CRA-distributörschecklista: 5 verifieringssteg för varje produkt

Den här sidan är den praktiska handboken för mottagningsdisken som hör till klusterguiden för CRA-distributörer. Klusterguiden täcker det regulatoriska ramverket: vem som räknas som distributör, vilka skyldigheter som gäller och hur myndighetsbegäranden fungerar. Den här bloggen är vad mottagningsdisken, lagerteamet och säljarna faktiskt använder: ett snabbreferenskort, en utskrivbar mottagningschecklista, försörjningskedjescenarier som distributörer möter i verkliga operationer och de konkreta åtgärder som utan att du märker det förflyttar dig från distributör till tillverkarstatus.

Snabbreferenskort för mottagningen

Skriv ut och förvara vid mottagningsdisken för snabba godkännandebeslut.

+-------------------------------------------------+
|       DISTRIBUTÖRENS CRA-SNABBKONTROLL          |
|                                                 |
|  ✓ CE-märkning synlig och korrekt?              |
|  ✓ Tillverkarens namn/adress på produkten?      |
|  ✓ Instruktioner på rätt språk?                 |
|  ✓ Inga uppenbara fel eller manipulering?       |
|  ✓ Inga återkallelser för den här produkten?    |
|                                                 |
|  ALLA JA → OK att sälja                         |
|  NÅGOT NEJ → STOPP, dokumentera, meddela        |
|  ALDRIG:  Ändra firmware, ombränd, ignorera     |
+-------------------------------------------------+

Fullständig mottagningschecklista

Använd den här när du tar emot produkter från leverantörer. Skriv ut, fyll i per leverans och arkivera med mottagningsloggen.

DISTRIBUTÖRENS MOTTAGNINGSCHECKLISTA

Produkt: _______________________________________
Leverantör: ____________________________________
Mottagningsdatum: ______________________________
Batch / Lot: ___________________________________
Artikelnummer: _________________________________
Kvantitet: _____________________________________

VISUELL VERIFIERING:
[ ] CE-märkning finns på produkt eller förpackning
[ ] CE-märkning korrekt utformad (proportioner, storlek)
[ ] Tillverkarens namn och adress synliga
[ ] Importörens namn och adress synliga (om utomeuropeiskt ursprung)
[ ] Förpackningen intakt (inga tecken på manipulering)

DOKUMENTATIONSKONTROLL:
[ ] Användarinstruktioner medföljer
[ ] Instruktioner på erforderligt språk
[ ] Säkerhetsinformation medföljer
[ ] DoC-referens eller dokument finns
[ ] DoC-URL leder till en fullständig EU-försäkran om överensstämmelse
[ ] Supportperiodens slutdatum angivet (månad och år)

KONTROLL AV EFTERLEVNADSSTATUS:
[ ] Inga aktiva återkallelser för produkten
[ ] Inga meddelanden från tillverkaren om problem
[ ] Inga regulatoriska varningar för produkten
[ ] Leverantören har inte flaggat några farhågor

LAGRINGSKRAV:
[ ] Lagringsförhållanden lämpliga för produkttypen
[ ] Manipuleringssäkra plomber intakta
[ ] Inga modifieringar krävs före försäljning

BESLUT:
[ ] GODKÄNN - Alla kontroller godkända
[ ] PARKERA - Brister identifierade (specificera nedan)
[ ] AVVISA  - Icke-konform (dokumentera och meddela leverantör)

Identifierade brister:
________________________________________________
________________________________________________

Verifierad av: _________________________________
Datum: _________________________________________

Hålla produkten oförändrad i lager och under transport

Mottagningskontrollen är bara halva jobbet. Distributörer måste hålla produkten i samma efterlevnadsstatus från mottagning till leverans. Varje åtgärd som förändrar produkten efter att tillverkaren har släppt den på marknaden kan förvandla distributörsrollen till tillverkarstatus.

Lagring:

• Produkter får inte modifieras under lagring. Inga firmwareuppdateringar som distribueras av distributörens IT-team. Inga "förebyggande" konfigurationsjusteringar.
• Miljöförhållanden får inte äventyra säkerhetsfunktioner. Manipuleringssäkra plomber ska förbli intakta.
• Batteribyte under lång lagring är riskfyllt. Byte av identisk komponent kan hålla sig inom reservdelsundantaget, men en annan batterikemi eller en firmwareändring placerar produkten i modifierat territorium.

Transport:

• Produkter når kunderna i samma efterlevnadsstatus som vid mottagandet. Fraktetiketten är distributörens, produkten inuti är det inte.
• Förpackningens integritet ska bevaras. En skadad ytterkartong som exponerar produkten under transporten sätts i karantän för ny verifiering, den paketeras inte om i tysthet.
• Gränsöverskridande transport mellan EU:s medlemsstater ändrar inte efterlevnadsstatusen. Produkten är redan utsläppt på unionsmarknaden och du tillhandahåller den i en andra medlemsstat.

