Czy kamery bezpieczeństwa są produktami ważnymi według CRA?

Jak klasyfikować wydanie kamery?

Zacznij od oferty, nie od obudowy kamery. Ścieżka zależy od przekazu handlowego, funkcji, na której polega kupujący, i elementów cyfrowych dostarczonych z danym wydaniem.

Diagram używaj jako pomocy w wyborze ścieżki, nie jako ostatecznego rejestru klasyfikacji. Spisany rejestr nadal potrzebuje dokładnego przekazu, przewidzianego zastosowania i dostarczonej granicy. Dla kamery smart-home kluczowa fraza to produkty smart-home z funkcjami związanymi z bezpieczeństwem. Kamera sprzedawana do nadzoru domowego, monitorowania włamań, monitorowania niemowląt lub integracji z alarmem mieści się w tej kategorii. Kamera internetowa ogólnego przeznaczenia zwykle nie.

Następnie sprawdź, czy inna funkcja z listy nie odpowiada za pracę kontrolną. Klasyfikacja jako produkt ważny idzie za podstawową funkcjonalnością produktu, a nie za częściami, które ją tylko przewożą. Osadzenie komponentu istotnego dla bezpieczeństwa nie wciąga reszty oferty na ścieżkę produktu ważnego. Jeśli kamera jest w rzeczywistości sprzedawana jako zapora, brama VPN, czytnik kontroli dostępu, urządzenie do uwierzytelniania biometrycznego, system zarządzania tożsamością lub produkt do zarządzania dostępem uprzywilejowanym, który ma przy okazji obiektyw, sklasyfikuj najpierw tę podstawową funkcję.

Dla profesjonalnego nadzoru nie wymuszaj kategorii smart-home. Profesjonalna kamera CCTV, VMS lub NVR może nadal być produktem z elementami cyfrowymi w rozumieniu CRA i nadal potrzebuje wymagań bezpieczeństwa, planowania okresu wsparcia, obsługi podatności i dokumentacji technicznej. Klasa zależy od przewidzianego zastosowania, dostarczonej granicy i funkcji podstawowej.

Memorandum klasyfikacji powinno odpowiedzieć na cztery pytania:

1. Czy kamera jest sprzedawana do bezpieczeństwa gospodarstwa domowego, monitorowania niemowląt, ochrony przy dzwonku lub integracji z alarmem?
2. Czy kamera to podstawowa funkcja produktu, czy pracę kontrolną wykonuje funkcja zapory, VPN, kontroli dostępu, biometryczna lub tożsamościowa?
3. Które elementy cyfrowe dostarczane są dla przewidzianej funkcji: firmware, nośnik lokalny, aplikacja, chmura producenta, usługa aktualizacji i obsługa podatności?
4. Które systemy są poza ofertą producenta: router klienta, rejestrator innego dostawcy, sieć instalatora, zewnętrzny dostawca tożsamości lub centrum monitoringu?

Granica produktu i dostarczane elementy

Dla producenta kamery granica zgodności rzadko sprowadza się do plastikowej obudowy. Idzie za produktem wprowadzonym do obrotu i elementami cyfrowymi koniecznymi dla przewidzianej funkcji bezpieczeństwa.

W domyślnej granicy producenta kamery znajdują się: firmware urządzenia i każda działająca na nim usługa, stos interfejsu sieciowego, magazyn na urządzeniu, aplikacja towarzysząca, którą kupujący ma zainstalować, chmura producenta dostarczająca udokumentowane funkcje produktu, infrastruktura aktualizacji OTA i stojący za nią proces obsługi podatności.

Poza tą granicą, dopóki producent faktycznie nie sprzedaje tej warstwy: router kupującego, VMS lub NVR innego dostawcy wybrany przez klienta, sieć w lokalizacji instalatora, zewnętrzny dostawca tożsamości używany do SSO oraz profesjonalne centrum monitoringu objęte odrębną umową.

Punkty kontrolne architektury kamery

Teczka wydania kamery powinna iść za faktycznym produktem wideo, a nie za generyczną listą IoT. Kamera bateryjna Wi-Fi, kamera PoE typu dome, kamera zewnętrzna z modemem komórkowym i kamera sprzedawana z NVR mogą dzielić dyskusję o klasie, ale potrzebują różnych rejestrów inżynierskich.

Diagram czytaj jako mapę teczki wydania, nie jako wymagany wzorzec wdrożenia. Producent nadal musi spisać dokładną granicę wariantu dla własnej kamery, aplikacji, usługi chmurowej, ścieżki aktualizacji i modelu wsparcia.

