CRA-distributeur checklist: 5 verificatiestappen per product

Deze pagina is de werkplaatsgids bij de CRA-distributeurgids. De distributeurgids biedt het regelgevingskader: wie als distributeur geldt, welke verplichtingen er gelden en hoe verzoeken van autoriteiten werken. Dit blog is wat de ontvangstbalie, het magazijnteam en de vertegenwoordigers in de praktijk gebruiken: een snelle referentiekaart, een afdrukbare ingangscontrole, de supply-chain-scenario's die distributeurs in de operatie tegenkomen en de concrete handelingen die u van distributeur tot fabrikant maken zonder dat u het merkt.

Snelle referentiekaart

Print en houd bij uw ontvangstbalie voor snelle acceptatiebeslissingen.

+-------------------------------------------------+
|        SNELCHECK CRA DISTRIBUTEUR               |
|                                                 |
|  v CE-markering zichtbaar en correct?           |
|  v Naam en adres fabrikant op product?          |
|  v Instructies in juiste taal?                  |
|  v Geen zichtbare defecten of sabotage?         |
|  v Geen terugroepacties voor dit product?       |
|                                                 |
|  ALLES JA  -> verkoop toegestaan                |
|  IETS NEE  -> STOP, documenteer, meld leverancier|
|  NOOIT:    Firmware wijzigen, rebranden, negeren |
+-------------------------------------------------+

Volledige ingangscontrole

Gebruik deze bij ontvangst van producten van leveranciers. Afdrukken, per zending invullen en bij het ontvangstregister bewaren.

ONTVANGSTCHECKLIST DISTRIBUTEUR

Product: _______________________________________
Leverancier: ___________________________________
Datum ontvangst: _______________________________
Batch / Partij: ________________________________
SKU: ___________________________________________
Aantal: ________________________________________

VISUELE VERIFICATIE:
[ ] CE-markering aanwezig op product of verpakking
[ ] CE-markering correct opgemaakt (verhoudingen, grootte)
[ ] Naam en adres fabrikant zichtbaar
[ ] Naam en adres importeur zichtbaar (bij niet-EU-oorsprong)
[ ] Productverpakking intact (geen sporen van sabotage)

DOCUMENTATIECONTROLE:
[ ] Gebruikersinstructies aanwezig
[ ] Instructies in vereiste taal of talen
[ ] Veiligheidsinformatie meegeleverd
[ ] DoC-referentie of document aanwezig
[ ] DoC-URL verwijst naar volledige EU-conformiteitsverklaring
[ ] Einddatum ondersteuningsperiode zichtbaar (maand en jaar)

CONFORMITEITSSTATUS:
[ ] Geen actieve terugroepacties voor dit product
[ ] Geen meldingen van fabrikant over problemen
[ ] Geen toezichtswaarschuwingen voor dit product
[ ] Leverancier heeft geen zorgen gesignaleerd

OPSLAGVEREISTEN:
[ ] Opslagomstandigheden geschikt voor producttype
[ ] Sabotagebestendige zegels intact
[ ] Geen wijzigingen nodig vóór verkoop

BESLISSING:
[ ] ACCEPTEREN: alle controles geslaagd
[ ] AANHOUDEN: problemen vastgesteld (specificeer hieronder)
[ ] WEIGEREN: niet-conform (documenteer en informeer leverancier)

Vastgestelde problemen:
________________________________________________
________________________________________________

Geverifieerd door: _____________________________
Datum: ________________________________________

Product ongewijzigd houden tijdens opslag en transport

De ingangscontrole is slechts de helft van het werk. Distributeurs moeten het product in dezelfde conformiteitstoestand houden van ontvangst tot aflevering. Elke handeling die het product wijzigt nadat de fabrikant het op de markt heeft gebracht, kan de distributeursrol omzetten naar fabrikantstatus.

Opslag:

• Producten worden tijdens de opslag niet gewijzigd. Geen firmware-updates door het IT-team van de distributeur. Geen "preventieve" configuratieaanpassingen.
• Omgevingsomstandigheden tasten de beveiligingsfuncties niet aan. Sabotagebestendige zegels blijven intact.
• Batterijvervanging bij langdurige opslag brengt risico's mee. Vervanging met een identiek onderdeel valt mogelijk binnen de uitzondering voor reserveonderdelen, maar een andere batterijchemie of een firmwarewijziging plaatst het product in het gewijzigde-product-regime.

Transport:

• Producten bereiken klanten in dezelfde conformiteitstoestand als bij ontvangst. Het verzendetiket is van de distributeur, het product erin niet.
• De verpakking blijft intact. Een beschadigde buitenverpakking die het product blootstelt onderweg wordt in quarantaine geplaatst voor herverificatie, niet stilzwijgend herverpakt.
• Grensoverschrijdend transport tussen EU-lidstaten wijzigt de conformiteitstoestand niet. Het product is al op de interne markt gebracht en u stelt het beschikbaar in een tweede lidstaat.

