CRA 网络弹性法案：角色和义务

按具体产品确定角色

CRA 使用欧盟产品法规中的市场角色。它不是只看谁写了代码、谁拥有代码仓库，或谁运行某个服务。先判断产品是否在欧盟市场上提供，再判断该主体如何参与该产品。

CRA 将制造商、授权代表、进口商、分销商及其他特定义务主体统称为“经济运营者”。角色取决于其参与产品市场活动的方式；仅贡献代码、托管仓库或提供无关支持，不能据此确定角色。

制造商是核心角色

“制造商”是指开发或制造含数字要素产品，或者委托他人设计、开发或制造此类产品，并以自己的名称或商标在市场上提供这些产品的自然人或法人，无论是有偿、通过其他方式变现还是免费提供；

英文原文：
‘manufacturer’ means a natural or legal person who develops or manufactures products with digital elements or has products with digital elements designed, developed or manufactured, and markets them under its name or trademark, whether for payment, monetisation or free of charge;

欧盟条例 (EU) 2024/2847, 第 3 条第 13 项（中文为非官方译文；英文为原文）

这个定义有两个关键点。第一，主体直接开发或制造产品，或者让他人为自己设计、开发或制造产品。第二，主体以自己的名称或商标在市场上提供该产品，无论有偿、以其他方式变现还是免费提供。因此，最初的软件作者不一定是制造商；委托他人开发产品并以自己品牌在市场上提供产品的公司，可能是制造商。

这也是 CRA 主要义务落在制造商身上的原因。产品设计、开发、合格评定、用户信息、支持期、漏洞处理和第 14 条报告，都围绕这个核心角色展开。

进口商和分销商的供应链责任

进口商是设立在欧盟境内，并把欧盟境外主体名称或商标下的含数字要素的产品投放到欧盟市场的主体。设立进口商角色，是因为欧盟市场监管机关未必能直接监管欧盟境外的制造商。

分销商是制造商或进口商之外的供应链主体。分销商在不改变产品属性的情况下，将产品提供给欧盟市场。其义务范围小于制造商，因为分销商不负责设计、开发产品，也不以自己的名称销售该产品。

进口商和分销商需要核查符合性标志、制造商和进口商信息等事项；有理由认为产品不符合 CRA 时，应按各自义务停止投放或提供产品，并配合市场监管机关。

授权代表依书面授权行事

授权代表必须设立在欧盟境内，并且只能根据制造商的书面授权行事。授权文件应说明具体任务。任命授权代表不意味着转移制造商的身份及责任。

授权代表可以作为欧盟联系人，承担提供文件、配合纠正措施等指定任务。产品设计、开发、生产和持续符合 CRA 的核心责任，仍由制造商承担。

开源有两个不同概念

自由和开源软件并不当然在 CRA 之外。如果一个主体在商业活动中，以自己的名称或商标把自由和开源的含数字要素产品投放市场，该主体仍可能是制造商。

CRA 还为已经发布、但并非按上述含义在市场上提供的开源软件设立了另一种角色，即开源软件管理者。

“开源软件管理者”是指制造商以外的法人，其宗旨或目标是持续、系统地支持特定含数字要素产品的开发；这些产品属于自由和开源软件，拟用于商业活动，且该法人确保这些产品能够持续发展；

英文原文：
‘open-source software steward’ means a legal person, other than a manufacturer, that has the purpose or objective of systematically providing support on a sustained basis for the development of specific products with digital elements, qualifying as free and open-source software and intended for commercial activities, and that ensures the viability of those products;

欧盟条例 (EU) 2024/2847, 第 3 条第 14 项（中文为非官方译文；英文为原文）

该角色并非所有维护者或贡献者的通用标签。开源软件管理者是为特定自由和开源软件提供持续支持、保障其项目持续运作，同时又不是该产品制造商的法人。欧盟委员会将其义务描述为针对这一角色制定、且较制造商义务更轻的制度。

个人代码贡献者又是另一回事。如果相关自由和开源软件不在其责任下，CRA 不会仅因贡献源码而适用。

角色可以改变

供应链主体如果不再只是提供他人的产品，而是以自己的名称在市场上提供产品，或对已投放市场的产品作出实质性修改，角色可能改变。

进口商或分销商以自己的名称或商标将含数字要素产品投放市场，或者对已投放市场的含数字要素产品进行实质性修改时，就本条例而言，应被视为制造商，并须遵守第 13 条和第 14 条。

英文原文：
An importer or distributor shall be considered to be a manufacturer for the purposes of this Regulation and shall be subject to Articles 13 and 14, where that importer or distributor places a product with digital elements on the market under its name or trademark or carries out a substantial modification of a product with digital elements already placed on the market.

欧盟条例 (EU) 2024/2847, 第 21 条（中文为非官方译文；英文为原文）

制造商、进口商或分销商之外的主体，若对产品作出实质性修改并在市场上提供修改后的产品，也会被视为制造商。其义务适用于受影响的部分；修改影响整件产品的网络安全时，义务适用于整个产品。

判断是否构成实质性修改，要看变更是否影响产品对基本网络安全要求的符合性，或改变接受评定时的预期用途。仅降低风险的安全更新通常不会改变相关主体的角色；改变用途或增加网络安全风险的功能变更，则可能使修改者承担制造商义务。

这些规则区分了常见的供应链角色。设立在欧盟境内、把非欧盟品牌产品投放到欧盟市场的主体通常是进口商。供应链主体在不改变产品的情况下提供产品，通常是分销商。使用自己名称或商标，或作出实质性修改并把产品在市场上提供的主体，可能成为制造商。