1. Ścieżka wideo i sterowania. Wskaż każdą drogę, którą można obejrzeć, zapisać, wyeksportować lub sterować wideo: strumień lokalny, interfejs webowy, sesja aplikacji, przekaz przez chmurę, link udostępnienia, eksport serwisowy i zadeklarowana zgodność z NVR lub VMS.
2. Ekspozycja lokalna. Przeskanuj kamerę po konfiguracji i po aktualizacji. Pokaż, które usługi są osiągalne, które wymagają uwierzytelnienia, a które strumienie lub ścieżki administracyjne pozostają wyłączone.
3. Systemy klienta. Traktuj router, sieć instalatora, rejestrator innego dostawcy, zewnętrznego dostawcę tożsamości i centrum monitoringu jako pozostające poza produktem producenta kamery, dopóki producent nie dostarcza tej warstwy jako części oferty.
4. Backendy dostarczane przez producenta. Włącz lub wyklucz usługę kont, łańcuch podpisywania, usługę zdarzeń lub powiadomień, portal wsparcia, usługę flag funkcji płatnych i każdą chmurową ścieżkę ML.
5. Autorytet aktualizacji. Traktuj autorytet aktualizacji jako dwukierunkową wymianę: kamera sprawdza lub odbiera metadane aktualizacji, a usługa aktualizacji zwraca podpisany pakiet firmware lub aplikacji dla tego konkretnego wariantu. Zapisy podpisanej aktualizacji, slotu odzyskiwania, odrzucenia downgrade'u i powiadomienia użytkownika trzymaj razem z wydaniem.
6. Wejścia od dostawców. Przypisz SoC, modułowi Wi-Fi, stosowi medialnemu, modelowi AI, SDK P2P i bootloaderowi właściciela, wersję, śledzenie ostrzeżeń i decyzję wydania.
7. Pętla posprzedażowa. Zgłoszenia podatności, poważne incydenty, ostrzeżenia dostawców i awarie w polu powinny zaktualizować model zagrożeń, zapis ryzyka rezydualnego, teczkę techniczną i bramę kolejnego wydania.

Robocza ocena ryzyka kamery

Resztę tej sekcji czytaj jako jeden roboczy przykład kamery, a nie listę kontrolną do skopiowania. Celem jest pokazanie głębokości decyzji, której producent kamery powinien umieć bronić dla jednego konkretnego wariantu: wybranego chipsetu i modułu, gałęzi firmware, przekazu przez chmurę, kanału OTA, ostrzeżeń dostawców, które rzeczywiście się śledzi, kanału sprzedaży i okna wsparcia, do którego się zobowiązano.

Jaki produkt oceniamy?

Przykładowy produkt jest fikcyjny, nie prawdziwy: ExampleCo IndoorCam X1, kamera smart-home do wnętrz sprzedawana w UE do monitorowania bezpieczeństwa gospodarstwa domowego. Nagrywa wideo i dźwięk w rozdzielczości 1080p, zapisuje klipy na karcie microSD, strumieniuje wideo na żywo właścicielowi przez aplikację mobilną, wystawia lokalny webowy interfejs admina podczas konfiguracji, używa BLE do pierwszego sparowania, łączy się przez Wi-Fi i otrzymuje podpisane aktualizacje firmware od producenta.

Granica produktu dla tego przykładu obejmuje sprzęt kamery, wbudowane firmware, nagrywanie na microSD, ścieżkę parowania w aplikacji mobilnej, przekaźnik chmury producenta, usługę kont, usługę aktualizacji OTA, proces ostrzeżeń bezpieczeństwa i kontakt do zgłaszania podatności. Nie obejmuje routera klienta, VMS/NVR innego dostawcy, platformy automatyki domowej ani profesjonalnego centrum monitoringu.

Produkt jest przewidziany dla nietechnicznych użytkowników w domowym środowisku wewnętrznym. Nie jest przewidziany do przemysłowego CCTV, nadzoru przestrzeni publicznych, kontroli dostępu, uwierzytelniania biometrycznego lub weryfikacji tożsamości, monitorowania miejsca pracy ani operacji bezpieczeństwa infrastruktury krytycznej.

Przed zapisaniem tabeli zagrożeń sprawdź trzy ścieżki kamery, które zwykle decydują o ocenie ryzyka: nadzór nad wideo, tożsamość urządzenia i ekspozycja po konfiguracji. Te diagramy zmieniają roboczy przykład w pytania inżynierskie, nie w generyczną listę zagrożeń.