Praktijkvoorbeeld. Als u IoT-apparaten in een magazijn opslaat, kunt u hun firmware niet "vriendelijk" bijwerken vóór verzending. Een firmwarewijziging door de distributeur is een wezenlijke wijziging als deze de conformiteit van het product met de essentiële cyberbeveiligingseisen aantast of het beoogd gebruik ervan wijzigt (art. 3(30)), en in dat geval wordt de distributeur de fabrikant van het gewijzigde product (art. 21). Dit is een afzonderlijke grond, los van de route via eigen naam of handelsmerk. Laat klanten hun eigen apparaten bijwerken of stuur updates via de oorspronkelijke fabrikant.

Distributeursscenario's die u daadwerkelijk tegenkomt

De distributeurgids beschrijft het kader. De volgende supply-chain-situaties treffen distributeurs in de praktijk en de antwoorden zijn niet altijd direct uit het kader af te leiden.

Dropshipping waarbij u de voorraad nooit aanraakt

U neemt bestellingen aan, de niet-EU-fabrikant of een andere EU-entiteit verzendt rechtstreeks naar de eindklant. Bent u dan de distributeur?

De juridische drempel is "beschikbaar stellen op de interne markt", niet fysiek bezit. Als u eigendom van de goederen verkrijgt, de klant factureert en de leveringsrelatie via uw onderneming loopt, bent u distributeur ongeacht wie de doos behandelt. De aanwezigheidsgerichte ingangscontrole geldt voor u. U heeft een gedocumenteerde overeenkomst met de leverancier nodig dat de CE-markering, de EU-conformiteitsverklaring, de gebruikersinformatie en de importeursidentificatie aanwezig zijn voordat de zending hun magazijn verlaat.

Als de relatie puur bemiddeling is (u brengt koper en verkoper bij elkaar, u verkrijgt nooit eigendom, het leveringscontract loopt rechtstreeks tussen koper en de bovenstroomse partij en u factureert de goederen niet zelf), valt u doorgaans buiten het distributeursregime. De grens hangt af van de feiten. Lees de contractstructuur, niet de eigendom van het magazijn.

Marktplaatsbeheerder en Amazon-FBA-achtige fulfilment

Twee verschillende grenscriteria:

U beheert de marktplaats. Als uw platform alleen kopers en externe verkopers bij elkaar brengt en nooit eigendom verkrijgt, bent u doorgaans geen distributeur onder de CRA, in lijn met het bredere EU-kader voor online-intermediairs. Als uw platform eigendom verkrijgt (u koopt voorraad in bij leveranciers, plaatst aanbiedingen en verwerkt bestellingen vanuit uw eigen inventaris), bent u distributeur.

U verkoopt op een marktplaats van een ander. Als u een externe verkoper bent die Amazon FBA, Cdiscount-fulfilment of een vergelijkbare dienst gebruikt, bent u de distributeur. De fulfilment-aanbieder is een logistieke dienst, niet de distributeur. Uw ingangscontrole, uw weigeringsplicht, uw kwetsbaarheidsstroom.

Uitsluitend B2B-distributie

De CRA is van toepassing op "producten met digitale elementen die op de interne markt worden aangeboden" zonder onderscheid tussen B2B en B2C in de werkingssfeer. De verplichtingen voor distributeurs zijn gelijk: ingangscontrole, weigeringsplicht, kwetsbaarheidsstroom, medewerking aan markttoezicht.

Twee praktische verschillen voor B2B:

• Taal van de gebruikersinformatie. De eindklant is een afnemende onderneming die mogelijk in het Engels of een andere commerciële taal werkt. De wettelijke ondergrens is de taal die gebruikers en markttoezichtautoriteiten van de lidstaat van levering gemakkelijk begrijpen. Voor interne bedrijfsgebruikers bij een multinational kan Engels commercieel zijn overeengekomen. Voor commerciële eindgebruikers die het product inzetten voor consumentgerichte toepassingen, geldt de lokale-taaleis onverkort.
• Kwetsbaarheidsbewustzijn. Een B2B-distributeur krijgt kwetsbaarheden doorgaans via commerciële kanalen te weten (helpdesktickets, leveranciersbulletins) en niet via consumentenmeldingen. De "zonder onredelijke vertraging"-klok start zodra u ervan op de hoogte bent.

Gereviseerde of tweedehands CRA-producten

De CRA geldt voor producten die op de interne markt worden aangeboden. Een gereviseerd product dat door een nieuwe partij opnieuw op de markt wordt gebracht, is al dan niet een nieuwe marktintroductie, afhankelijk van wat er is gewijzigd.

De grens hangt af van de vraag of de revisie een wezenlijke wijziging vormt. Reinigen, herverpakken en identieke onderdelen vervangen binnen de uitzondering voor reserveonderdelen houden het product in de distributeurscategorie. Een batterij vervangen door een ander type chemie, firmware opnieuw flashen of een niet-originele software-image terugzetten is een wezenlijke wijziging en plaatst de revisor in de fabrikantstatus voor het gewijzigde product.

