投放市场
CRA 时间判断取决于市场行为,而不是某个型号首次设计的日期。关键问题是产品何时首次供应到 Union market,后续供应是否只是该产品的后续分销,以及后续变化是否构成 substantial modification。
市场术语
‘placing on the market’ means the first making available of a product with digital elements on the Union market;
Regulation (EU) 2024/2847, Article 3(21)
‘making available on the market’ means the supply of a product with digital elements for distribution or use on the Union market in the course of a commercial activity, whether in return for payment or free of charge;
Regulation (EU) 2024/2847, Article 3(22)
Placing on the market 是产品在 Union market 上的首次供应。Making available on the market 范围更宽,也覆盖首次供应发生后的后续分销或使用供应。
首次供应
在 Union market 上的首次供应就是 placing on the market。
后续供应
同一产品后续销售或分销属于 making available on the market。
持有库存
仅制造、存储或完成产品还不够,除非产品被供应用于分销或使用。
价格不能决定答案。免费产品如果是在商业活动中供应,仍可能被 made available on the market。只为 manufacturer 自用而制造的产品不同:它不会仅因存在而被 placed on the market。
单个产品日期
As for ‘making available’, the concept of placing on the market refers to each individual product, not to a type of product, and whether it was manufactured as an individual unit or in series. Consequently, placing on the Union market can only happen once for each individual product across the EU and does not take place in each Member State. Even though a product model or type has been supplied before new Union harmonisation legislation laying down new mandatory requirements entered into force, individual units of the same model or type, which are placed on the market after the new requirements have become applicable, must comply with these new requirements.
The Blue Guide 2022, section 2.3
Commission FAQ 将这一点用于 CRA。某一产品类型曾经较早投放,不会覆盖同型号的所有后续单位。每个单个产品都需要自己的市场日期。
这对库存和重复进口很重要。如果一批路由器单位在 2027 年 12 月 11 日前已经 placed on the market,这些单位不会仅因后来到达最终用户而进入完整 CRA 制度。同一型号的后续批次如果在 2027 年 12 月 11 日或之后 placed on the Union market,结论不同。
2027 年 12 月 11 日前投放市场的产品
Products with digital elements that have been placed on the market before 11 December 2027 shall be subject to the requirements set out in this Regulation only if, from that date, those products are subject to a substantial modification.
Regulation (EU) 2024/2847, Article 69(2)
By way of derogation from paragraph 2 of this Article, the obligations laid down in Article 14 shall apply to all products with digital elements that fall within the scope of this Regulation that have been placed on the market before 11 December 2027.
Regulation (EU) 2024/2847, Article 69(3)
过渡规则使 2027 年 12 月 11 日前已经 placed on the market 的产品不受完整 CRA 要求约束,除非它们自该日期起发生 substantial modification。它不保护后来投放市场的新单位。
Article 14 报告义务是单独规则。它更早开始,也适用于 2027 年 12 月 11 日前已经 placed on the market 的适用范围内产品。
Article 14 要求报告时,manufacturers 必须报告 actively exploited vulnerabilities 和 severe incidents。
自该日起投放市场的产品,需要在投放前满足适用的 CRA 要求。
2027 年 12 月 11 日前投放市场的产品,只有自该日期起发生 substantial modification,才必须满足完整 CRA 要求。
软件版本日期
通过下载或远程访问供应的独立软件,不像仓库库存一样处理。Draft Commission guidance 说明,standalone software product 在软件版本完成,并在商业活动中首次供应到 EU market 用于分销或使用时,被 placed on the market。
同一版本的后续下载,通常是同一软件产品的后续 making available。如果后续版本构成 substantial modification,该版本会取得新的 placing-on-the-market 日期。
同一软件版本
后续下载通常跟随该版本的首次市场日期。
实质性新版本
经过 substantial modification 的版本被视为新投放市场。
这个理解适用于以数字方式供应的 standalone software。软件如果通过物理介质供应,物理产品仍然重要。如果硬件产品需要软件才能执行功能,硬件和软件可能构成同一产品,即使软件稍后下载。
Substantial modification
‘substantial modification’ means a change to the product with digital elements following its placing on the market, which affects the compliance of the product with digital elements with the essential cybersecurity requirements set out in Part I of Annex I or which results in a modification to the intended purpose for which the product with digital elements has been assessed;
Regulation (EU) 2024/2847, Article 3(30)
这个定义有两条路径。变化如果影响产品对 Annex I Part I cybersecurity requirements 的符合性,可以是 substantial。变化如果改变了产品已经评定的 intended purpose,也可以是 substantial。
维修、支持动作、缺陷修复或安全更新,不会仅因发生在销售之后就成为 substantial。关键问题是变化是否改变已评定的用途,或改变网络安全风险和符合性图景。
- 修复漏洞且不改变 intended purpose 的安全更新,通常指向非 substantial modification。
- 改变产品预期用途的功能更新,可能构成 substantial modification。
- 即使是小功能,如果增加了此前未覆盖的新接口、数据流、外部依赖或攻击场景,也可能重要。
- 2027 年 12 月 11 日前投放市场的产品,如果自该日起发生 substantial modification,会进入完整 CRA 制度。
修改后的责任
Article 21 规定,如果 importer 或 distributor 以自己的名称或商标投放产品,或对已经投放市场的产品进行 substantial modification,它会被视为 manufacturer。
Article 22 将同一逻辑更广泛地适用。Manufacturer、importer 或 distributor 之外的人,如果进行 substantial modification 并使修改后的产品 available on the market,也可以被视为 manufacturer。
常见时间情形
主要问题是该单个产品是否已经在 2027 年 12 月 11 日前 placed on the Union market。之后到达最终用户,本身不会取消过渡规则处理。
在完整适用日期前,已经在 Union market 上供应用于分销或使用的库存,可以继续通过供应链流转,但仍受 Article 14 和 substantial-modification 触发规则影响。仅制造或持有、但尚未供应用于分销或使用的库存不同。
同一型号没有一个永久 CRA 市场日期。2027 年 12 月 11 日或之后 placed on the Union market 的后续单位,即使同型号较早单位已在此前投放,也需要满足 CRA。
非 substantial 更新通常不会产生新的 placing-on-the-market 日期。Substantial 更新会产生新日期。结论取决于更新是否影响 CRA 产品符合性,或改变已评定的 intended purpose。
后续 standalone software version 如果构成 substantial modification,就会作为新版本 placed on the market。不是 substantial 的小版本更新通常保留较早版本的市场日期。