Najprv si určte produkt a činnosť
Rolu neposudzujte iba na úrovni celej firmy. Zaznamenajte si:
- presný produkt, variant a verziu;
- meno alebo ochrannú známku, pod ktorou sa produkt uvádza na trh;
- kto produkt navrhol, vyvinul alebo vyrobil a na čiu objednávku;
- kto ho prvýkrát sprístupňuje na trhu EÚ;
- kde je subjekt, ktorého meno alebo známku produkt nesie, usadený;
- kto produkt ďalej dodáva a či mení jeho vlastnosti;
- či niekto po uvedení na trh zmenil zamýšľaný účel alebo kybernetické riziko produktu;
- pri FOSS, kto projekt publikuje, riadi vydania, speňažuje ho a zabezpečuje jeho dlhodobú životaschopnosť.
Potom použite nasledujúce testy. Môže sa uplatniť viac než jedna rola.
Som výrobca?
Ste pravdepodobne výrobca, ak produkt s digitálnymi prvkami:
- sami vyvíjate alebo vyrábate a uvádzate ho na trh pod svojím menom alebo ochrannou známkou;
- si necháte navrhnúť, vyvinúť alebo vyrobiť a uvádzate ho na trh pod svojím menom alebo ochrannou známkou;
- uvádzate pod svojou značkou ako privátny alebo „white-label“ produkt, aj keď technickú prácu vykonal iný dodávateľ;
- publikujete ako FOSS pod svojím menom alebo známkou a jeho dodanie speňažujete;
- ste dovozca alebo distribútor, ale produkt uvádzate na trh pod vlastným menom alebo známkou; alebo
- ste ho podstatne upravili za podmienok článkov 21 alebo 22 CRA.
Výrobcom môže byť fyzická aj právnická osoba. Produkt môže byť dodaný za odplatu, spreňažovaný iným spôsobom alebo bezplatne. Samotný outsourcing vývoja neprenáša zodpovednosť výrobcu na dodávateľa.
Ďalší krok: klasifikovať produkt, vykonať posúdenie kybernetickobezpečnostných rizík, splniť základné požiadavky, zvoliť prípustný postup posudzovania zhody, pripraviť dokumentáciu a zabezpečiť riadenie zraniteľností a hlásenie. Prejsť na Povinnosti výrobcu, Klasifikácia produktu, Posudzovanie zhody a Hlásenie podľa CRA.
Som splnomocnený zástupca?
Ste splnomocnený zástupca, ak:
- ste fyzická alebo právnická osoba usadená v EÚ; a
- výrobca vás písomne poveril konať v jeho mene pri konkrétnych úlohách.
Rozsah úloh určuje mandát. Musí umožniť aspoň uchovávanie EÚ vyhlásenia o zhode a technickej dokumentácie pre orgány dohľadu počas zákonnej lehoty, poskytnutie informácií a dokumentácie na odôvodnenú žiadosť orgánu a spoluprácu pri odstraňovaní kybernetických rizík.
Mandát však nesmie zahŕňať základné povinnosti výrobcu uvedené v článku 13 ods. 1 až 11, článku 13 ods. 12 prvom pododseku a článku 13 ods. 14. Menovanie zástupcu preto nezbavuje výrobcu jeho vlastnej zodpovednosti.
Ďalší krok: evidovať podpísaný mandát, produkty a verzie, na ktoré sa vzťahuje, povinné dokumenty, kontaktné miesto pre orgány a postup na odovzdanie žiadosti výrobcovi.
Som dovozca?
Ste pravdepodobne dovozca, ak:
- ste fyzická alebo právnická osoba usadená v EÚ;
- prvýkrát uvádzate na trh EÚ produkt s digitálnymi prvkami; a
- produkt nesie meno alebo ochrannú známku osoby usadenej mimo EÚ.
