CRA 網絡韌性法案：角色和義務

按具體產品確定角色

CRA 使用歐盟產品法規中的市場角色。它不是隻看誰寫了代碼、誰擁有代碼倉庫，或誰運行某個服務。先判斷產品是否在歐盟市場上提供，再判斷該主體如何參與該產品。

CRA 將製造商、授權代表、進口商、分銷商及其他特定義務主體統稱為“經濟運營者”。角色取決於其參與產品市場活動的方式；僅貢獻代碼、託管倉庫或提供無關支持，不能據此確定角色。

製造商是核心角色

“製造商”是指開發或製造含數字要素產品，或者委託他人設計、開發或製造此類產品，並以自己的名稱或商標在市場上提供這些產品的自然人或法人，無論是有償、通過其他方式變現還是免費提供；

英文原文：
‘manufacturer’ means a natural or legal person who develops or manufactures products with digital elements or has products with digital elements designed, developed or manufactured, and markets them under its name or trademark, whether for payment, monetisation or free of charge;

歐盟條例 (EU) 2024/2847, 第 3 條第 13 項（中文為非官方譯文；英文為原文）

這個定義有兩個關鍵點。第一，主體直接開發或製造產品，或者讓他人為自己設計、開發或製造產品。第二，主體以自己的名稱或商標在市場上提供該產品，無論有償、以其他方式變現還是免費提供。因此，最初的軟件作者不一定是製造商；委託他人開發產品並以自己品牌在市場上提供產品的公司，可能是製造商。

這也是 CRA 主要義務落在製造商身上的原因。產品設計、開發、合格評定、用戶信息、支持期、漏洞處理和第 14 條報告，都圍繞這個核心角色展開。

進口商和分銷商的供應鏈責任

進口商是設立在歐盟境內，並把歐盟境外主體名稱或商標下的含數字要素的產品投放到歐盟市場的主體。設立進口商角色，是因為歐盟市場監管機關未必能直接監管歐盟境外的製造商。

分銷商是製造商或進口商之外的供應鏈主體。分銷商在不改變產品屬性的情況下，將產品提供給歐盟市場。其義務範圍小於製造商，因為分銷商不負責設計、開發產品，也不以自己的名稱銷售該產品。

進口商和分銷商需要核查符合性標誌、製造商和進口商信息等事項；有理由認為產品不符合 CRA 時，應按各自義務停止投放或提供產品，並配合市場監管機關。

授權代表依書面授權行事

授權代表必須設立在歐盟境內，並且只能根據製造商的書面授權行事。授權文件應説明具體任務。任命授權代表不意味着轉移製造商的身份及責任。

授權代表可以作為歐盟聯繫人，承擔提供文件、配合糾正措施等指定任務。產品設計、開發、生產和持續符合 CRA 的核心責任，仍由製造商承擔。

開源有兩個不同概念

自由和開源軟件並不當然在 CRA 之外。如果一個主體在商業活動中，以自己的名稱或商標把自由和開源的含數字要素產品投放市場，該主體仍可能是製造商。

CRA 還為已經發布、但並非按上述含義在市場上提供的開源軟件設立了另一種角色，即開源軟件管理者。

“開源軟件管理者”是指製造商以外的法人，其宗旨或目標是持續、系統地支持特定含數字要素產品的開發；這些產品屬於自由和開源軟件，擬用於商業活動，且該法人確保這些產品能夠持續發展；

英文原文：
‘open-source software steward’ means a legal person, other than a manufacturer, that has the purpose or objective of systematically providing support on a sustained basis for the development of specific products with digital elements, qualifying as free and open-source software and intended for commercial activities, and that ensures the viability of those products;

歐盟條例 (EU) 2024/2847, 第 3 條第 14 項（中文為非官方譯文；英文為原文）

該角色並非所有維護者或貢獻者的通用標籤。開源軟件管理者是為特定自由和開源軟件提供持續支持、保障其項目持續運作，同時又不是該產品製造商的法人。歐盟委員會將其義務描述為針對這一角色制定、且較製造商義務更輕的制度。

個人代碼貢獻者又是另一回事。如果相關自由和開源軟件不在其責任下，CRA 不會僅因貢獻源碼而適用。

角色可以改變

供應鏈主體如果不再只是提供他人的產品，而是以自己的名稱在市場上提供產品，或對已投放市場的產品作出實質性修改，角色可能改變。

進口商或分銷商以自己的名稱或商標將含數字要素產品投放市場，或者對已投放市場的含數字要素產品進行實質性修改時，就本條例而言，應被視為製造商，並須遵守第 13 條和第 14 條。

英文原文：
An importer or distributor shall be considered to be a manufacturer for the purposes of this Regulation and shall be subject to Articles 13 and 14, where that importer or distributor places a product with digital elements on the market under its name or trademark or carries out a substantial modification of a product with digital elements already placed on the market.

歐盟條例 (EU) 2024/2847, 第 21 條（中文為非官方譯文；英文為原文）

製造商、進口商或分銷商之外的主體，若對產品作出實質性修改並在市場上提供修改後的產品，也會被視為製造商。其義務適用於受影響的部分；修改影響整件產品的網絡安全時，義務適用於整個產品。

判斷是否構成實質性修改，要看變更是否影響產品對基本網絡安全要求的符合性，或改變接受評定時的預期用途。僅降低風險的安全更新通常不會改變相關主體的角色；改變用途或增加網絡安全風險的功能變更，則可能使修改者承擔製造商義務。

這些規則區分了常見的供應鏈角色。設立在歐盟境內、把非歐盟品牌產品投放到歐盟市場的主體通常是進口商。供應鏈主體在不改變產品的情況下提供產品，通常是分銷商。使用自己名稱或商標，或作出實質性修改並把產品在市場上提供的主體，可能成為製造商。