Praktische regel: als u een unit doorverkoopt die u van een bekende fabrikant in originele staat heeft gekocht, bent u distributeur. Als u units na hardwarewissel of firmware-revisie herstelt, vraag juridisch advies vóór u het als distributie behandelt.

Bundelverkopers

U combineert twee of drie producten tot één SKU.

Bundelen zonder wijziging. Elk product in de bundel behoudt zijn eigen fabrikant, zijn eigen CE-markering en zijn eigen EU-conformiteitsverklaring. U bent distributeur van elk afzonderlijk product. De buitenverpakking van de bundel moet de afzonderlijke producten en hun conformiteitsdocumenten identificeerbaar maken. Uw ingangscontrole loopt per product, niet per bundel.

Bundelen met aangepaste firmware of configuratie. Als u een aangepaste firmware-image doorplaatst, standaardbeveiligingsinstellingen wijzigt of producten vooraf configureert om samen te werken op een manier die hun beoogd gebruik verandert, is dat een wezenlijke wijziging. U wordt fabrikant voor de bundel en de fabrieksverplichtingen gelden voor het betrokken productdeel of, als de wijziging de cyberbeveiliging van het product als geheel betreft, voor het gehele product.

Bundelmerk. Een sticker "Gedistribueerd door ACME" op de bundel plakken activeert de rebrand-route op zichzelf niet. Het vervangen van de merkidentificatie van de afzonderlijke fabrikanten door die van u wel. De bekende valkuil van het verwijderen van het contactetiket van de importeur geldt hier ook.

Grensoverschrijdende levering bij een kwetsbaarheid

U heeft een product in zes lidstaten gedistribueerd. Er wordt een kwetsbaarheid gemeld die een aanzienlijk cyberrisico vormt. Wie informeert u?

Informeer de markttoezichtautoriteiten in elke lidstaat van levering tegelijkertijd, onmiddellijk. U informeert ook de fabrikant over de kwetsbaarheid zonder onredelijke vertraging. De fabrikant verzorgt apart de ENISA-meldingsstroom, wat niet de taak van de distributeur is.

Praktische voorbereiding: houd een distributielogboek bij per product en per lidstaat van levering. Bouw een MSA-contactenlijst waarmee u met één handeling de juiste contactgegevens heeft. Als een kwetsbaarheid wordt gemeld voor een product in uw catalogus, moet u het meldingsadres van de BSI voor kwetsbaarheden in Duitsland niet voor het eerst om 23:00 uur opzoeken.

Wat u naar fabrikantstatus verschuift

Distributeursstatuut is fragiel. Meerdere kleine operationele handelingen kunnen u zonder dat u het merkt over de lijn naar fabrieksverplichtingen trekken. Dit is de handeling-voor-handeling-matrix.

Voor het regelgevingskader achter deze beoordelingen heeft de distributeurgids de FAQ Ben ik distributeur of fabrikant? met de relevante wettekst en het onderscheid met derden-wijzigers.

Als de douane uw zending aanhoudt

Een niet-EU-zending kan door nationale douaneautoriteiten worden aangehouden bij een gebrek in CE-markering, conformiteit of productinformatie. De CRA reguleert de douane niet rechtstreeks, maar werkt via het bestaande EU-markttoezichtkader dat aan de grens van toepassing is.

Wat de douane doorgaans eist:

• Een exemplaar van de EU-conformiteitsverklaring, volledig of vereenvoudigd met een werkende URL naar de volledige versie.
• Bewijs van de gevolgde conformiteitsbeoordelingsroute (Module A zelfevaluatie of het aangemelde-instantie-certificaatnummer voor Klasse II Belangrijk of Kritieke producten).
• De identificatie van fabrikant en importeur met postadres en digitale contactgegevens.
• Gebruikersinformatie en instructies in een lidstaat-taal.
• Bewijs van CE-markering op een representatieve unit.

Wat de distributeur bij aanhouding kan doen:

• De documenten verstrekken die u bij de ingangscontrole zou hebben verzameld. Als uw leverancier die niet heeft meegegeven, had u de zending in eerste instantie niet mogen accepteren.
• Coördineren met de importeur, die de zwaardere verificatieplicht en de tien jaar bewaarverplichting draagt. Als de importeur de inhoudsopgave van de technische documentatie heeft, accepteert de douane dat doorgaans als bewijs dat het dossier bestaat.
• De goederen in douane-entrepot houden terwijl hiaten worden gedicht. Douane-entrepot is een legitieme tussentijdse status. Levering aan klanten is dat niet.
• De zending terugsturen naar de leverancier of vernietigen als het hiaat niet binnen een redelijke termijn gedicht kan worden. De nationale regels van de lidstaat over de vernietigingstermijn variëren.

Veelvoorkomende valkuilen

De distributeurgids heeft de volledige achtpunts-tabel voor distributeur-versus-importeur-fouten, aanwezigheidsverificatiefouten en kwetsbaarheidsstroom-fouten. Dit blog voegt drie valkuilen toe die specifiek zijn voor de operationele laag.