CRA przypisuje obowiązki nie firmom, lecz rolom, które firma pełni wobec konkretnego produktu — a jedna spółka może pełnić różne role wobec różnych produktów jednocześnie. Producent odpowiada za zgodność merytoryczną: zasadnicze wymagania, ocenę ryzyka, dokumentację techniczną, obsługę podatności i zgłoszenia z art. 14. Importer weryfikuje, czy producent wykonał swoją pracę, i przechowuje dowody. Dystrybutor sprawdza oznakowanie i dokumenty oraz reaguje, gdy wie o niezgodności. Najważniejsza jest jednak art. 21 i 22: umieszczenie produktu pod własną marką albo jego istotna modyfikacja przenosi na podmiot pełne obowiązki producenta, razem z zegarami raportowania.
Definicje decydują o całej reszcie
Art. 3 rozstrzyga przypisanie roli i nie zostawia pola na wybór.
Producent (art. 3 pkt 13) — podmiot, który opracowuje lub wytwarza produkt z elementami cyfrowymi albo zleca jego zaprojektowanie lub wytworzenie i wprowadza go do obrotu pod własną nazwą lub znakiem towarowym. Odpłatność nie ma znaczenia: obejmuje produkty płatne, monetyzowane i udostępniane nieodpłatnie.
Importer (art. 3 pkt 16) — podmiot z siedzibą w Unii, który wprowadza do obrotu produkt opatrzony nazwą lub znakiem towarowym podmiotu mającego siedzibę poza Unią.
Dystrybutor (art. 3 pkt 17) — uczestnik łańcucha dostaw inny niż producent i importer, który udostępnia produkt na rynku unijnym, nie zmieniając jego właściwości.
Upoważniony przedstawiciel (art. 3 pkt 15) — podmiot z siedzibą w Unii działający na podstawie pisemnego pełnomocnictwa producenta w zakresie określonych zadań.
Opiekun wolnego i otwartego oprogramowania (art. 3 pkt 14) — osoba prawna inna niż producent, której celem jest trwałe, systematyczne wsparcie rozwoju określonych produktów open source przeznaczonych do działalności komercyjnej.
Dwie definicje porządkują moment, w którym obowiązki się włączają: wprowadzenie do obrotu (art. 3 pkt 21) to pierwsze udostępnienie produktu na rynku unijnym, a udostępnienie na rynku (art. 3 pkt 22) — dostarczenie produktu do dystrybucji lub użytku w ramach działalności handlowej, odpłatnie albo nieodpłatnie.
Producent: pełny ciężar
Art. 13 zawiera 25 ustępów i jest najobszerniejszym katalogiem w rozporządzeniu. Trzon obowiązków:
- Projektowanie, rozwój i produkcja zgodnie z częścią I Załącznika I; ocena ryzyka dokumentowana i aktualizowana przez okres wsparcia (ust. 1–3).
- Dokumentacja techniczna z Załącznika VII, z jasnym uzasadnieniem dla wymagań, które nie mają zastosowania (ust. 4).
- Należyta staranność wobec komponentów stron trzecich, w tym open source, i zgłaszanie podatności podmiotom je utrzymującym (ust. 5–6).
- Okres wsparcia: minimum 5 lat, krócej tylko gdy przewidywany czas używania jest krótszy; przesłanki zapisane w dokumentacji (ust. 8).
- Dostępność wydanych aktualizacji bezpieczeństwa przez co najmniej 10 lat od wydania albo do końca okresu wsparcia (ust. 9).
- Ocena zgodności, deklaracja zgodności UE, oznakowanie CE (ust. 12).
- Dostępność dokumentacji dla organów nadzoru rynku: 10 lat albo okres wsparcia, jeśli dłuższy (ust. 13).
- Pojedynczy punkt kontaktowy umożliwiający bezpośrednią komunikację z użytkownikami, w tym zgłaszanie podatności, bez wymuszania narzędzi automatycznych (ust. 17).
- Jasne wskazanie daty końca wsparcia, co najmniej miesiąc i rok, w chwili zakupu (ust. 19).