Praktiskt exempel. Om du lagrar IoT-enheter i ett lager får du inte "hjälpsamt" uppdatera deras firmware före leverans. En firmwareändring av distributören är en väsentlig modifiering om den påverkar produktens efterlevnad av de grundläggande cybersäkerhetskraven eller ändrar dess avsedda ändamål (Art 3(30)), och i så fall blir distributören tillverkare av den modifierade produkten (Art 21). Det är en separat utlösare från att placera produkten under eget namn eller varumärke. Låt kunderna uppdatera sina egna enheter, eller dirigera uppdateringar via den ursprungliga tillverkaren.

Distributörsscenarier du faktiskt möter

Klusterguiden täcker ramverket. Dessa är försörjningskedjessituationer som distributörer möter i verkliga operationer och svaren är inte alltid uppenbara när man läser ramverket.

Dropshipping där du aldrig hanterar lagret

Du tar emot beställningar, den icke-EU-baserade tillverkaren eller en annan EU-enhet skickar direkt till slutkunden. Är du distributören?

Den rättsliga utlösaren är "tillhandahållande på unionsmarknaden", inte fysiskt innehav. Om du tar äganderätt till varorna, fakturerar kunden och leveransförhållandet juridiskt löper via ditt företag är du distributör oavsett vem som hanterar paketet. Den närvarobaserade mottagningskontrollen gäller fortfarande dig. Du behöver ett dokumenterat avtal med uppströmslevrantören om att CE-märkning, EU-försäkran om överensstämmelse, användarinformation och importörsidentifiering är på plats innan försändelsen lämnar deras lager.

Om förhållandet är ren förmedling (du matchar köpare och säljare, du tar aldrig äganderätt, leveranskontraktet är direkt mellan köparen och uppströmsenheten, du fakturerar inte varorna) befinner du dig i allmänhet utanför distributörsregimen. Gränsdragningen beror på de faktiska omständigheterna. Läs kontraktsstrukturen, inte äganderätten till lagret.

Marknadsplatsoperatör och Amazon FBA-liknande uppfyllnad

Två olika gränstester:

Du driver marknadsplatsen. Om din plattform bara matchar köpare och tredjepartssäljare och aldrig tar äganderätt är du i allmänhet inte distributör enligt CRA, i linje med det bredare EU-ramverket för onlineförmedlare. Om din plattform tar äganderätt (du köper lager från leverantörer, listar det och uppfyller beställningar mot ditt eget lager) är du distributör.

Du säljer på någon annans marknadsplats. Om du är en tredjepartssäljare som använder Amazon FBA, Cdiscount-uppfyllnad eller en likvärdig tjänst är du distributören. Uppfyllnadsleverantören är en logistiktjänst, inte distributören. Din mottagningskontroll, din vägransplikt, ditt sårbarhetsflöde.

Enbart B2B-distribution

CRA gäller "produkter med digitala element som släpps på unionsmarknaden" utan att skilja mellan B2B och B2C i tillämpningsområdet. Distributörsskyldigheter är desamma: mottagningskontroll, vägransplikt, sårbarhetsflöde, samarbete med marknadskontrollmyndigheter.

Två praktiska skillnader för B2B:

• Användarinformationens språk. Slutkunden är ett nedströmsföretag som kan arbeta på engelska eller ett annat affärsspråk. Den rättsliga miniminivån är det språk som lätt förstås av användare och marknadskontrollmyndigheten i leveransmedlemsstaten. För interna företagsanvändare på ett multinationellt företag kan engelska vara kommersiellt avtalat. För kommersiella slutanvändare som återdriftsätter produkten i konsumentmiljöer gäller lokala språkkrav.
• Sårbarhetskännedom. En B2B-distributör lär sig om sårbarheter vanligtvis via kommersiella kanaler (helpdesk-ärenden, leverantörsbulletiner) snarare än konsumentrapporter. Klockan för notifiering "utan onödigt dröjsmål" börjar ändå gå när du får kännedom.

Renoverade eller begagnade CRA-produkter

CRA täcker produkter som släpps på unionsmarknaden. En renoverad produkt som återplaceras på marknaden av en ny enhet kan eller kan inte vara ett nytt produktutsläppande, beroende på vad som förändrades.

Gränsdragningen beror på om renoveringen väsentligt modifierar produkten. Rengöring, ompaketering och byte av identiska komponenter inom reservdelsundantaget håller produkten i distributörsterritoriet. Att byta ett batteri med annan kemi, flasha om firmware eller återställa en icke-original programvarubild är väsentlig modifiering och placerar renoveraren i tillverkarstatus för den modifierade produkten.