Nadzór nad wideo i ścieżka oglądaniaTeczka ryzyka powinna pokazać, gdzie wideo na żywo lub nagrane może powstać, być zapisane, przekazane, oglądane i wyeksportowane.

Szczegóły nadzoru nad wideo: źródłem jest czujnik kamery, mikrofon i enkoder, ze strojeniem obrazu w postaci binariów, ścieżką dźwięku, maską prywatności, wejściami detekcji AI i profilami strumienia powiązanymi z gałęzią firmware. Lokalna ścieżka oglądania obejmuje ONVIF, RTSP, webowy podgląd lub przeglądarkę i weryfikowana jest przez skan uwierzytelnienia i ekspozycji. Ścieżka zdalna obejmuje przekaz przez chmurę, SDK P2P lub aplikację właściciela i weryfikowana jest przez test zakresu tokena i przekazu. Ścieżka mediów lokalnych obejmuje klipy na microSD i wymienne nośniki, weryfikowana jest przez testy resetu i wyjęcia karty. Ścieżka serwisowa obejmuje pakiet diagnostyczny i eksport diagnostyki, weryfikowana jest przez listę kontrolną redakcji.

Testy resetu, odwiązania i wyczyszczenia RMA dowodzą, które wideo, tokeny i powiązania kont są usuwane przed odsprzedażą, regeneracją lub przekazaniem do serwisu.

Brama wydania: bezpieczeństwo produktu jest właścicielem testu nadzoru nad wideo, wsparcie jest właścicielem listy kontrolnej redakcji, a inżynieria firmware i chmury — właścicielem inwentarza strumieni. Zapis wydania: test ścieżki nadzoru, inwentarz usług strumieniowych i wynik redakcji pakietu serwisowego.

Własność to osobny sprawdzian niż nadzór nad wideo. Kamera może mieć chroniony strumień i nadal zawodzić, jeśli były właściciel, współdzielony użytkownik lub odzyskany telefon zachowuje dostęp po przekazaniu.

Kto może objąć, używać i przekazać kamerę?Rejestr tożsamości powinien iść za urządzeniem od dostarczenia fabrycznego, przez konfigurację właściciela, codzienne użycie, przekazanie i obsługę zwrotów.

Szczegóły cyklu życia tożsamości: dostarczenie tworzy klucz lub certyfikat kamery, zapisuje tożsamość sprzętową i blokuje produkcyjny dostęp do debugowania. Konfiguracja właściciela wykorzystuje zweryfikowane konto plus jednorazowy, krótkotrwały token QR, BLE lub aplikacji do przejęcia i zamyka okno pierwszego użycia po powiązaniu kamery. Praca standardowa używa tego samego modelu unieważniania dla resetu hasła, odzyskiwania konta, odzyskiwania utraconego telefonu, udostępniania rodzinnego, gości i sesji przeglądarki. Przekazanie własności wymaga autoryzowanej ścieżki odwiązania, usuwa stare konto, unieważnia użytkowników współdzielonych i kończy aktywne sesje, zanim kamera może być ponownie przejęta. Reset fabryczny, RMA i regeneracja usuwają powiązanie konta, poświadczenia, klipy i diagnostykę zgodnie z projektem produktu; obsługa RMA nie powinna stać się drogą do prania kradzieży.

Testy nadużyć: token konfiguracji wygasa, jest jednorazowy i nie może być wykorzystany ponownie przez pobliskiego napastnika po przejęciu przez właściciela; stary telefon, gość lub sesja przeglądarki nie mogą zachować dostępu do nagrań ani strumienia na żywo po odzyskaniu; reset lokalny nie zostawia powiązania z chmurą, tokenów konta ani klipów.

Brama dowodowa: zamknij wydanie tylko wtedy, gdy dostarczenie, przejęcie przez właściciela, nadawanie współdzielonego dostępu, unieważnianie sesji, odzyskiwanie utraconego telefonu, przekazanie i obsługa zwrotów zostały przetestowane razem. Zapis wydania: zapis dostarczenia, test tokena przejęcia, test nadawania i odbierania uprawnień, wynik odwiązania od chmury i zapis czyszczenia RMA.

Po przetestowaniu własności sprawdź, co jest jeszcze osiągalne z sieci, aplikacji, nośnika wymiennego i procesów serwisowych. To utrzymuje przegląd ekspozycji powiązany z faktycznym zachowaniem wysłanego produktu, a nie generycznym skanem portów.