- Natychmiastowe środki naprawcze, wycofanie lub odzyskanie produktu przy niezgodności (ust. 21).
- Poinformowanie organów nadzoru rynku i użytkowników przed zakończeniem działalności, jeśli uniemożliwia ono wypełnianie obowiązków (ust. 23).
Do tego art. 14 — zgłoszenia 24 h / 72 h / 14 dni lub miesiąc. To obowiązek wyłącznie producenta (oraz, od 11 grudnia 2027 r., opiekuna open source na podstawie art. 24 ust. 3).
Importer: weryfikacja i archiwum
Importer nie odpowiada za konstrukcję produktu. Odpowiada za to, że sprawdził.
Art. 19 ust. 2 wymienia, co potwierdza przed wprowadzeniem do obrotu: że producent przeprowadził ocenę zgodności według art. 32, sporządził dokumentację techniczną, że produkt nosi oznakowanie CE i jest opatrzony deklaracją zgodności UE oraz informacjami i instrukcjami z Załącznika II w języku łatwo zrozumiałym dla użytkowników i organów, a także że producent spełnił wymagania art. 13 ust. 15, 16 i 19 (identyfikacja produktu, dane kontaktowe, data końca wsparcia). Importer musi być w stanie okazać dokumenty potwierdzające te ustalenia.
Dalej: jeśli uważa lub ma powody uważać, że produkt lub procesy producenta nie są zgodne, nie wprowadza produktu do obrotu, dopóki zgodność nie zostanie zapewniona (ust. 3). Przy istotnym ryzyku w cyberbezpieczeństwie informuje producenta i organy nadzoru rynku; gdy ryzyko wynika z czynników nietechnicznych — tylko organy.
Po wprowadzeniu do obrotu: natychmiastowe środki naprawcze przy niezgodności, informowanie producenta o każdej podatności bez zbędnej zwłoki oraz natychmiastowe powiadomienie organów każdego państwa, w którym produkt udostępniono, gdy występuje istotne ryzyko (ust. 5).
Archiwum: kopia deklaracji zgodności UE przez 10 lat od wprowadzenia do obrotu albo przez okres wsparcia, jeśli dłuższy, oraz zapewnienie, że dokumentacja techniczna może być udostępniona organom na żądanie (ust. 6).
Importer umieszcza też własne dane identyfikacyjne i kontaktowe na produkcie, opakowaniu lub w dokumencie towarzyszącym (ust. 4) — i to one, a nie dane producenta z kraju trzeciego, będą pierwszym adresem organu.
Dystrybutor: należyta staranność, nie audyt
Art. 20 ust. 1 formułuje standard jako działanie z należytą starannością w odniesieniu do wymagań rozporządzenia. To nie obowiązek rezultatu.
Zakres weryfikacji jest wąski i wyliczony w ust. 2: oznakowanie CE na produkcie oraz to, że producent i importer wypełnili obowiązki z art. 13 ust. 15, 16, 18, 19 i 20 oraz art. 19 ust. 4 i przekazali dystrybutorowi niezbędne dokumenty.
Reakcje są natomiast realne. Gdy dystrybutor uważa lub ma powody uważać, że produkt albo procesy producenta nie spełniają zasadniczych wymagań z Załącznika I, nie udostępnia produktu, dopóki zgodność nie zostanie zapewniona, a przy istotnym ryzyku bez zbędnej zwłoki informuje producenta i organy nadzoru rynku (ust. 3).
Po udostępnieniu: zapewnienie podjęcia środków naprawczych lub wycofania, informowanie producenta o każdej podatności, o której dystrybutor się dowie, oraz natychmiastowe powiadomienie organów państw, w których produkt udostępniono, przy istotnym ryzyku (ust. 4).
Art. 20 nie zawiera obowiązku zgłaszania incydentów. Dystrybutor nie wchodzi na zegar z art. 14 — chyba że zmieni rolę.
