores e distribuidores na cadeia de abastecimento

Um importador está estabelecido na União e coloca no mercado da União um produto com elementos digitais que ostenta o nome ou a marca de uma pessoa estabelecida fora da União. O papel do importador existe porque um fabricante de fora da UE pode estar fora do alcance imediato dos controlos do mercado da União.

Um distribuidor é outro interveniente na cadeia de abastecimento, que não seja o fabricante nem o importador, que disponibiliza um produto no mercado da União sem afetar as suas propriedades. O papel do distribuidor é mais limitado do que o do fabricante, porque o distribuidor não concebeu nem desenvolveu o produto, nem o comercializa como seu.

Os importadores e distribuidores verificam as marcações de conformidade e as informações sobre o fabricante e o importador. As suas obrigações incluem também não disponibilizar um produto quando haja motivos para crer que não está conforme e cooperar com as autoridades de fiscalização do mercado.

O representante autorizado atua por mandato

Um representante autorizado está estabelecido na União e atua por conta do fabricante apenas porque este lhe conferiu um mandato escrito. O mandato tem de especificar as tarefas. A nomeação de um representante autorizado não transfere para este o próprio papel de fabricante.

Esta distinção é importante na prática. O representante pode ser o contacto na UE para tarefas especificadas, como fornecer documentos às autoridades de fiscalização do mercado ou cooperar em medidas corretivas. As obrigações centrais de conceber, desenvolver, produzir e manter o produto em conformidade continuam a ser obrigações do fabricante.

O código aberto envolve dois conceitos distintos

O software livre e de código aberto não está sempre fora do âmbito do CRA. Se uma pessoa colocar no mercado um produto com elementos digitais livre e de código aberto em seu nome ou sob a sua marca, no âmbito de uma atividade comercial, pode ser o fabricante desse produto.

O CRA também cria um papel distinto para o software de código aberto que é publicado, mas não é disponibilizado no mercado nesse sentido. Esse papel é o de responsável por software de código aberto.

«responsável por software de código aberto» designa uma pessoa coletiva, que não seja fabricante, cujo objetivo ou finalidade seja prestar sistematicamente apoio, de forma sustentada, ao desenvolvimento de produtos com elementos digitais específicos que se qualifiquem como software livre e de código aberto e se destinem a atividades comerciais, assegurando a viabilidade desses produtos;

Regulamento (UE) 2024/2847, artigo 3.º, n.º 14

O papel de responsável não é, portanto, uma designação para todos os responsáveis pela manutenção ou todos os colaboradores. Aplica-se a uma pessoa coletiva, relativamente a software livre e de código aberto específico, quando essa pessoa sustenta o projeto e assegura a sua viabilidade sem ser o fabricante do produto. A Comissão descreve o regime aplicável aos responsáveis como específico e menos oneroso do que o regime dos fabricantes.

Os colaboradores individuais do código-fonte são tratados de outra forma. O CRA não se aplica às pessoas singulares ou coletivas que contribuam com código-fonte para software livre e de código aberto que não esteja sob a sua responsabilidade.

Alteração do papel

Um papel pode mudar quando o interveniente deixa de se limitar a fornecer o produto de outra pessoa e começa a apresentar ou alterar o produto de uma forma que o CRA considera atividade de fabricante.

Um importador ou distribuidor é considerado fabricante para efeitos do presente regulamento e fica sujeito aos artigos 13.º e 14.º quando coloca um produto com elementos digitais no mercado em seu nome ou sob a sua marca ou procede a uma alteração substancial de um produto com elementos digitais já colocado no mercado.

Regulamento (UE) 2024/2847, artigo 21.º

O mesmo princípio também se aplica para além dos importadores e distribuidores. Uma pessoa que não seja o fabricante, importador ou distribuidor é tratada como fabricante se efetuar uma alteração substancial e disponibilizar o produto alterado no mercado. Para essa pessoa, as obrigações do fabricante aplicam-se à parte afetada do produto ou à totalidade do produto se a alteração afetar a cibersegurança do produto no seu conjunto.

Uma alteração substancial não corresponde a qualquer atualização, reparação ou atividade de assistência. A definição do CRA depende de a alteração após a colocação no mercado afetar a conformidade com os requisitos essenciais de cibersegurança ou mudar a finalidade prevista para a qual o produto foi avaliado. Uma atualização de segurança que apenas reduza o risco tende a não implicar uma mudança de papel. Uma alteração de funcionalidades que mude a finalidade prevista ou aumente o risco de cibersegurança pode apontar nesse sentido.

Estas regras clarificam os limites mais comuns. Um interveniente estabelecido na UE que coloque no mercado da União um produto com a marca de uma entidade de fora da UE é normalmente um importador. Um interveniente na cadeia de abastecimento que disponibilize um produto sem alterações é normalmente um distribuidor. Um interveniente que utilize o seu próprio nome ou marca, ou altere substancialmente o produto e o disponibilize, pode passar a ser o fabricante.