Tredjepartskomponenter under CRA: integrera eller importera?

Du köper en Bluetooth-modul. Eller en firmware-SDK. Eller en färdig uppkopplad termostat med en leverantörs logotyp på kartongen.

Det är inte samma CRA-problem. Om du integrerar delen i din egen produkt äger du dokumentationen för den färdiga produkten. Om du importerar en färdig produkt med ett varumärke utanför EU verifierar du tillverkarens dokumentation. Den skillnaden bör avgöras före inköpsordern, inte efter att leveransen anlänt.

Frågan europeiska köpare faktiskt ställer

Frågan formuleras sällan som en rollfråga i juridiska termer. Den låter som inköp:

• "Vi köper trådlösmodulen från en leverantör."
• "Moln-SDK:n kommer från en leverantör."
• "ODM:en skickar kretskortet och vi flashar vår firmware."
• "Den färdiga enheten kommer från en tillverkare utanför EU."

Varje mening pekar mot ett annat dokumentationsmönster. Misstaget är att behandla dem alla som "leverantörs due diligence".

Vår hållning: rollbeslutet hör hemma i inköpsledet. Om inköp väntar tills produkten står i lagret ärver efterlevnadsteamet en verklighet som inte är lätt att ändra. Inköpsordern bör redan ange om ditt företag ska författa dokumentationen för den färdiga produkten eller verifiera leverantörens dokumentation för den färdiga produkten.

För hela rollkartan, använd CRA-beslutsträdet för roller. För inköpsvägvalet, håll fokus på de underlag som följer av inköpshandlingen.

Vägvalet: integrera delar eller importera färdiga produkter

Det första vägvalet är praktiskt:

Inköpshandling	Enkelt test	Resultat för dokumentationen
Integrera en modul, ett chip, en SDK, ett bibliotek eller ett kretskort i din egen produkt	Den färdiga produkten når EU-marknaden under din produktidentitet	Du författar dokumentationen för den färdiga produkten
Importera en färdig produkt med ett varumärke utanför EU	Leverantörens produkt är redan komplett och behåller leverantörens identitet	Du verifierar tillverkarens dokumentation
Sätt ditt namn eller varumärke på produkten	Marknaden ser ditt företag som källan	Du går över till arbete på tillverkarnivå
Sälj vidare i oförändrat skick efter att en annan aktör släppt ut den på marknaden	Du påverkar inte produktens egenskaper	Du gör distributörens aktsamhetskontroller

Kort sagt: fråga inte i abstrakta termer om leverantören är "CRA-förenlig". Fråga vad du gör med delen eller produkten.

När du integrerar en modul, ett chip, en SDK eller ett bibliotek

Om du integrerar en tredjepartskomponent i din egen produkt köper du inte en färdig efterlevnadsposition. Du köper en indata.

En produkt med digitala element omfattar enligt artikel 3 programvaru- eller hårdvarukomponenter som släpps ut på marknaden separat. Samma artikel räknar programvara eller hårdvara avsedd att integreras i ett elektroniskt informationssystem som en komponent. Därför kan en trådlösmodul, en firmware-SDK eller ett inbyggt bibliotek som säljs för sig ha sitt eget dokumentationsspår.

Det spåret blir ändå inte akten för din färdiga produkt.

När du släpper ut den färdiga produkten på EU-marknaden ligger tillverkararbetet hos den aktör som släpper ut produkten under sitt eget namn eller varumärke. För en EU-tillverkare av termostater kan modulleverantören lämna modulförsäkran, en komponentförteckning, noteringar om firmware-versioner och kontaktuppgifter för sårbarheter. Termostattillverkaren skriver ändå termostatens riskbedömning för cybersäkerhet, tekniska dokumentation, EU-försäkran om överensstämmelse och grund för CE-märkning.

Båda skyldigheterna finns i artikel 13: dels tillbörlig aktsamhet för komponenterna du integrerar, dels den färdiga produktens tekniska dokumentation, bedömning av överensstämmelse, EU-försäkran om överensstämmelse och CE-märkning.

Den praktiska regeln är enkel: leverantörens underlag matar din akt. De ersätter den inte.

