适用范围内的产品
一件产品同时满足以下条件时即进入 CRA 适用范围:属于 product with digital elements;在商业活动中供应至 Union market;其 intended purpose 或 reasonably foreseeable use 包含与设备或网络的直接或间接、逻辑或物理数据连接。随后还需检查 Article 2 是否将该产品排除。
适用范围内的产品
This Regulation applies to products with digital elements made available on the market, the intended purpose or reasonably foreseeable use of which includes a direct or indirect logical or physical data connection to a device or network.
Regulation (EU) 2024/2847, Article 2(1)
这是一组累积条件。产品名称、销售标签、行业类别或一张架构图,都不能单独决定结论。产品必须符合 CRA 定义,进入 Union market,并且在 intended purpose 或 reasonably foreseeable use 中包含相关连接。
- 产品:软件、硬件、单独投放市场的组件,或构成产品一部分的远程数据处理方案。
- 市场供应:产品在商业活动中,为分销或使用而提供到 Union market。
- 连接:产品的 intended purpose 或 reasonably foreseeable use 包含逻辑、物理、直接或间接数据连接。
- 排除:Article 2 或 delegated act 可以把本来满足条件的产品排除在 CRA 之外。
Product with digital elements
‘product with digital elements’ means a software or hardware product and its remote data processing solutions, including software or hardware components being placed on the market separately;
Regulation (EU) 2024/2847, Article 3(1)
这个定义覆盖完整产品,也覆盖单独投放市场的组件。软件不限于嵌入硬件的软件;硬件也不限于最终消费设备。用于集成的软件或硬件组件,如果单独投放市场,也可能本身就是 product with digital elements。
软件产品
移动应用、桌面程序、固件、驱动、操作系统、SDK 和可下载工具都可能是产品。
硬件产品
路由器、传感器、工业控制器、智能家电、主板、集成电路和其他电子系统都可能是产品。
单独组件
用于集成的软件或硬件,在单独投放市场时可以独立进入 CRA 适用范围。
远程数据处理
‘remote data processing’ means data processing at a distance for which the software is designed and developed by the manufacturer, or under the responsibility of the manufacturer, and the absence of which would prevent the product with digital elements from performing one of its functions;
Regulation (EU) 2024/2847, Article 3(2)
远程数据处理不是用户能从产品访问的所有云服务。只有当相关软件由制造商设计、开发或由其负责,并且缺少该处理会使产品无法执行某项功能时,它才属于产品的一部分。
产品的一部分
由制造商控制并执行产品功能的云服务,可能进入 CRA 产品边界。
产品边界之外
独立 SaaS 或无关网站,不会仅因产品可连接到它而被纳入产品定义。
数据连接类型
‘logical connection’ means a virtual representation of a data connection implemented through a software interface;
Regulation (EU) 2024/2847, Article 3(8)
‘physical connection’ means a connection between electronic information systems or components implemented using physical means, including through electrical, optical or mechanical interfaces, wires or radio waves;
Regulation (EU) 2024/2847, Article 3(9)
‘indirect connection’ means a connection to a device or network, which does not take place directly but rather as part of a larger system that is directly connectable to such device or network;
Regulation (EU) 2024/2847, Article 3(10)
CRA 的连接概念宽于互联网访问。产品可以通过软件接口、主机系统、硬件端口、总线、线缆、光链路或无线电链路连接。产品也可以因运行在一个可连接设备或网络的更大系统中而形成间接连接。
常见例子包括:
- 直接逻辑连接:浏览器 HTTPS 会话、使用 IMAP 或 SMTP 的邮件客户端、API、管道、文件、网络套接字和其他软件接口。
- 间接逻辑连接:运行在联网操作系统上的离线计算器或文本编辑器。
- 物理连接:USB、以太网、光纤、现场总线、电气接口、光学接口、机械接口、Wi-Fi、蓝牙、NFC 和其他无线电链路。