Które powierzchnie dostępu pozostają osiągalne po konfiguracji?Użyj jako mapy testów wydania dla usług LAN, oglądania w chmurze, nośników wymiennych i diagnostyki serwisowej.

Szczegóły powierzchni dostępu: lokalne usługi LAN obejmują RTSP, ONVIF, interfejs webowy i punkty wykrywania, a zapis wydania to skan ekspozycji. Oglądanie zdalne obejmuje przekaz przez chmurę, udostępnianie i tożsamość urządzenia, a zapis wydania to test zakresu tokena chmurowego. Nośniki wymienne obejmują klipy na microSD, zachowanie po resecie i decyzje magazynowe, a zapis wydania to wynik resetu microSD. Diagnostyka serwisowa obejmuje logi, zrzuty awarii i tryb serwisowy, a zapis wydania to próbka audytu trybu serwisowego.

Brama testu: po pierwszej konfiguracji i po każdej istotnej aktualizacji QA powtarza inwentarz usług, a wsparcie sprawdza eksport diagnostyki. Zapis wydania: skan ekspozycji, test zakresu tokena chmurowego, wynik resetu microSD i próbka audytu trybu serwisowego.

Jakie aktywa chronimy?

Kamery chronią bardzo różne rzeczy w tej samej obudowie. Nagrany klip z sypialni dziecka, konto właściciela, które może obracać obiektyw, i klucz podpisujący firmware kontrolujący każde wydane w tym roku urządzenie, wszystkie żyją za jednym produktem. Wymień je najpierw jako osobne aktywa, bo zestaw kontroli, dowody testów i zapisy wydania znacznie się rozjeżdżają.

Gdzie leżą główne granice zaufania?

Kamera siedzi w pięciu miejscach naraz: w samym urządzeniu, na karcie microSD, którą każdy w pokoju może wyjąć, w sieci domowej dzielonej z telefonami i nieznanymi sąsiadami IoT, w backendzie producenta, który dotyka każdej kamery w polu, oraz na telefonie lub w przeglądarce właściciela trzymających sesję na żywo. Każde z tych miejsc zmienia szansę napastnika i wymaga innej powierzchni kontroli, więc model granic zaufania wymienia je osobno, choć są ze sobą połączone.

Które zagrożenia ocenić w pierwszej kolejności?

Ten przykład zaczyna się od szesnastu zagrożeń właściwych dla produktu. Celem nie jest wyczerpać listę; celem jest pokazać poziom śledzenia, którego producent powinien umieć bronić.

Jak ustalić priorytety początkowych ryzyk?

Użyj prostej wewnętrznej rubryki, zanim wybierzesz kontrole. W tym przykładzie prawdopodobieństwo opiera się na ekspozycji i szansie napastnika; wpływ opiera się na szkodzie dla prywatności, skali floty, trwałości i tym, czy zagrożenie kompromituje mechanizm bezpieczeństwa. Dokładne etykiety mają mniejsze znaczenie niż uzasadnienie wpisane obok każdej decyzji.

Użyj drabiny bramy wydania, aby każde ryzyko kamery nie dostawało tej samej decyzji:

Które kontrole projektowe zmieniają obraz ryzyka?

Przypisz każdy wiersz kontroli do konkretnego testu kamery, nie generycznej listy bezpiecznego rozwoju. Teczka wydania powinna umieć wskazać z ID zagrożenia dokładny test parowania, skan uwierzytelnienia strumienia, log weryfikacji podpisanej aktualizacji, inwentarz usług po konfiguracji lub zapis czyszczenia RMA, który dowodzi, że kontrola działa na wysłanej gałęzi kamery.

Jakie ryzyko rezydualne pozostaje po kontrolach?

Kontrole nie zamykają teczki. Po wysłaniu kamery producent nadal pracuje z ryzykami zarządzanymi aktywnie: kanałem aktualizacji firmware, ścieżkami przejmowania konta właściciela i długim ogonem CVE dostawców w stosie Wi-Fi, bibliotekach mediów i SDK P2P, które pojawiają się przez cały okres wsparcia. Zapis rezydualny jest wiarygodny tylko wtedy, gdy producent może wskazać żywe monitorowanie tych sygnałów, decyzje klasyfikacji nowych ostrzeżeń, podpisane aktualizacje, które faktycznie dotarły do zainstalowanych kamer, powiadomienia, które poszły do właścicieli, i zapisane działanie naprawcze za każdym z nich.