Användbara indata från leverantören är bland annat:

• Komponentidentitet: exakt modell, version, firmware-gren, batch eller hårdvarurevision.
• Väg för säkerhetsuppdateringar: vem som levererar rättningar till komponenten, hur du tar emot dem och hur de når din produkt.
• Programvaruförteckning eller komponentförteckning: tillräckligt med detaljer för att bevaka komponentens sårbarheter under stödperioden.
• Kontakt för sårbarheter: en verklig kanal för komponentens sårbarheter, inte bara en säljadress.
• Livscykeldatum: datum för försäljningsstopp och stödslut för modulen, SDK:n eller kortet.

För den djupare leverantörsgranskningen, använd frågeblanketten för leverantörs due diligence. Den här sidan upprepar inte den blanketten. Den förklarar bara var leverantörens underlag hör hemma i akten för den färdiga produkten.

Öppen källkod räknas som en tredjepartskomponent

Det mesta av firmware innehåller mer öppen källkod än köpt kod. CRA behandlar öppen källkod som vilken annan komponent som helst: due diligence-plikten omfattar den fria programvara med öppen källkod som du integrerar, även när ingen har sålt den till dig och inget avtal finns.

Underlaget ändrar form, inte plikten:

• Identiteten spelar fortfarande roll: dokumentera projektet, den exakta versionen och källan du hämtar den från, på samma sätt som du dokumenterar en betald modul.
• Bevakningen spelar fortfarande roll: biblioteket ska in i din komponentförteckning så att du kan bevaka sårbarheter under stödperioden.
• Rättningar går åt båda hållen: när du hittar en sårbarhet i en integrerad komponent rapporterar du den till projektet som underhåller den, och du rättar ändå din egen produkt. När du själv rättar komponenten delar du rättningen med underhållaren.

Det finns ingen leverantör att fråga, så granskningen riktas mot projektet självt: hur aktivt det är, hur det publicerar säkerhetsrättningar och om den version du låser fortfarande får dem.

När du importerar en färdig produkt med ett varumärke utanför EU

Att importera en färdig produkt är något annat. Produkten finns redan som en produkt med digitala element. Tillverkaren utanför EU behåller sitt namn eller varumärke på den. Ditt EU-företag är den första EU-aktör som släpper ut den på unionsmarknaden.

Det är ett importörsmönster.

Importörens uppgift är inte att återskapa tillverkarens tekniska dokumentation. Importören kontrollerar att tillverkaren har genomfört bedömningen av överensstämmelse och upprättat den tekniska dokumentationen, att CE-märkningen och EU-försäkran om överensstämmelse finns på plats och att den nödvändiga användarinformationen följer med produkten. Importören kontrollerar också att produktens identifiering, tillverkarens kontaktuppgifter och slutdatumet för stödperioden finns med.

Verifieringsmönstret följer av artikel 19. Importören ska kunna uppvisa en kopia av EU-försäkran om överensstämmelse i minst tio år efter att produkten släppts ut på marknaden eller under stödperioden, beroende på vilken period som är längst. Importören ska också säkerställa att den tekniska dokumentationen på begäran kan göras tillgänglig för marknadskontrollmyndigheterna.

En uppgift är din att lägga till: importören sätter sitt eget namn, sin postadress och sin digitala kontakt på produkten, förpackningen eller ett medföljande dokument.

Det är en verifieringsakt, inte en tillverkarakt.

Använd CRA-guiden för importörer för hela mottagningskontrollen. Den användbara skillnaden här är smalare: om produkten förblir den utomeuropeiska tillverkarens färdiga produkt verifierar du. Om du gör den till din produkt författar du.

Dokumentationskedjan: författa, verifiera eller spara en kopia

Den här tabellen är arbetsposten. Använd den per produktlinje, inte per leverantör. En leverantör kan förekomma i båda kolumnerna om du köper en modul till en produkt och importerar en färdig produkt från samma företag.

Kort sagt: samma leverantörsdokument kan spela två roller. För en integratör blir det underlag som indata till en akt för en färdig produkt. För en importör stöder det en verifieringspost före marknadstillträde.