Praktisk regel: om du återsäljer en enhet som du köpt från en känd tillverkare i ursprungsskick är du distributör. Om du återställer enheter efter ett hårdvarubyte eller en firmwareombyggnad, skaffa den rättsliga tolkningen innan du behandlar det som distribution.

Paketförsäljare

Du kombinerar 2-3 produkter till ett enda artikelnummer.

Paketering utan modifiering. Varje produkt i paketet behåller sin egen tillverkare, sin egen CE-märkning och sin egen EU-försäkran om överensstämmelse. Du är distributör för varje produkt. Paketets ytterkartong behöver göra ingående produkter och deras efterlevnadsdokument identifierbara. Din mottagningschecklista gäller per produkt, inte per paket.

Paketering med anpassad firmware eller konfiguration. Om du lägger en anpassad firmwarebild, ändrar säkerhetsstandarder eller förkonfigurerar produkter att arbeta tillsammans på ett sätt som ändrar deras avsedda ändamål är det väsentlig modifiering. Du blir tillverkaren för paketet, och tillverkarskyldigheter gäller den berörda delen av produkten eller, om ändringen påverkar cybersäkerheten för produkten som helhet, hela produkten.

Paketets varumärkesdesign. Att sätta en "Distribueras av ACME"-etikett på paketet utlöser inte i sig ombrändningsregeln. Att ersätta de enskilda tillverkarnas varumärkesidentifierare med dina egna gör det. Klusterguiden varnar också för att avlägsna importörens kontaktetikett, vilket gäller här med.

Gränsöverskridande leverans när en sårbarhet uppstår

Du har distribuerat en produkt till sex medlemsstater. En sårbarhet rapporteras och utgör en betydande cybersäkerhetsrisk. Vem notifierar du?

Notifiera marknadskontrollmyndigheten i varje leveransmedlemsstat, parallellt, omedelbart. Du informerar också tillverkaren om sårbarheten utan onödigt dröjsmål. Tillverkaren sköter separat ENISA-rapporteringsflödet, vilket inte är distributörens uppgift.

Praktisk förberedelse: håll en per-produkt, per-leveransmedlemsstat distributionslogg. Bygg ett enklicksregister med MSA-kontakter. När en sårbarhet rapporteras för en produkt i din katalog ska du inte söka upp BSI:s adress för sårbarhetrapportering för första gången klockan 23.

Vad som förvandlar dig till tillverkare

Distributörsstatus är ömtålig. Flera små operativa åtgärder kan föra dig över gränsen till tillverkarskyldigheter utan att du märker det. Det här är matrisen åtgärd för åtgärd.

För det regulatoriska ramverket bakom dessa bedömningar har klusterguiden ett FAQ-avsnitt om distributör eller tillverkare med texten till Artikel 21 och Artikel 22-distinktionen om tredjeparts modifierare.

När tullen håller kvar din försändelse

En icke-EU-försändelse kan hållas kvar av nationella tullmyndigheter om de flaggar ett problem med CE-märkning, konformitet eller produktinformation. CRA reglerar inte tullen direkt, men det sker via det befintliga EU-marknadskontrollramverket som gäller vid gränsen.

Vad tullen vanligtvis kräver:

• En kopia av EU-försäkran om överensstämmelse, fullständig eller förenklad med en fungerande URL till den fullständiga versionen.
• Dokumentation av vilken konformitetsbedömningsväg som använts (modul A självbedömning, eller anmält organs certifikatnummer för Viktig klass II- eller Kritiska produkter).
• Identifiering av tillverkare och importör, postadresser och digitala kontakter.
• Användarinformation och instruktioner på ett medlemsstats språk.
• Bevis på CE-märkningens placering på ett provexemplar.

Vad distributören kan göra när en försändelse hålls kvar:

• Tillhandahåll de dokument du samlat in vid mottagningskontrollen. Om leverantören inte gav dem till dig borde du inte ha accepterat försändelsen från början.
• Samordna med importören, som har den tyngre verifieringsplikten och 10-årig lagringsskyldighet. Om importören har innehållsförteckningen till den tekniska dokumentationen accepterar tullen vanligtvis det som bevis på att filen finns.
• Håll varorna i tullagerläggning medan luckor stängs. Tullagerläggning är ett legitimt mellantillstånd. Leverans mot kund är det inte.
• Returnera försändelsen till leverantören eller låt förstöra om luckan inte kan stängas inom rimlig tid. Medlemsstaternas tullregler varierar vad gäller tidsfristen för förstöring.

Vanliga fallgropar

Klusterguiden har den fullständiga tabellen med åtta fallgropar för misstag kring distributör kontra importör, närvaro-baserad verifiering och sårbarhetflöde. Den här bloggen lägger till tre fallgropar specifika för det operativa lagret.