- 没有相关连接:基础计算器、洗碗机控制器或简单玩具中的固件,如果 intended purpose 和 reasonably foreseeable use 不包含与其他设备或网络的数据连接。
市场供应
‘making available on the market’ means the supply of a product with digital elements for distribution or use on the Union market in the course of a commercial activity, whether in return for payment or free of charge;
Regulation (EU) 2024/2847, Article 3(22)
价格不是决定因素。免费提供仍可能属于商业活动。首次在 Union market 上提供是 placing on the market;后续为分销或使用而提供,也属于 making available on the market。
仅供制造商自用的产品,与供应到 Union market 的产品不同。委员会 FAQ 举例说明,制造商自己使用的开发和配置工具不在适用范围内,除非这些工具作为单独产品投放市场。
Intended purpose 和 foreseeable use
‘intended purpose’ means the use for which a product with digital elements is intended by the manufacturer, including the specific context and conditions of use, as specified in the information supplied by the manufacturer in the instructions for use, promotional or sales materials and statements, as well as in the technical documentation;
Regulation (EU) 2024/2847, Article 3(23)
‘reasonably foreseeable use’ means use that is not necessarily the intended purpose supplied by the manufacturer in the instructions for use, promotional or sales materials and statements, as well as in the technical documentation, but which is likely to result from reasonably foreseeable human behaviour or technical operations or interactions;
Regulation (EU) 2024/2847, Article 3(24)
Intended purpose 来自制造商自己的产品信息。Reasonably foreseeable use 防止制造商只用狭窄的声明用途排除正常的人类行为或技术交互。
连接必须属于产品使用
端口、API、主机依赖、无线接口或文件工作流,只有在属于产品预期或合理可预见使用方式时才会影响范围判断。
产品边界例子
同一个产品族可能同时包含适用和不适用的情形。法律结论跟随定义,而不是跟随宽泛的商业类别。
打印机软件
打印机正常工作所需的驱动程序,可以属于 product with digital elements。
FPGA 工具
用于设计和编程 FPGA 的工具,在投放市场时可以是软件产品。
支持网站
网站在支持产品功能并满足 remote data processing 定义时才与产品边界相关。
未连接家电
单有嵌入式固件还不够;如果 intended 或 foreseeable use 中没有直接或间接数据连接,产品可能不进入 CRA。
不在适用范围内
Article 2 包含直接排除、通过 delegated act 的后续排除或限制,以及安全敏感信息披露规则。产品不会仅因属于某个行业而排除;必须符合具体 Union act、delegated act 或条款条件。
CRA 不适用于 Regulation (EU) 2017/745 或 Regulation (EU) 2017/746 适用的 products with digital elements。
Regulation (EU) 2019/2144 覆盖的产品被排除。
Article 2(5) 允许 Commission 在其他 Union rules 已经处理相关网络安全风险并提供相同或更高保护水平时,限制或排除某些产品。
Commission Delegated Regulation (EU) 2025/1535 使用该路径处理 Regulation (EU) No 168/2013 下两轮、三轮车辆和四轮车相关 products with digital elements,但不包括设计为踏板驱动的 L1e 类车辆。
Regulation (EU) 2018/1139 下认证的产品被排除。委员会 FAQ 区分未认证产品和未认证组件;如果 Article 2(1) 条件满足,它们仍可能需要 CRA 范围判断。
Directive 2014/90/EU 范围内的设备被排除。用于海事设备的组件,如果本身不属于该 Directive 且作为 products with digital elements 投放市场,仍可能被 CRA 覆盖。
备件在用于替换 products with digital elements 中的相同组件,并且按照被替换组件的相同规格制造时被排除。
CRA 不适用于专门为国家安全或国防目的开发或修改的产品,也不适用于专门设计用于处理涉密信息的产品。Dual-use 产品不会仅因也有国防用途而自动排除。
Article 2(8) 不是产品排除条款。它说明 CRA 义务不要求披露与成员国基本国家安全、公共安全或国防利益相冲突的信息。