CRA 網絡韌性法案：投放市場

市場術語

“投放市場”是指首次在歐盟市場上提供含數字要素產品；

英文原文：
‘placing on the market’ means the first making available of a product with digital elements on the Union market;

歐盟條例 (EU) 2024/2847, 第 3 條第 21 項（中文為非官方譯文；英文為原文）

“在市場上提供”是指在商業活動過程中，供應含數字要素產品以供在歐盟市場分銷或使用，無論有償還是免費；

英文原文：
‘making available on the market’ means the supply of a product with digital elements for distribution or use on the Union market in the course of a commercial activity, whether in return for payment or free of charge;

歐盟條例 (EU) 2024/2847, 第 3 條第 22 項（中文為非官方譯文；英文為原文）

“投放市場”是指產品首次在歐盟市場提供。“在市場上提供”的範圍更寬，也包括首次供應之後，為分銷或使用而進行的後續供應。

價格不是判斷依據。商業活動中的免費供應，仍可能屬於在市場上提供產品。製造商僅為自用而製造產品，則不因製造完成就構成投放市場。

每件產品的投放日期

與“在市場上提供”一樣，投放市場這一概念針對的是每一件具體產品，而非產品類型，不論該產品是單件製造還是批量製造。因此，每一件具體產品在整個歐盟只能被投放歐盟市場一次，而不是在每個成員國分別發生一次。即使某一產品型號或類型在規定新強制要求的歐盟協調立法生效之前已經供應，同一型號或類型中在新要求開始適用後投放市場的具體產品，仍必須符合這些新要求。

英文原文：
As for ‘making available’, the concept of placing on the market refers to each individual product, not to a type of product, and whether it was manufactured as an individual unit or in series. Consequently, placing on the Union market can only happen once for each individual product across the EU and does not take place in each Member State. Even though a product model or type has been supplied before new Union harmonisation legislation laying down new mandatory requirements entered into force, individual units of the same model or type, which are placed on the market after the new requirements have become applicable, must comply with these new requirements.

2022 年《藍色指南》第 2.3 節（中文為非官方譯文；英文為原文）

歐盟委員會常見問題解答強調，投放市場日期針對每件產品，不能只看型號。同一型號的首件產品較早投放，不代表後續生產的產品也使用同一日期。

例如，一批路由器已在 2027 年 12 月 11 日前投放市場，不會僅因之後才售給最終用戶就需要滿足 CRA 全部要求。同型號的另一批產品若在該日或之後首次投放歐盟市場，則須按新投放產品處理。

2027 年 12 月 11 日前投放市場的產品

在 2027 年 12 月 11 日之前已投放市場的含數字要素產品，只有在自該日起發生實質性修改時，才須遵守本條例規定的要求。

英文原文：
Products with digital elements that have been placed on the market before 11 December 2027 shall be subject to the requirements set out in this Regulation only if, from that date, those products are subject to a substantial modification.

歐盟條例 (EU) 2024/2847, 第 69 條第 2 款（中文為非官方譯文；英文為原文）

作為本條第 2 款的例外，第 14 條規定的義務應適用於本條例適用範圍內、在 2027 年 12 月 11 日之前已投放市場的所有含數字要素產品。

英文原文：
By way of derogation from paragraph 2 of this Article, the obligations laid down in Article 14 shall apply to all products with digital elements that fall within the scope of this Regulation that have been placed on the market before 11 December 2027.

歐盟條例 (EU) 2024/2847, 第 69 條第 3 款（中文為非官方譯文；英文為原文）

2027 年 12 月 11 日前已投放市場的產品，只有從該日起發生實質性修改時，才需要滿足 CRA 全部要求。此過渡規則不適用於之後新投放的同型號產品。

第 14 條報告義務是單獨規則。它更早開始，也適用於 2027 年 12 月 11 日前已經投放市場的適用範圍內產品。

軟件版本日期

委員會 2026 年 7 月指南説明，獨立軟件的製造階段完成，並在商業活動中首次供應到歐盟市場供分銷或使用時，即構成投放市場。同一軟件的副本共用該日期；組件、配置或啓用功能不同的變體，則按不同產品判斷。

同一版本的後續下載，通常屬於繼續在市場上提供同一軟件產品。如果後續版本構成實質性修改，該版本會取得新的投放市場日期。

上述説明適用於以數字方式供應的獨立軟件。通過實體介質供應時，還需要考慮該實體產品。硬件依賴某軟件才能執行功能的，兩者可能構成同一產品，即使軟件在硬件交付後才下載。

實質性修改

“實質性修改”是指含數字要素產品投放市場後發生的變化，該變化影響產品對附件 I 第一部分規定的基本網絡安全要求的符合性，或者導致已對產品進行評估的預期用途發生變化；

英文原文：
‘substantial modification’ means a change to the product with digital elements following its placing on the market, which affects the compliance of the product with digital elements with the essential cybersecurity requirements set out in Part I of Annex I or which results in a modification to the intended purpose for which the product with digital elements has been assessed;

歐盟條例 (EU) 2024/2847, 第 3 條第 30 項（中文為非官方譯文；英文為原文）

實質性修改包括兩種情況：變更影響產品對附件 I 第一部分網絡安全要求的符合性，或者改變產品接受評定時的預期用途。

對於投放市場後的變更，應按實質性修改的定義判斷：變更是否影響基本網絡安全要求的符合性，或改變產品接受評估時的預期用途？維修或安全更新也應按這些條件分析。

• 僅修復漏洞、且不改變預期用途的安全更新，通常不構成實質性修改。
• 改變產品預期用途的功能更新，可能構成實質性修改。
• 即使是小功能，如果增加了此前未覆蓋的新接口、數據流、外部依賴或攻擊場景，也可能影響上述判斷。
• 2027 年 12 月 11 日前投放市場的產品，如果自該日起發生實質性修改，須滿足全部 CRA 要求。

修改後的責任

第 21 條規定，如果進口商或分銷商以自己的名稱或商標投放產品，或對已經投放市場的產品進行實質性修改，它會被視為製造商。

第 22 條將這一原則擴展到其他主體：製造商、進口商或分銷商之外的主體，如果對產品進行實質性修改，並在市場上提供修改後的產品，也可被視為製造商。

常見時間情形