Kiedy importer lub dystrybutor staje się producentem
Art. 21 jest przepisem o największych skutkach finansowych w całym rozdziale II. Importer albo dystrybutor jest traktowany jako producent i stosuje art. 13 i 14, gdy:
- wprowadza produkt do obrotu pod własną nazwą lub znakiem towarowym, albo
- dokonuje istotnej modyfikacji produktu już wprowadzonego do obrotu.
Art. 22 rozszerza to na każdy inny podmiot: osoba fizyczna lub prawna niebędąca producentem, importerem ani dystrybutorem, która dokonuje istotnej modyfikacji produktu i udostępnia go na rynku, stosuje obowiązki z art. 13 i 14 w odniesieniu do zmodyfikowanej części produktu — a jeśli modyfikacja wpływa na cyberbezpieczeństwo produktu jako całości, w odniesieniu do całego produktu.
Istotna modyfikacja (art. 3 pkt 30) to zmiana po wprowadzeniu do obrotu, która wpływa na spełnianie zasadniczych wymagań z części I Załącznika I albo zmienia przeznaczenie, w odniesieniu do którego produkt oceniono.
Trzy scenariusze, w których firmy mylą własną rolę
White label. Software house odsprzedaje cudzy produkt pod swoją marką. To nie dystrybucja — to produkcja w rozumieniu art. 3 pkt 13 i art. 21. Cały art. 13 i cały art. 14, razem z dokumentacją techniczną i oceną zgodności.
Integrator z własnymi modyfikacjami. Wdrożeniowiec dostosowuje produkt u klienta. Jeśli zmiana wpływa na spełnianie zasadniczych wymagań albo zmienia przeznaczenie, art. 22 przenosi obowiązki producenta — przynajmniej na zmodyfikowaną część.
Jedna spółka, kilka linii. Firma produkuje własne oprogramowanie (producent), odsprzedaje urządzenia dostawcy z USA (importer) i pośredniczy w licencjach europejskiego dostawcy (dystrybutor). Obowiązki nie sumują się ani nie wybiera się najłagodniejszego — każdy produkt ma własny zestaw, zależny od roli wobec niego.
Praktyczny pierwszy krok jest zawsze ten sam: rejestr produktów z przypisaną rolą i uzasadnieniem przypisania. Bez niego nie da się oszacować ani zakresu dokumentacji, ani tego, kto odbiera zgłoszenie podatności o drugiej w nocy.
Źródła
- Rozporządzenie (UE) 2024/2847, publikacja w Dzienniku Urzędowym UE: https://eur-lex.europa.eu/eli/reg/2024/2847/oj/eng
- Art. 3 (definicje) — lustro tekstu rozporządzenia: https://streamlex.eu/articles/cra-en-art-3/
- Art. 13 (obowiązki producentów): https://streamlex.eu/articles/cra-en-art-13/
- Art. 14 (obowiązki sprawozdawcze producentów): https://streamlex.eu/articles/cra-en-art-14/
- Art. 19 (obowiązki importerów): https://streamlex.eu/articles/cra-en-art-19/
- Art. 20 (obowiązki dystrybutorów): https://streamlex.eu/articles/cra-en-art-20/
- Art. 21 (przypadki, w których obowiązki producentów stosuje się do importerów i dystrybutorów): https://streamlex.eu/articles/cra-en-art-21/
- Art. 22 (inne przypadki stosowania obowiązków producentów): https://streamlex.eu/articles/cra-en-art-22/
- NASK / Cyberpolicy, CRA — cele i zakres regulacji: https://cyberpolicy.nask.pl/wp-content/uploads/2025/09/CRA-cele-i-zakres-regulacji-analiza-Cyberpolicy-NASK.pdf
Materiał informacyjny, nie opinia prawna. Opisuje warstwę techniczną i procesową obowiązków wynikających z rozporządzenia (UE) 2024/2847; pełna zgodność wymaga także działań organizacyjnych i prawnych po stronie podmiotu i nie zastępuje opinii prawnej ani formalnej oceny zgodności. Stan na październik 2026 r.