Dovozca pred uvedením produktu na trh overuje najmä súlad výrobcu s relevantnými požiadavkami, vykonanie správneho posúdenia zhody, technickú dokumentáciu, označenie CE, EÚ vyhlásenie o zhode, informácie a návod pre používateľa, obdobie podpory a identifikačné údaje. Dovozca pridáva aj vlastné kontaktné údaje podľa CRA. Pri pochybnosti o súlade alebo významnom kybernetickom riziku sa produkt nesmie uviesť na trh, kým sa stav nevyrieši.
Pozor: ak produkt preznačíte vlastným menom alebo známkou alebo ho podstatne upravíte, podľa článku 21 sa považujete za výrobcu a uplatnia sa na vás články 13 a 14.
Ďalší krok: prejsť na Povinnosti dovozcu a použiť kontrolný zoznam pred uvedením na trh.
Som distribútor?
Ste pravdepodobne distribútor, ak:
- ste v dodávateľskom reťazci iná osoba než výrobca alebo dovozca;
- produkt ďalej sprístupňujete na trhu EÚ; a
- nemeníte jeho vlastnosti.
Distribútor koná s náležitou odbornou starostlivosťou a pred dodaním overuje najmä označenie CE, požadované dokumenty a informácie pre používateľa, obdobie podpory a identifikačné údaje výrobcu a prípadne dovozcu. Pri dôvode domnievať sa, že produkt nie je v súlade, ho nesmie ďalej sprístupniť, kým nebude uvedený do súladu.
Pozor: vlastná značka alebo podstatná úprava mení distribútora na výrobcu pre účely CRA.
Ďalší krok: prejsť na Povinnosti distribútora a použiť kontrolný zoznam pred sprístupnením produktu.
Som správca softvéru s otvoreným zdrojovým kódom?
Túto rolu posudzujte pre každý konkrétny FOSS projekt. Správcom softvéru s otvoreným zdrojovým kódom môže byť iba právnická osoba iná než výrobca, ktorá:
- systematicky a dlhodobo podporuje vývoj konkrétneho FOSS;
- zabezpečuje jeho životaschopnosť; a
- podporuje softvér určený na komerčné činnosti, pričom ho sama neuvádza na trh v zmysle CRA.
Samotné hostovanie mnohých nesúvisiacich repozitárov alebo jednorazový príspevok ešte automaticky nevytvára rolu správcu pre každý projekt. Naopak, riadenie projektu, vydaní, infraštruktúry, governance alebo inžinierskych zdrojov môže byť súčasťou dlhodobej podpory.
Ďalší krok: prejsť na Open source a CRA a posúdiť povinnosti podľa článku 24 vrátane hlásenia podľa typu poskytovanej podpory.
Som iba prispievateľ alebo používateľ komponentu?
Osoba, ktorá iba prispieva zdrojovým kódom do FOSS, ktorý nie je pod jej zodpovednosťou, sa tým sama osebe nestáva výrobcom ani správcom. Technické oprávnenie odoslať commit nemusí znamenať primárnu kontrolu nad vývojom, vydaniami a distribúciou.
Ak však FOSS komponent začleníte do vlastného produktu uvádzaného na trh, ste zodpovední za súlad svojho výsledného produktu. Výrobca má pri integrácii komponentov tretích strán vrátane FOSS povinnosť náležitej starostlivosti a povinnosti pri zistených zraniteľnostiach podľa článku 13 ods. 5 a 6.
Jedna firma, viac rolí
Rolu evidujte po produktoch a činnostiach, napríklad:
- spoločnosť je výrobcom aplikácie pod vlastnou značkou, dovozcom routera zahraničného výrobcu a distribútorom zariadení iného výrobcu;
- nadácia je správcom nespeňažovanej komunitnej verzie, ale výrobcom samostatnej platenej verzie;
- firma je výrobcom hotového produktu, do ktorého integruje knižnicu tretej strany; nestáva sa preto výrobcom tejto samostatnej knižnice, ale zodpovedá za svoju integráciu a výsledný produkt;
- distribútor zostáva distribútorom pri nezmenenom produkte, no pri vlastnej značke alebo podstatnej úprave prechádza do režimu výrobcu;
- zmluvný vývojár môže byť dodávateľom výrobcu bez toho, aby produkt uvádzal na trh pod vlastným menom. Ak však samostatný komponent sám uvádza na trh pod svojou značkou, môže byť jeho výrobcom.