Bramą wydania jest sam rejestr ryzyka. Nie dodawaj osobnej karty „bezpieczeństwo przejrzane", która powtarza tę samą pracę. Przy podpisaniu wydania właściciel powinien umieć wskazać od zablokowanych lub warunkowych zagrożeń do dowodów zamknięcia: testów parowania i strumienia dla T1/T2/T5/T14, unieważnienia tokena dla T3, testów podpisanej aktualizacji dla T6, dowodów magazynu/resetu dla T8, dowodów czyszczenia RMA dla T12 oraz monitorowania dostawców dla T11/T16.

Odpowiedzialność za rozwój kamery od koncepcji do wsparcia

Główna odpowiedzialność przechodzi, gdy kamera idzie od definicji produktu do żywego wsparcia. Użyj tego przekazania, aby przypisać jednego prowadzącego, jeden prowadzony rejestr i jedną bramę przeglądu w każdej fazie zmian produktu.

Szczegóły odpowiedzialności: produkt i bezpieczeństwo są właścicielami memorandum granic wariantu w fazie koncepcji. Bezpieczeństwo produktu wraz z firmware i chmurą są właścicielami mapy granic zaufania, rejestru zagrożeń i drabiny bramy w fazie architektury. Właściciele firmware, chmury, aplikacji i dostawców utrzymują reguły podpisanej aktualizacji, kontrole tokenów i sesji, manifest komponentów, kanały ostrzeżeń dostawców i decyzje o flagach funkcji w fazie implementacji. QA wraz z bezpieczeństwem produktu utrzymują skany ekspozycji, testy uwierzytelnienia strumienia, testy nadzoru nad wideo, ćwiczenia resetu lub czyszczenia RMA i decyzje rezydualne w fazie weryfikacji. Compliance i właściciel wydania utrzymują pakiet wydania, indeks teczki technicznej, instrukcje, deklarację okresu wsparcia, podpisaną deklarację, pakiet importera i gotowość do zgłoszeń. PSIRT, wsparcie i inżynieria utrzymują przyjmowanie zgłoszeń, klasyfikację ostrzeżeń dostawców, powiadomienia użytkowników, podpisane poprawki, wycofanie punktów końcowych, testy regresyjne i zapisy działań naprawczych po wydaniu.

Szczegóły przekazania: zamroź granicę przed pracą nad architekturą, zamroź zamierzenie projektowe przed implementacją, zamroź kandydata przed weryfikacją, zamroź decyzję przed wydaniem i utrzymuj wydanie w działaniu przez okres wsparcia. Przychodzące zgłoszenia, ostrzeżenia dostawców, wyniki incydentów i wyniki regresji ponownie otwierają kolejne memorandum granic, rejestr zagrożeń i manifest komponentów.

Zasada odpowiedzialności: to łańcuch prowadzących, nie pełna macierz RACI ani jednorazowa lista kontrolna wydania. Każdy prowadzący jest właścicielem rejestru, gdy kamera się zmienia, a znaleziska wsparcia zasilają następny przegląd koncepcji.

Mapa dowodów producenta

Recenzent lub oceniający z jednostki notyfikowanej przechodzi teczkę techniczną kamery tak, jak instalator otwiera pudełko: od oznakowanego produktu, przez dostarczane elementy cyfrowe, do dowodów wsparcia obiecanych kupującemu. Wiersze poniżej nazywają rejestry, które producenci kamer trzymają aktualne dla tego przejścia; każdy wiersz powinien być prowadzonym plikiem w folderze produktu, a nie próbkowanym zrzutem ekranu zaciągniętym przed podpisaniem.

Ścieżka oceny zgodności

Wybierz ścieżkę zgodności dopiero po ustaleniu granicy kamery, oceny ryzyka, kontroli i ryzyk rezydualnych. Inaczej decyzja o ścieżce może wyprzedzić rejestr inżynierski.

Wybraną ścieżkę trzymaj razem z zapisem podpisania wydania, w tym referencje, na których się oparto, wymagania, które pokrywają, i wszelkie luki, które wymusiły ścieżkę strony trzeciej.

Podpisanie wydania przez producenta

Zanim kamera zostanie wydana na rynek UE, podpisanie powinno zebrać klasyfikację, granicę, model zagrożeń, kontrole, ścieżkę aktualizacji i proces posprzedażowy w jedną decyzję. Tabela poniżej to krótka teczka wydania, po której recenzent powinien umieć się poruszać.

