Povinnosti dovozcu podľa CRA

Dovozca je subjekt usadený v EÚ, ktorý uvádza na trh EÚ produkt s digitálnymi prvkami nesúci meno alebo ochrannú známku osoby usadenej mimo EÚ. Dovozca smie uviesť na trh iba produkt spĺňajúci základné požiadavky kybernetickej bezpečnosti, pri ktorom aj procesy zavedené výrobcom spĺňajú príslušné požiadavky CRA.

1. Potvrďte svoju úlohu

Sme usadení v EÚ.
Produkt uvádzame na trh EÚ prvýkrát.
Produkt nesie meno alebo ochrannú známku osoby usadenej mimo EÚ.
Produkt neuvádzame pod vlastným menom a nevykonali sme jeho podstatnú úpravu.

Ak posledný bod neplatí, postupujte ako výrobca: Povinnosti výrobcu.

2. Pred uvedením produktu na trh

Pri každom modeli alebo jednoznačne určenej skupine produktov zaznamenajte výsledok a dôkaz:

Výrobca vykonal náležitý postup posudzovania zhody podľa článku 32.
Výrobca vypracoval technickú dokumentáciu; dohodli ste si prístup, aby mohla byť na žiadosť sprístupnená orgánu dohľadu.
Produkt má správne umiestnené a čitateľné označenie CE.
K produktu je priložená kópia EÚ vyhlásenia o zhode alebo zjednodušené vyhlásenie s presnou internetovou adresou úplného znenia.
K produktu sú priložené informácie a pokyny pre používateľa podľa prílohy II v jazyku zrozumiteľnom používateľom a orgánom dohľadu nad trhom.
Produkt, obal alebo sprievodný dokument obsahuje typ, šaržu, sériové číslo alebo iný prvok umožňujúci identifikáciu produktu.
Produkt, obal alebo sprievodný dokument obsahuje meno/obchodné meno/ochrannú známku výrobcu, poštovú a digitálnu kontaktnú adresu a prípadne webové sídlo; údaje sú aj v informáciách pre používateľa.
Dátum skončenia obdobia podpory, uvedený aspoň mesiacom a rokom, je v čase nákupu jasne a zrozumiteľne dostupný spôsobom vyžadovaným CRA.
Viete poskytnúť dokumenty preukazujúce splnenie týchto kontrol.

Ak výrobca využil notifikovanú osobu, overte platnosť certifikátu, číslo osoby a to, či notifikovaný rozsah pokrýva použitý postup a daný produkt. Overenie notifikovanej osoby

3. Uveďte identifikačné údaje dovozcu

Na produkte, jeho obale alebo v sprievodnom dokumente uveďte:

svoje meno, registrované obchodné meno alebo ochrannú známku;
poštovú adresu;
e-mail alebo iný digitálny kontakt;
prípadne webové sídlo, na ktorom vás možno kontaktovať.

Kontaktné údaje musia byť v jazyku zrozumiteľnom používateľom a orgánom dohľadu nad trhom.

4. Rozhodnutie „uviesť / neuviesť“

Produkt neuveďte na trh, ak sa domnievate alebo máte dôvod domnievať sa, že produkt alebo procesy výrobcu nie sú v súlade s CRA. Uvoľnite ho až po obnovení súladu.

Ak produkt predstavuje významné kybernetické riziko, informujte výrobcu a orgán dohľadu nad trhom. Ak máte dôvod domnievať sa, že významné riziko môže vyplývať z netechnických rizikových faktorov, informujte orgán dohľadu nad trhom.

Odporúčaný interný záznam rozhodnutia: produkt/model a verzia; výrobca; dátum kontroly; meno kontrolujúcej osoby; kontrolované dôkazy a ich verzia; odchýlky; rozhodnutie; dátum a adresát eskalácie; podmienky uvoľnenia.

5. Ak zistíte problém po uvedení na trh

Okamžite zastavte ďalšie uvádzanie alebo expedovanie dotknutých verzií, kým nevyhodnotíte rozsah.
Zabezpečte, aby sa bezodkladne prijali potrebné nápravné opatrenia na obnovenie súladu; podľa potreby produkt stiahnite z trhu alebo spätne prevezmite.
Pri zraniteľnosti bez zbytočného odkladu informujte výrobcu cez jeho zverejnený kontakt na oznamovanie zraniteľností.
Pri významnom kybernetickom riziku okamžite informujte orgány dohľadu v členských štátoch, v ktorých ste produkt sprístupnili. Uveďte najmä nesúlad a prijaté nápravné opatrenia.
Zaznamenajte dotknuté modely/verzie/šarže, časovú os, rozhodnutia, oznámenia a dôkazy o vykonanej náprave.
Skontrolujte s výrobcom, či má podľa článku 14 povinnosť podať hlásenie cez jednotnú platformu pre podávanie hlásení. Dovozca týmto výrobcu nenahrádza.

Handoffy: Nahlásenie významného rizika orgánu dohľadu · Povinnosti výrobcu pri zraniteľnosti a incidente · Nápravné opatrenia, stiahnutie a spätné prevzatie

6. Dokumenty, evidencia a spolupráca

Uchovávajte kópiu EÚ vyhlásenia o zhode najmenej desať rokov po uvedení produktu na trh alebo počas obdobia podpory, podľa toho, čo trvá dlhšie.
Zabezpečte, aby bola technická dokumentácia na žiadosť dostupná orgánu dohľadu.
Na odôvodnenú žiadosť poskytnite v tlačenej alebo elektronickej podobe všetky informácie a dokumentáciu potrebné na preukázanie zhody produktu aj procesov výrobcu, v jazyku zrozumiteľnom orgánu.
Na žiadosť orgánu spolupracujte na opatreniach na odstránenie kybernetických rizík.
Desať rokov evidujte, kto vám produkt dodal a komu ste ho dodali, ak je tento údaj dostupný.
Ak zistíte, že výrobca ukončil činnosť a preto nevie plniť povinnosti podľa CRA, informujte príslušné orgány a dostupnými prostriedkami, v možnom rozsahu, aj používateľov.

Praktická sada dôkazov

Od výrobcu si pred prvou dodávkou vyžiadajte a udržiavajte aktuálne aspoň: jednoznačnú identifikáciu produktu a verzie; EÚ vyhlásenie o zhode; potvrdenie použitého postupu posudzovania zhody a prípadný certifikát; kontaktné údaje výrobcu a kontakt na oznamovanie zraniteľností; používateľské informácie podľa prílohy II; dátum skončenia obdobia podpory; spôsob distribúcie bezpečnostných aktualizácií; dohodu o poskytovaní technickej dokumentácie orgánu; eskalačný a nápravný kontakt; mapu krajín a odberateľov pre rýchle stiahnutie alebo spätné prevzatie.