V internom registri rolí odporúčame viesť stĺpce: produkt/verzia, značka, vlastník návrhu, výrobca podľa CRA, miesto usadenia výrobcu, dovozca, distribútori, zástupca a rozsah mandátu, FOSS správca, dátum uvedenia na trh, zmeny a výsledok posúdenia podstatnej úpravy.
Kedy sa moja rola zmení na výrobcu
Vlastné meno alebo ochranná známka
Dovozca alebo distribútor, ktorý uvedie produkt na trh pod vlastným menom alebo ochrannou známkou, sa podľa článku 21 považuje za výrobcu. Zmluva, podľa ktorej pôvodný výrobca naďalej vykonáva technickú podporu, túto zákonnú rolu sama osebe nemení.
Podstatná úprava
Podstatná úprava je zmena produktu po jeho uvedení na trh, ktorá:
- ovplyvňuje súlad produktu so základnými kybernetickobezpečnostnými požiadavkami z časti I prílohy I; alebo
- mení zamýšľaný účel, pre ktorý bol produkt posudzovaný.
Importér alebo distribútor, ktorý vykoná takúto úpravu, sa stáva výrobcom podľa článku 21. Iná fyzická alebo právnická osoba, ktorá produkt podstatne upraví a následne ho sprístupní na trhu, sa považuje za výrobcu podľa článku 22. Pri článku 22 sa povinnosti článkov 13 a 14 vzťahujú na upravenú časť alebo na celý produkt, ak zmena ovplyvňuje jeho kybernetickú bezpečnosť ako celok.
Nie každá oprava alebo aktualizácia je podstatná. Komisia vo svojom nezáväznom usmernení uvádza, že:
- výmena chybnej súčiastky alebo údržba bez zmeny účelu, súladu či rizikového profilu spravidla nie je podstatnou úpravou;
- bezpečnostná aktualizácia určená iba na zníženie rizika, ktorá nemení účel ani nepridáva nové riziká, spravidla nie je podstatná;
- aj malá funkcia môže byť podstatná, ak vytvorí nové alebo zvýšené kybernetické riziko, ktoré nebolo posúdené;
- nová funkcia meniaca produkt napríklad z pasívneho monitorovania na ovládanie zariadení pravdepodobne mení zamýšľaný účel;
- funkcia vopred zahrnutá do pôvodného posúdenia rizík nemusí byť podstatnou úpravou, ak nezmení rizikový profil ani implementáciu požiadaviek.
Každú zmenu posúďte a zdokumentujte pred jej distribúciou. Pri produkte posudzovanom treťou stranou overte aj potrebu informovať notifikovaný orgán a vykonať nové posúdenie zhody.
Rýchly rozhodovací postup
- Nesie produkt pri uvedení na trh moje meno alebo ochrannú známku?
- Áno: pravdepodobne výrobca.
- Nie: pokračujte.
- Som usadený v EÚ a ako prvý uvádzam na trh EÚ produkt so značkou subjektu mimo EÚ?
- Áno: pravdepodobne dovozca.
- Nie: pokračujte.
- Ďalej sprístupňujem nezmenený produkt v dodávateľskom reťazci?
- Áno: pravdepodobne distribútor.
- Nie: pokračujte.
- Konám v EÚ na základe písomného mandátu výrobcu?
Áno: splnomocnený zástupca v rozsahu mandátu.
- Publikujem konkrétny nespeňažovaný FOSS a ako právnická osoba systematicky podporujem jeho vývoj a životaschopnosť pre komerčné využitie?
Áno: posúdiť rolu správcu softvéru s otvoreným zdrojovým kódom.
- Podstatne som upravil produkt a sprístupňujem ho na trhu?
Áno: povinnosti výrobcu podľa článku 21 alebo 22.
- Robím viac z uvedených činností?
Evidujte každú rolu samostatne; povinnosti sa môžu kumulovať.