3. 核心术语与定义
《欧盟网络弹性法案》（CRA，Cyber Resilience Act）作为一部具有强制约束力的法规，其条款的适用与执行高度依赖于对关键术语的精确界定。在合规工作中，一个常见的误区是将日常商业用语中的“供应商”或“厂商”直接等同于法规中的“制造商”，从而在责任划分、文件准备和通报义务上产生偏差。本章将系统拆解CRA框架下的六大核心角色与“数字元素”这一关键客体，帮助学员建立清晰的法律主体认知地图，为后续章节中具体的合规流程（如合格评定、技术文件编制）奠定基础。
3.1 数字元素：CRA的规制客体
核心原理：“数字元素”（Digital Elements）是CRA定义的规制对象，它并非指代某一类具体的物理设备，而是一个抽象的法律概念。根据CRA第3条第1款，数字元素包括软件、硬件及数据处理组件。这一宽泛的定义旨在覆盖从物联网传感器、智能网关到云端应用程序、操作系统内核在内的所有具备网络连接能力或可被间接访问的数字化产品组件。理解这一概念的关键在于区分“数字元素”与“包含数字元素的完整产品”（如一辆汽车或一台医疗设备）。CRA的适用范围聚焦于数字元素本身，除非该元素是最终产品的关键组件且该产品不在其他特定行业法规（如医疗器械MDR、汽车型式认证）的同等安全要求覆盖范围内。
判断方法：在实务中，判断一个组件是否属于CRA管辖的“数字元素”，可遵循以下三步逻辑：
- 连接性测试：该组件是否直接或间接连接到互联网或其他网络？若完全离线且无网络接口，则通常不属于CRA范畴。
- 数据交互性测试：该组件是否处理、存储或传输数字数据？即便是本地蓝牙连接，只要涉及数据交换，即可能被纳入。
- 独立性与关键性测试：该组件是否作为独立产品投放市场，或者作为关键组件嵌入到受其他法规约束的成品中？若为后者，需核查该成品法规是否已覆盖网络安全要求。
3.2 制造商：核心责任主体
核心原理：制造商（Manufacturer）是CRA中责任最重、义务最全的主体。CRA第3条第2款定义制造商为“以其名义或商标开发数字元素，或委托他人开发数字元素，并将其投放市场或投入使用的自然人或法人”。这一定义的关键在于“名义或商标”的归属。即使实际生产由代工厂（OEM/ODM）完成，只要产品以品牌商的名称销售，该品牌商即为法律意义上的制造商，必须承担全部合规义务，包括：进行合格评定、起草EU符合性声明、贴上CE标志、建立漏洞处理流程、向监管机构通报严重漏洞等。
操作流程：制造商的核心合规路径可归纳为以下闭环：
- 设计阶段：将“安全默认”（Security by Design）原则嵌入产品开发流程，完成威胁建模与风险评估。
- 上市前：依据附件I（安全要求）和附件II（漏洞处理要求）进行自我评估或通过第三方机构进行合格评定，编制技术文件。
- 上市时：签署EU符合性声明，在产品、包装或随附文件上加贴CE标志，并明确制造商名称、注册商号或注册商标及联系方式。
- 上市后：建立漏洞报告与响应机制，在发现活跃利用漏洞时，于24小时内向监管机构通报，并在72小时内提供更新报告。
3.3 进口商与分销商：市场准入与流通环节的把关者
核心原理：进口商（Importer）是指“在欧盟境内设立，将来自第三国的数字元素投放欧盟市场的自然人或法人”。分销商（Distributor）则指“在供应链中提供数字元素，但不改变其特性的自然人或法人”。两者的核心区别在于产品是否跨越欧盟边境。进口商是欧盟市场的“第一道闸门”，而分销商是流通环节的“中间商”。CRA对两者的要求虽不及制造商严格，但均设定了尽职核查义务。
判断与操作流程：
| 义务维度 | 进口商（Importer） | 分销商（Distributor） |
|---|---|---|
| 核查范围 | 核查制造商是否履行了合格评定、是否准备技术文件、产品是否贴有CE标志及制造商联系方式 | 核查产品是否贴有CE标志、是否附有EU符合性声明及使用说明 |
| 信息标识 | 必须在产品上标明进口商名称和联系地址，或至少在包装/随附文件中注明 | 无需额外标识，但需能识别制造商和进口商信息 |
| 风险应对 | 若怀疑产品不符合要求，不得投放市场；若已投放，需立即通知监管机构并采取纠正措施 | 若怀疑产品不符合要求，需暂停供应，并与制造商/进口商协作整改 |
| 记录保存 | 保存制造商和授权代表（如有）的合规文件副本，保存期10年 | 保存供应商信息及合规文件副本，保存期10年 |
案例拆解：一家中国深圳的智能摄像头制造商（A公司）希望将产品销往欧盟。德国汉堡的一家贸易公司（B公司）负责进口，法国的一家电商平台（C公司）负责在线销售。
- B公司（进口商）在接收货物时，必须验证A公司是否已按CRA要求完成合格评定并贴上CE标志。若B公司发现A公司未提供EU符合性声明，则必须拒绝进口，否则将承担与制造商同等的法律责任。
- C公司（分销商）在法国上架销售前，需检查产品包装上是否有CE标志及A公司和B公司的联系方式。若C公司收到消费者关于摄像头被黑客入侵的投诉，必须立即下架并通知B公司和法国监管机构。
3.4 授权代表与其他经济运营商
核心原理：授权代表（Authorised Representative）是制造商在欧盟境内的“代理人”。CRA规定，若制造商位于欧盟境外，则必须指定一名设在欧盟境内的授权代表。授权代表的职责包括：与监管机构沟通、提供技术文件、配合监管机构采取纠正措施。值得注意的是，授权代表不承担制造商的实质性合规义务（如设计安全产品），但若其违反代理职责（如提供虚假信息），将面临独立处罚。
其他经济运营商：除了上述四类主要角色，CRA还提及了“其他经济运营商”的概念，主要包括：
- 履行服务商（Fulfilment Service Providers）：为产品提供仓储、包装、发货服务的第三方。若其未履行基本核查义务，可能被视同进口商或分销商。
- 开源软件管理者（Open Source Software Stewards）：针对开源软件组件，CRA引入了“管理者”概念，负责收集漏洞信息并协调修复，但不承担商业化的全部责任。
3.5 术语辨析与合规策略总结
核心原理：准确理解术语的边界是构建合规体系的第一步。下表总结了各角色在CRA下的核心义务强度与常见混淆点：
| 术语 | 核心义务强度 | 常见混淆点 | 合规建议 |
|---|---|---|---|
| 数字元素 | 客体（无义务） | 与“产品”混淆 | 按功能模块拆分识别 |
| 制造商 | ★★★★★（全责） | 与“代工厂”混淆 | 以商标归属判定 |
| 进口商 | ★★★☆☆（核查+连带） | 与“分销商”混淆 | 以是否跨境判定 |
| 分销商 | ★★☆☆☆（核查） | 与“零售商”混淆 | 关注供应链位置 |
| 授权代表 | ★★☆☆☆（代理） | 与“进口商”混淆 | 仅限欧盟外制造商 |
操作流程：对于企业而言，建议按以下步骤进行自我定位：
- 绘制产品供应链图：明确每个组件的来源、加工方、品牌归属和销售路径。
- 角色匹配：根据CRA定义，将企业自身及合作伙伴对号入座。
- 差距分析：对照各角色的义务清单，识别当前合规能力的短板（如是否具备漏洞响应流程）。
- 合同调整：通过商业合同明确各方责任，但需注意合同不能对抗监管机构的执法。