Art. 3(18)Un distributore è qualsiasi persona fisica o giuridica nella catena di approvvigionamento, diversa dal produttore o dall'importatore, che rende disponibile un prodotto con elementi digitali sul mercato dell'Unione senza modificarne le proprietà.
11 dicembre 2024 — Il CRA entra in vigore
Il regolamento è giuridicamente in vigore. I prodotti immessi sul mercato a partire da questa data devono essere conformi al CRA una volta raggiunte le date di applicazione.
11 settembre 2026 — Si applicano gli obblighi di segnalazione delle vulnerabilità
La segnalazione di vulnerabilità e incidenti all'ENISA ai sensi dell'art. 14 diventa obbligatoria. Questa è la prima scadenza definitiva. I produttori devono avere i propri processi di segnalazione operativi prima di questa data.
11 giugno 2027 — Notifica degli organismi di valutazione della conformità
Gli Stati membri devono notificare alla Commissione gli organismi di valutazione della conformità.
11 dicembre 2027 — Si applica il regolamento completo
Tutti i requisiti del CRA si applicano a tutti i prodotti nel suo ambito. Nessun nuovo prodotto non conforme può essere immesso sul mercato dell'UE.
Nel mettere a disposizione sul mercato un prodotto con elementi digitali, i distributori devono agire con la dovuta diligenza e verificare che il prodotto rechi la marcatura CE, sia accompagnato dalla documentazione e dalle informazioni richieste e che il fabbricante e l'importatore (ove applicabile) abbiano rispettato i loro obblighi di etichettatura e identificazione.
Qualora un distributore ritenga o abbia motivo di ritenere che un prodotto non sia conforme ai requisiti essenziali del CRA, il distributore non deve mettere il prodotto a disposizione sul mercato fino al raggiungimento della conformità e deve notificare il fabbricante e, ove applicabile, l'autorità di vigilanza del mercato.
I distributori devono garantire che, mentre un prodotto con elementi digitali è sotto la loro responsabilità, le condizioni di stoccaggio e trasporto non pregiudichino la sua conformità ai requisiti essenziali di cybersicurezza.
Se un distributore viene a conoscenza che un prodotto messo a disposizione sul mercato non è conforme, deve adottare immediatamente misure correttive inclusi il ritiro o il richiamo se necessario. Laddove il prodotto presenti un rischio significativo di cybersicurezza, deve immediatamente notificare la pertinente autorità nazionale di vigilanza del mercato.
Su richiesta motivata di un'autorità competente, i distributori devono fornire tutte le informazioni e la documentazione necessarie a dimostrare la conformità di un prodotto e cooperare a qualsiasi azione correttiva richiesta da tale autorità.
Un importatore o distributore è considerato fabbricante — e quindi soggetto alla totalità degli articoli 13 e 14 — se immette sul mercato un prodotto con elementi digitali con il proprio nome o marchio commerciale, oppure se apporta una modifica sostanziale a un prodotto già immesso sul mercato.
Qualsiasi persona fisica o giuridica — diversa dal fabbricante, importatore o distributore originali — che apporti una modifica sostanziale a un prodotto e lo metta a disposizione sul mercato è considerata fabbricante. Tale persona è quindi soggetta agli articoli 13 e 14, per la parte del prodotto interessata dalla modifica o, se la modifica incide sulla cybersicurezza dell'intero prodotto, per il prodotto nella sua totalità.
Tutti gli operatori economici devono essere in grado, su richiesta delle autorità di vigilanza del mercato, di identificare (a) qualsiasi operatore economico che abbia fornito loro un prodotto e (b) qualsiasi operatore economico al quale abbiano fornito un prodotto. I registri devono essere conservati per 10 anni a decorrere da ciascuna transazione.
Esplora la libreria completa degli obblighi, comprendi il tuo ruolo o visualizza il calendario.