角色和义务

角色跟随产品

CRA 使用欧盟产品法规中的市场角色。它不是只看谁写了代码、谁拥有代码仓库，或谁运行某个服务。先判断产品是否在 Union market 上提供，再判断该主体如何参与该产品。

Manufacturer、authorised representative、importer、distributor 和若干其他义务主体都属于 economic operators。这个术语把义务和市场活动连接起来。单纯贡献代码、托管仓库或提供无关支持，并不会让一个人成为所有 CRA 角色。

制造商是核心角色

‘manufacturer’ means a natural or legal person who develops or manufactures products with digital elements or has products with digital elements designed, developed or manufactured, and markets them under its name or trademark, whether for payment, monetisation or free of charge;

Regulation (EU) 2024/2847, Article 3(13)

这个定义有两个关键点。第一，主体直接开发或制造产品，或者让他人为自己设计、开发或制造产品。第二，主体以自己的名称或商标销售该产品。因此，最初的软件作者不一定是 manufacturer；让他人开发产品并以自己品牌销售的公司，可能是 manufacturer。

这也是 CRA 主要义务落在 manufacturer 身上的原因。产品设计、开发、合格评定、用户信息、支持期限、漏洞处理和 Article 14 报告，都围绕这个核心角色展开。

进口商和经销商是供应链角色

Importer 是设立在欧盟境内，并把欧盟境外主体名称或商标下的 product with digital elements 投放到 Union market 的主体。这个角色存在，是因为非欧盟 manufacturer 可能不在欧盟市场监管的直接触达范围内。

Distributor 是 manufacturer 或 importer 之外的供应链主体。它在不影响产品属性的情况下，把产品在 Union market 上提供。这个角色比 manufacturer 窄，因为 distributor 并不是设计、开发产品，或以自己名称销售产品的主体。

Importer 和 distributor 的义务仍然是真实义务。它们通常关注产品是否带有预期的符合性标志、manufacturer 和 importer 信息是否存在、是否有理由认为产品不符合 CRA，以及是否需要配合市场监管机构。

授权代表依书面授权行事

Authorised representative 必须设立在欧盟境内，并且只能根据 manufacturer 的书面授权行事。授权文件应说明具体任务。任命 authorised representative 不会把 manufacturer 角色本身转移出去。

这个区别很实用。授权代表可以作为欧盟联系人，承担提供文件、配合纠正措施等指定任务。但产品设计、开发、生产和持续符合 CRA 的核心责任，仍然属于 manufacturer。

开源有两个不同概念

Free and open-source software 并不当然在 CRA 之外。如果一个主体在商业活动中，以自己的名称或商标把 free and open-source product with digital elements 投放市场，该主体仍可能是 manufacturer。

CRA 还为另一类情况设立了 open-source software steward。它不是普通维护者的同义词，也不是所有开源项目的默认角色。

‘open-source software steward’ means a legal person, other than a manufacturer, that has the purpose or objective of systematically providing support on a sustained basis for the development of specific products with digital elements, qualifying as free and open-source software and intended for commercial activities, and that ensures the viability of those products;

Regulation (EU) 2024/2847, Article 3(14)

Steward 角色适用于法律实体、特定自由开源软件、持续支持和项目可持续性。委员会说明，这一制度比 manufacturer 制度更有针对性，也更轻。

个人代码贡献者又是另一回事。如果相关 free and open-source software 不在其责任下，CRA 不会仅因贡献源码而适用。

角色可以改变

供应链主体如果不再只是提供他人的产品，而是以自己的名称销售产品，或对已投放市场的产品作出 substantial modification，角色可能改变。

An importer or distributor shall be considered to be a manufacturer for the purposes of this Regulation and shall be subject to Articles 13 and 14, where that importer or distributor places a product with digital elements on the market under its name or trademark or carries out a substantial modification of a product with digital elements already placed on the market.

Regulation (EU) 2024/2847, Article 21

同样原则也适用于其他主体。一个非 manufacturer、importer 或 distributor 的主体，如果作出 substantial modification 并把修改后的产品在市场上提供，也会在相应范围内被视为 manufacturer。

Substantial modification 不是每一次更新、维修或支持活动。CRA 关注的是变更是否影响 essential cybersecurity requirements 的符合性，或是否改变产品被评估时的 intended purpose。降低风险的安全更新通常不会指向角色改变；改变用途或增加网络安全风险的功能变更则可能指向角色改变。

这些规则解释了常见边界。设立在欧盟境内、把非欧盟品牌产品投放到 Union market 的主体通常是 importer。供应链主体在不改变产品的情况下提供产品，通常是 distributor。使用自己名称或商标，或作出 substantial modification 并把产品在市场上提供的主体，可能成为 manufacturer。