cms.ergasa.com

Tag: hotel robots

  • Όροι ασφάλειας ρομπότ CRA πριν την εγκατάσταση

    Οι όροι ασφάλειας ρομπότ CRA πρέπει να συμφωνούνται πριν από την εγκατάσταση και όχι μετά την πρώτη αποτυχημένη ενημέρωση ή το πρώτο περιστατικό. Ένα συνδεδεμένο ρομπότ υπηρεσιών μπορεί να συνδυάζει λογισμικό στη συσκευή, υπηρεσία cloud, απομακρυσμένη υποστήριξη, εφαρμογή κινητού και διασυνδέσεις με ανελκυστήρες ή πόρτες. Ο αγοραστής χρειάζεται σύμβαση που προσδιορίζει το προϊόν, τους υπεύθυνους οικονομικούς φορείς, την περίοδο υποστήριξης, τη διαδικασία ενημερώσεων και τα αποδεικτικά που θα είναι διαθέσιμα όταν παρουσιαστεί πρόβλημα.

    Η ημερομηνία κάνει τον έλεγχο άμεσο. Η σελίδα της Ευρωπαϊκής Επιτροπής για τον κανονισμό για την κυβερνοανθεκτικότητα αναφέρει ότι ο κανονισμός (ΕΕ) 2024/2847 τέθηκε σε ισχύ στις 10 Δεκεμβρίου 2024. Οι κύριες υποχρεώσεις εφαρμόζονται από τις 11 Δεκεμβρίου 2027, ενώ οι υποχρεώσεις αναφοράς του άρθρου 14 εφαρμόζονται από τις 11 Σεπτεμβρίου 2026. Αυτό δεν σημαίνει ότι κάθε ξενοδοχείο έγινε ρυθμιστική αρχή ή υπόχρεος αναφοράς. Σημαίνει ότι η προμήθεια πρέπει να εντοπίσει ποιος είναι ο κατασκευαστής βάσει του κανονισμού και αν μπορεί να εκπληρώσει τις υποχρεώσεις που ήδη ισχύουν.

    Κρίνετε αν το CRA καλύπτει το πακέτο ρομπότ

    Οι συχνές ερωτήσεις εφαρμογής της Επιτροπής περιγράφουν το CRA ως οριζόντιο πλαίσιο για προϊόντα υλικού και λογισμικού με ψηφιακά στοιχεία που διατίθενται στην αγορά της Ένωσης. Η σύνοψη της Επιτροπής αναφέρει ότι ένα προϊόν υπάγεται στο πεδίο όταν η προβλεπόμενη ή ευλόγως προβλέψιμη χρήση του περιλαμβάνει άμεση ή έμμεση λογική ή φυσική σύνδεση δεδομένων με συσκευή ή δίκτυο. Περιλαμβάνονται και λύσεις απομακρυσμένης επεξεργασίας δεδομένων όταν έχουν σχεδιαστεί ή αναπτυχθεί από τον κατασκευαστή, ή με ευθύνη του, και η απουσία τους θα εμπόδιζε λειτουργία του προϊόντος.

    Για ρομπότ ξενοδοχείου, η μονάδα από μόνη της μπορεί να είναι ελλιπής περιγραφή της αγοράς. Καταγράψτε μοντέλο, βάση φόρτισης, κονσόλα στόλου, εφαρμογή κινητού, πύλη cloud, απομακρυσμένη συντήρηση, διασύνδεση ανελκυστήρα, διασύνδεση πόρτας, λογισμικά στοιχεία που πωλούνται χωριστά και κάθε συνδρομή που απαιτείται για προβλεπόμενη λειτουργία. Ζητήστε από τον προμηθευτή να αντιστοιχίσει κάθε στοιχείο στον ορισμό του προϊόντος και να εξηγήσει κάθε εξαίρεση που επικαλείται. Η εμπορική ονομασία “ρομπότ AI” ή “έξυπνη συσκευή” δεν αποφασίζει τη νομική ταξινόμηση.

    Η σύμβαση πρέπει να καταγράφει πότε κάθε μονάδα διατίθεται στην αγορά της ΕΕ και αν μεταγενέστερη αλλαγή υλικού ή λογισμικού μπορεί να αποτελεί ουσιώδη τροποποίηση. Η Επιτροπή δημοσίευσε στις 27 Ιουλίου 2026 μη δεσμευτική καθοδήγηση εφαρμογής για το πεδίο, την απομακρυσμένη επεξεργασία, την ουσιώδη τροποποίηση, τις περιόδους υποστήριξης, την εκτίμηση κινδύνου και τις αναφορές. Η καθοδήγηση οργανώνει τον έλεγχο, αλλά δεσμευτικό κείμενο παραμένει ο κανονισμός (ΕΕ) 2024/2847. Μπορεί να απαιτείται ειδική νομική συμβουλή.

    Μην συγχωνεύετε τον έλεγχο CRA με τον φάκελο μηχανήματος. Μια κυβερνοαδυναμία μπορεί να επηρεάσει την ασφαλή κίνηση, την πέδηση ή τη λειτουργία στον ανελκυστήρα, οπότε έχουν σημασία και οι χωριστές απαιτήσεις για μηχανήματα. Η ανάλυση της Ergasa για τις απαιτήσεις κυβερνοασφάλειας σε αυτόνομα ρομπότ εξετάζει αυτή την αλυσίδα ασφάλειας. Τα δύο καθεστώτα μπορούν να χρησιμοποιήσουν κοινά αρχεία και δοκιμές, αλλά έχουν διαφορετικό πεδίο, ημερομηνίες και υπεύθυνα μέρη.