Räkneexempel: samma Bluetooth/Wi-Fi-modul i två CRA-spår

Ta en trådlösmodul. Samma modell. Samma firmware. Samma leverantör.

CRA-arbetet ändras när inköpsmönstret ändras.

Scenario A: EU-tillverkaren av termostater integrerar modulen.
Du bygger en uppkopplad termostat under ditt varumärke. Du köper Bluetooth/Wi-Fi-modulen och bygger in den i ditt kretskort. Modulleverantören ger dig datablad, firmware-version, säkerhetskontakt och uppgift om livscykel.

Du författar ändå termostatens akt. Din akt förklarar hur modulen påverkar parkoppling, exponering mot det lokala nätverket, leverans av uppdateringar, bevakning av sårbarheter och planering av stödperioden. Modulleverantörens underlag ligger i din bevissamling som indata.

Scenario B: EU-importören köper den färdiga termostaten.
Du köper en färdig termostat med ett varumärke utanför EU. Trådlösmodulen sitter redan i enheten. Tillverkaren utanför EU behåller sitt varumärke på kartongen, firmware, appen och försäkran.

Du verifierar tillverkarens dokumentation. Du skriver ingen ny teknisk akt för termostaten. Du sparar importens verifieringspost, kopian av försäkran och leverantörens åtaganden som behövs för att svara på en begäran från marknadskontrollen.

Samma modul ger olika arbete eftersom produkten som släpps ut på marknaden är en annan.

Så läser du leverantörens dokument utan att lita blint på dem

Leverantörens dokument är användbara när de svarar på en fråga om produkten. De är svaga när de bara säger "förenlig" utan spår av produkt, version eller stöd.

Börja med fem kontroller:

Leverantörsdokument	Vad det bör visa	Så använder du det
Modulförsäkran eller certifikat	Exakt produkt, modell och firmware-omfattning	Koppla den till komponentversionen i din produktpost
Programvaruförteckning eller komponentlista	Programvaru- och firmware-element som du kan bevaka	Mata din produktförteckning och sårbarhetsbevakning
Kontakt för sårbarheter	En väg för komponentens sårbarheter	Spara den i produktens sårbarhetsflöde
Uppgift om stöd eller livscykel	Hur länge komponenten får rättningar	Jämför den med din produkts stödperiod
Process för ändringsmeddelanden	Hur du får veta om ny firmware, nya chip eller nya SDK-versioner	Utlös en granskning av produktakten före lansering eller import

Kort sagt: dokumentet är bara användbart när det knyts till en namngiven produkt, version och ett beslut. En generisk PDF från leverantören utan artikelnummer, datum eller kontaktväg bör inte bära ett lanseringsbeslut.

För en integratör bör leverantörens paket svara på en fråga: kan den här delen sitta inne i produkten utan att försvaga produktens cybersäkerhet under stödperioden?

För en importör bör leverantörens paket svara på en annan fråga: har tillverkaren utanför EU gjort arbetet med den färdiga produkten, och kan du visa att du kontrollerade det innan produkten släpptes ut på EU-marknaden?

Poängen är inte att "samla fler filer". Poängen är att "avgöra vad varje fil bevisar innan du köper".

Grinden vid inköpsordern

Lägg rollbeslutet i inköpsprocessen. De huvudsakliga CRA-skyldigheterna gäller från den 11 december 2027, och allt du släpper ut på marknaden från och med det datumet behöver de här underlagen på plats. En efterlevnadsgranskning efter att varorna anlänt är sen, dyr och ofta politisk.

Innan inköpsordern skrivs under, ställ de här frågorna:

1. Vad köper vi? En komponent, ett kretskort, en SDK, ett molnberoende eller en färdig produkt.
2. Vems namn når marknaden? Ditt varumärke, leverantörens varumärke eller båda.
3. Ska vi ändra firmware, molnrouting, uppdateringsvägar eller säkerhetsstandarder? Varje ja kräver en rollgranskning.
4. Vilka underlag följer med delen? Försäkran, index till teknisk dokumentation, programvaruförteckning, stöddatum, kontakt för sårbarheter och användarinformation.
5. Vilka underlag författar vi? Markera dokumentationen för den färdiga produkten, försäkran och underlagen för stödperioden som dina bara när din produktidentitet når marknaden.
6. Vilka underlag verifierar vi? Markera leverantörens eller tillverkarens underlag som verifieringsbevis bara när den färdiga produkten förblir under leverantörens identitet.
7. Vilken händelse öppnar beslutet igen? Firmware-ändring, stödslut hos leverantören, ommärkning, ny modulrevision, ändrad molnändpunkt eller sårbarhetsmeddelande.