Sprawdzenia przekazania między operatorami gospodarczymi

Teczka wydania powinna czynić weryfikowalnym przekazanie od producenta do importera, dystrybutora i sprzedawcy pod własną marką. Dla kamer słabym punktem nie jest zwykle samo oznakowanie CE; jest nim to, czy wysyłka, ogłoszenie, aplikacja, usługa chmurowa i kanał aktualizacji nadal odpowiadają ocenionemu wydaniu.

Kto sprawdza kamerę przed sprzedażą w UE?Użyj sprawdzeń wysyłki, ogłoszenia, mandatu i zmiany roli, zanim założysz, że ocenione wydanie nadal idzie z pudełkiem.

Szczegóły przekazania między operatorami gospodarczymi: producent lub wytwórca pod własną marką jest właścicielem teczki producenta dla konkretnego wydania kamery. Importer weryfikuje uzasadnienie klasyfikacji, deklarację, kontrolę oznakowania CE, indeks teczki technicznej, deklarację okresu wsparcia, kontakt do zgłaszania podatności, obsługę inwentarza komponentów, instrukcję w języku docelowym i tożsamość importera, zanim umieści wysyłkę na rynku UE. Dystrybutor sprawdza widoczne sygnały należytej staranności przed sprzedażą, w tym oznakowanie CE, dostarczone dokumenty, identyfikowalność producenta i importera, instrukcję w języku docelowym, deklaracje wsparcia i aktualizacji, spójność ogłoszenia online oraz znane sygnały niezgodności.

Warunki zatrzymania: wstrzymaj wysyłkę lub ogłoszenie, jeśli teczka wydania, identyfikowalność, deklaracja wsparcia, zależność od aplikacji lub chmury, kanał aktualizacji lub znana podatność daje powód do podejrzenia, że wydanie jest niezgodne. Mandat przedstawiciela autoryzowanego czytaj osobno od należytej staranności importera lub dystrybutora. Sygnał roli producenta: przeprowadź nową analizę roli producenta, gdy zmiana własnego brandingu, firmware, aplikacji, chmury, kanału aktualizacji, mostu, pakietu NVR lub przewidzianego zastosowania może wpłynąć na zgodność lub przewidziane przeznaczenie. Pytania z RODO, dyrektywy o urządzeniach radiowych dotyczącej cyberbezpieczeństwa, biometrii, Rozporządzenia o AI i NIS2 trzymaj oddzielnie od odpowiedzi klasyfikacyjnej CRA.

Brama wydania: nie przesuwaj kamery z wysyłki do ogłoszenia, gdy teczka wydania, identyfikowalność, deklaracja wsparcia, zależność od aplikacji lub chmury, kanał aktualizacji, dane operatora odpowiedzialnego lub znana podatność są w sprzeczności z ocenionym wydaniem.

Następny rysunek użyj jako listy kontrolnej ról. Pierwszy diagram przekazania pokazuje przepływ wysyłki i ogłoszenia; ten oddziela sprawdzenia, których właścicielem jest importer, dystrybutor, przedstawiciel autoryzowany, sprzedawca pod własną marką i recenzent sąsiedniego reżimu.

Pięć sprawdzeń ról przed sprzedażą w UEKażdy operator gospodarczy i sąsiedni reżim jest właścicielem konkretnych weryfikacji, zanim kamera trafi do kupującego w UE.

Każdy panel roli łączy weryfikacje, które operator musi przeprowadzić, z warunkiem zatrzymania, który wstrzymuje wysyłkę, ogłoszenie lub wydanie. Importer i dystrybutor siedzą na samym przepływie CRA. Przedstawiciel autoryzowany ma zastosowanie tylko wtedy, gdy producent jest spoza UE, i czyta się go osobno od należytej staranności importera lub dystrybutora. Sprawdzenia sprzedawcy pod własną marką mogą tworzyć rolę producenta, jeśli zmiana może wpłynąć na zgodność lub przewidziane przeznaczenie; klasyfikacja, deklaracja zgodności, dokumentacja techniczna, proces zgłaszania i plan okresu wsparcia nie mogą być dziedziczone jako nieformalna obietnica dostawcy. Sąsiednie reżimy (RODO, dyrektywa o urządzeniach radiowych dotycząca cyberbezpieczeństwa, Rozporządzenie o AI, NIS2) pozostają poza odpowiedzią klasyfikacyjną CRA i potrzebują własnych odrębnych ocen.