Cyber Resilience Act, forordning (EU) 2024/2847, stopper ikke ved fabrikanten. Alle i kæden mellem fabrikanten og brugeren har pligter, og for en forhandler er de mere end en formalitet: En importør eller distributør, der sætter et produkt, der ikke er i overensstemmelse, på EU-markedet, er den, markedsovervågningsmyndigheden finder først. Artikel 19 og 20 fastsætter pligterne, og artikel 21 siger, hvornår en forhandler holder op med at være en.

To definitioner først. En importør bringer et produkt fra en fabrikant etableret uden for Unionen i omsætning på EU-markedet. En distributør gør et produkt tilgængeligt på markedet, som en importør eller fabrikant allerede har bragt i omsætning: en forhandler, en detailhandler, en systemintegrator, der sælger software i æske. CRA's pligter for hver af dem ligner hinanden i form og adskiller sig i dybde.

Importøren: artikel 19

Kun produkter i overensstemmelse. Artikel 19, stk. 1: Importører bringer kun produkter i omsætning, der opfylder bilag I, del I, og hvis fabrikantprocesser opfylder del II.

En tjekliste før omsætningen. Artikel 19, stk. 2: Importøren sikrer, at fabrikanten har gennemført den relevante overensstemmelsesvurdering (artikel 32), har udarbejdet den tekniske dokumentation, at produktet bærer CE-mærkningen og ledsages af EU-overensstemmelseserklæringen og brugeroplysningerne i bilag II på et sprog, brugere og myndigheder forstår, og at fabrikanten har opfyldt artikel 13, stk. 15, 16 og 19: identifikation på produktet, kontakten for sårbarheder og supportperiodens slutdato vist ved købet. Importøren skal kunne fremlægge dokumenter, der beviser hvert punkt.

Stop, og fortæl det. Artikel 19, stk. 3: En importør, der finder eller har grund til at tro, at produktet eller fabrikantens processer ikke er i overensstemmelse, bringer det ikke i omsætning, før de er; hvor produktet udgør en væsentlig cybersikkerhedsrisiko, underretter importøren fabrikanten og markedsovervågningsmyndighederne.

Navn på produktet. Artikel 19, stk. 4: Importørens navn, registrerede firmanavn eller varemærke og kontaktoplysninger anføres på produktet, dets emballage eller i et ledsagende dokument.

Efter salget. Artikel 19, stk. 5: afhjælpende foranstaltninger, tilbagetrækning eller tilbagekaldelse, hvor et produkt bragt i omsætning viser sig ikke at være i overensstemmelse; enhver sårbarhed, importøren får kendskab til, gives uden unødigt ophold videre til fabrikanten; en væsentlig cybersikkerhedsrisiko meldes straks til myndighederne i hver medlemsstat, hvor produktet er gjort tilgængeligt.

Ti års opbevaring. Artikel 19, stk. 6: en kopi af EU-overensstemmelseserklæringen til rådighed for markedsovervågningsmyndighederne, og den tekniske dokumentation kan fremskaffes på anmodning, i mindst ti år efter omsætningen eller i supportperioden, alt efter hvad der er længst. Artikel 19, stk. 7: alle oplysninger og al dokumentation til en myndighed på begrundet anmodning, på et sprog, den forstår.

Hvis fabrikanten forsvinder. Artikel 19, stk. 8: En importør, der får kendskab til, at fabrikanten har indstillet sin virksomhed og ikke længere kan opfylde sine pligter, underretter myndighederne og, så vidt muligt, brugerne.

Distributøren: artikel 20

Fornøden omhu. Artikel 20, stk. 1.

En kortere tjekliste. Artikel 20, stk. 2: Distributøren kontrollerer, at produktet bærer CE-mærkningen, og at fabrikanten og importøren har opfyldt deres pligter om identifikation, kontakt, brugeroplysninger, supportperiode og erklæring (artikel 13, stk. 15, 16, 18, 19 og 20, og artikel 19, stk. 4) og har leveret de nødvendige dokumenter.

Stop, og fortæl det. Artikel 20, stk. 3: Hvor distributøren på grundlag af de oplysninger, den er i besiddelse af, finder eller har grund til at tro, at produktet eller processerne ikke er i overensstemmelse med bilag I, gør den ikke produktet tilgængeligt, før de er, og melder en væsentlig cybersikkerhedsrisiko til fabrikanten og myndighederne.

Efter salget. Artikel 20, stk. 4: sikrer, at afhjælpende foranstaltninger, tilbagetrækning eller tilbagekaldelse gennemføres; giver sårbarheder videre til fabrikanten uden unødigt ophold; melder en væsentlig cybersikkerhedsrisiko til myndighederne i de berørte medlemsstater. Artikel 20, stk. 5: oplysninger og dokumentation til en myndighed på begrundet anmodning. Artikel 20, stk. 6: samme pligt som importøren, hvis fabrikanten indstiller sin virksomhed.

Distributørens målestok er "på grundlag af de oplysninger, den er i besiddelse af": En forhandler skal ikke revidere produktet, men skal handle på det, den ved.

Hvornår forhandleren bliver fabrikant: artikel 21

"En importør eller distributør anses for at være fabrikant i denne forordnings forstand og er underlagt artikel 13 og 14, hvis importøren eller distributøren bringer et produkt med digitale elementer i omsætning under sit eget navn eller varemærke eller foretager en væsentlig ændring af et produkt med digitale elementer, der allerede er bragt i omsætning."

To veje ind. Jeres navn eller varemærke på produktet: At sælge en enhed under eget mærke eller omdøbe software gør jer til fabrikant af det produkt, med hele artikel 13 (de 22 krav, den tekniske dokumentation, supportperioden, CE-mærkningen) og anmeldelse efter artikel 14. En væsentlig ændring: at ændre et produkt, der allerede er på markedet, på en måde, der påvirker dets overensstemmelse eller dets tilsigtede formål. En forhandler, der tilføjer sin egen firmware eller integrerer produktet i en pakke, der ændrer, hvad det gør, har som regel krydset linjen.

Hvor sanktionerne ligger

Artikel 18 til 23, kædepligterne, ligger i det andet sanktionstrin i artikel 64, stk. 3: op til 10 000 000 EUR eller 2 % af den globale årsomsætning. Forhandleren, der er blevet fabrikant efter artikel 21, ligger i det første trin for artikel 13 og 14. Trinnene, og hvem der anvender dem.

Hvad der skal på plads

En modtagelsessag pr. produkt: fabrikantens overensstemmelseserklæring, CE-mærkningens placering, brugeroplysningerne i bilag II på det rigtige sprog, supportperiodens slutdato og datoen, hvor importøren tjekkede hvert punkt. En vej, ad hvilken sårbarheder indberettet af kunder når fabrikanten, dateret. En skriftlig beslutning om, hvorvidt noget af det, I gør ved produktet (mærke, bundling, ændring), gør jer til dets fabrikant efter artikel 21. Og en sag, der opbevares i ti år eller supportperioden. Distributionspakken udarbejder de dokumenter for ét produkt; datoerne på dem er det, en myndighed læser.

Kilder

  • Forordning (EU) 2024/2847, artikel 3, nr. 16 og 17, for definitionerne, artikel 19, stk. 1 til 8, artikel 20, stk. 1 til 6, artikel 21 (citeret), artikel 64, stk. 3. Læst i EU-Tidende-teksten på EUR-Lex den 11. september 2026.

Dette er ikke juridisk rådgivning. Artikel 19 til 21 er to sider; henvisningerne til stykkerne står der, så en forhandler kan læse sin egen liste.