Köparen bör kunna svara på frågorna på en sida. Om det krävs en möteserie är inköpet inte redo för lanseringsplanering.

Vanliga misstag i inköpsledet

De här misstagen dyker upp innan utvecklingsteamet ser en sårbarhet. De börjar i inköp, egen märkning och mottagning.

• "Modulen är CE-märkt, så vår produktakt är klar": modulens märkning täcker inte den färdiga produktens arkitektur, uppdateringsväg, stödperiod eller riskbedömning. Behandla den som indata-dokumentation.
• "Leverantören säger CRA-förenlig, så vi kan importera": ett säljpåstående är ingen verifieringspost. Be om försäkran, index till teknisk dokumentation, uppgift om stödperiod, kontakt för sårbarheter och användarinformation.
• "Vi sätter vårt varumärke på den men kallar oss ändå importör": utsläppande under eget varumärke pekar mot arbete på tillverkarnivå. Använd guiden för white-label och OEM innan annonsen går live.
• "Vi ändrade firmware men behöll leverantörens försäkran": att ändra firmware, molnändpunkt eller uppdateringsväg kan ändra den bedömda produkten. Kör rollkontrollen innan du levererar.
• "Vi bara distribuerar, så ingen behöver kontrollera något": distributörer gör ändå aktsamhetskontroller innan de tillhandahåller produkter. Använd checklistan för distributörer för mottagningsdisken.

Den kortaste säkra regeln: om produkten ändras eller ditt namn blir källan, stanna och kör rollanalysen igen.

Gränsfall som täcks på andra sidor

Använd de här sidorna när verkligheten lämnar komponentvägvalet:

Gränsfall	Vart du går	Varför
Du säljer en OEM-produkt under ditt eget namn	Guide för white-label och OEM	Utsläppande under eget varumärke flyttar arbetet till tillverkarens område
Du behöver en leverantörsenkät	Frågeblankett för leverantörs due diligence	Den sidan äger varningssignaler, handböcker och klausuler
Du säljer bara vidare oförändrade produkter	Checklista för distributörer	Mottagningskontrollen fokuserar på synliga märken och dokument
Du behöver hela rollträdet	Vem som omfattas av CRA	Den här sidan ersätter inte rollklassificeringen
En juridisk person har flera roller	CRA-guide för flera roller	Staplade roller är ett problem på företagsportföljnivå

Kort sagt: länka vidare när frågan ändras. Gör inte en sida om komponentinköp till en allmän CRA-guide för roller.

Vilka bevis du bör spara innan produkten släpps på EU-marknaden

Börja med en produktlinje. Koppla sedan underlagen till den produktlinjen, inte till en generisk leverantörsmapp.

Använd den här ordningen:

1. Klassificera inköpshandlingen. Skriv integrerad komponent, import av färdig produkt, produkt med eget varumärke eller oförändrad återförsäljning bredvid artikelnumret.
2. Namnge dokumentets ägare. Markera den tekniska dokumentationen som vår, tillverkarens eller hålls inte.
3. Koppla leverantörens indata. Spara datablad, programvaruförteckningar, stöddatum, firmware-versioner, kontakter för sårbarheter och försäkran mot produktposten.
4. Dokumentera beslutet. Spara datum, granskare och skäl till att underlaget behandlas som författande, verifiering eller aktsamhetsbevis.
5. Sätt en granskningsutlösare. Öppna underlaget igen vid ändrad firmware hos leverantören, modulens slutdatum, sårbarhetsmeddelande, ommärkning, ändrad molnändpunkt eller ändrad stödperiod.