分销商义务 (Art. 17)
概述
分销商 (Distributor) 是供应链中在不充当制造商或进口商的情况下将含数字元素的产品提供到市场上的经济运营方。CRA 对其规定了尽职调查义务，主要集中在验证和合作方面。
法律依据
Art. 17 CRA： 分销商在将含数字元素的产品提供到市场上时，应对本法规的要求尽到应有的注意义务。
Art. 3 No. 22 CRA： "分销商"是指供应链中在不充当制造商或进口商的情况下将含数字元素的产品提供到市场上的任何自然人或法人。
BAUER GROUP 何时属于分销商？
BAUER GROUP 在以下情况下充当分销商：
- 将来自其他制造商的成品软件产品转售给客户（未进行自身修改）
- 将带有第三方制造商嵌入式软件的硬件供应给最终客户
- 通过自有网店或市场平台提供产品，且 BAUER GROUP 既非制造商也非进口商
区别
- 分销商 --> 未修改的转销
- 进口商 --> 非欧盟产品的首次投放市场
- 制造商 --> 自有产品或实质性修改 (--> Art. 20)
详细义务
1. 尽职调查（Art. 17 第1款）
在产品提供到市场前，分销商必须验证：
- [ ] 产品带有 CE 标志
- [ ] 欧盟符合性声明（或带 URL 的简化版本）已附随
- [ ] 制造商已在产品上提供联系方式
- [ ] 对于进口产品：进口商已提供其联系方式
- [ ] 产品具有唯一标识（类型、批次、序列号）
2. 不合规时的分销停止（Art. 17 第2款）
如果分销商有理由认为产品不合规：
- 在确认合规之前不得将产品提供到市场
- 通知制造商或进口商
- 如存在严重风险，通知市场监管机构
3. 存储和运输条件（Art. 17 第3款）
确保存储和运输不会损害合规性：
- 确保软件分发介质的完整性
- 使用安全的下载渠道
- 分发过程中不得篡改软件
4. 与机构合作（Art. 17 第4款）
应市场监管机构要求：
- 提供所有必要的信息和文件
- 协助消除风险
- 能够识别制造商和进口商
5. 报告义务（Art. 17 第5款）
获悉被积极利用的漏洞或严重事件时：
- 立即通知制造商
- 如制造商未回应：通知进口商
- 如两者均未回应：直接向 ENISA 和国家 CSIRT 报告
6. 纠正措施（Art. 17 第6款）
如果分销商确认已分销的产品不合规：
- 采取纠正措施（召回、向客户发出警告）
- 通知市场监管机构
- 记录所有措施
分销商检查清单
提供到市场前
- [ ] 已验证 CE 标志
- [ ] 欧盟符合性声明可用（或简化版本的 URL）
- [ ] 产品上有制造商联系方式
- [ ] 进口商联系方式（如为非欧盟产品）已标注
- [ ] 产品标识已存在
- [ ] 无不合规或严重风险的信息
持续性
- [ ] 跟踪客户投诉和安全警告
- [ ] 将制造商安全公告转发给客户
- [ ] 支持制造商的召回行动
- [ ] 分发渠道完整性已保障
分销商与进口商的区别
| 标准 | 分销商 | 进口商 |
|---|---|---|
| 角色 | 提供到市场 | 首次投放市场 |
| 验证深度 | 形式验证（CE、DoC） | 实质验证（合格评定） |
| 自身标识 | 不要求 | 强制（名称、地址） |
| 文件保留 | 未明确要求 | 10年义务 |
| ENISA 报告义务 | 辅助性（如制造商未回应） | 辅助性（如制造商未回应） |
责任与处罚
| 违规行为 | 处罚 |
|---|---|
| 明知不合规仍提供产品 | 最高1500万欧元或年营业额的2.5% |
| 未履行尽职调查义务 | 最高1000万欧元或年营业额的2% |
| 向主管机构提供虚假信息 | 最高500万欧元或年营业额的1% |
详情：处罚