    Προσδιορίστε κατασκευαστή, εισαγωγέα και διανομέα

    Το CRA απευθύνει τις κύριες υποχρεώσεις σχεδιασμού, τεκμηρίωσης, χειρισμού ευπαθειών και αναφοράς στον κατασκευαστή. Η σύνοψη της Επιτροπής ορίζει ως κατασκευαστή το πρόσωπο που αναπτύσσει ή κατασκευάζει προϊόν με ψηφιακά στοιχεία, ή αναθέτει τον σχεδιασμό, την ανάπτυξη ή την κατασκευή του, και το διαθέτει με το όνομα ή το εμπορικό του σήμα. Ένα ξενοδοχείο που αγοράζει ρομπότ με το σήμα του OEM για δική του χρήση δεν γίνεται συνήθως κατασκευαστής μόνο επειδή το χρησιμοποιεί. Η απάντηση μπορεί να αλλάξει αν άλλη εταιρεία αλλάξει το σήμα του πακέτου ή το τροποποιήσει ουσιωδώς.

    Ο εξουσιοδοτημένος αντιπρόσωπος μη ενωσιακού κατασκευαστή εκτελεί μόνο τις εργασίες που καλύπτει η γραπτή εντολή του. Εισαγωγέας είναι το εγκατεστημένο στην ΕΕ πρόσωπο που διαθέτει στην αγορά το προϊόν κατασκευαστή τρίτης χώρας. Διανομέας είναι άλλο πρόσωπο της αλυσίδας που καθιστά το προϊόν διαθέσιμο χωρίς να επηρεάζει τις ιδιότητές του. Η σύνοψη ρόλων της Επιτροπής αναφέρει ότι οι εισαγωγείς ελέγχουν συγκεκριμένα στοιχεία συμμόρφωσης, τεκμηρίωσης και διαδικασιών του κατασκευαστή. Οι διανομείς ελέγχουν συγκεκριμένες σημάνσεις, στοιχεία επικοινωνίας, οδηγίες και τη δηλωμένη περίοδο υποστήριξης.

    Βάλτε νομικές επωνυμίες, καταχωρισμένες διευθύνσεις, σημεία επικοινωνίας και ρόλους στο παράρτημα της παραγγελίας. Μην αποδέχεστε τον όρο “ευρωπαϊκός συνεργάτης” ως νομικό ρόλο. Αν η προσφορά έρχεται από Έλληνα μεταπωλητή, εξακριβώστε αν είναι εισαγωγέας ή μόνο διανομέας. Αν ολοκληρωτής συστημάτων συνδυάζει το ρομπότ με δικό του λογισμικό ή πουλά το τελικό πακέτο με το όνομά του, ζητήστε την ταξινόμηση και την αιτιολόγησή της. Η σχετική ανάλυση της Ergasa για την ιδιότητα του κατασκευαστή εξηγεί γιατί η αλλαγή σήματος, η τελική συναρμολόγηση, η ίδια χρήση και η ουσιώδης τροποποίηση εξετάζονται χωριστά.

    Το ξενοδοχείο χρειάζεται και υπεύθυνο λειτουργίας. Ορίστε ποιος μπορεί να απομονώσει το ρομπότ, να διατηρήσει αρχεία, να επικοινωνήσει με τον προμηθευτή και να αποφασίσει αν επιτρέπεται επανεκκίνηση. Πρόκειται για συμβατικό και λειτουργικό έλεγχο, όχι για μεταφορά των υποχρεώσεων CRA του κατασκευαστή. Η συμφωνία πρέπει να ορίζει ποιος κάνει τις κανονιστικές αναφορές και ποιοι παρέχουν στοιχεία αρκετά γρήγορα για την τήρηση της προθεσμίας.

    Όροι ασφάλειας ρομπότ CRA στη σύμβαση

    Το άρθρο 13 και το παράρτημα I του CRA απαιτούν από τον κατασκευαστή να χειρίζεται ευπάθειες κατά την περίοδο υποστήριξης. Η σύνοψη της Επιτροπής αναφέρει ότι η ημερομηνία λήξης αυτής της περιόδου, με μήνα και έτος, πρέπει να δηλώνεται καθαρά και κατανοητά κατά την αγορά. Μια αόριστη υπόσχεση για “ενημερώσεις εφ’ όρου ζωής” δεν κοστολογείται και δεν ελέγχεται εύκολα. Ζητήστε ημερομηνία για κάθε στοιχείο, όπως ελεγκτής ρομπότ, εφαρμογή, πύλη στόλου και απομακρυσμένη υπηρεσία που απαιτείται για προβλεπόμενη λειτουργία.

    Το πρόγραμμα υποστήριξης πρέπει να λέει πώς ο προμηθευτής λαμβάνει αναφορές ευπαθειών, τις αναγνωρίζει, αξιολογεί τη σοβαρότητα, αναπτύσσει διόρθωση, τη δοκιμάζει, τη διανέμει και ενημερώνει το ξενοδοχείο. Πρέπει να κατονομάζει τις υποστηριζόμενες εκδόσεις και τους όρους λήξης της υποστήριξης. Προσθέστε περίοδο προειδοποίησης πριν από τη λήξη και ζητήστε μηχαναγνώσιμη απογραφή σχετικών στοιχείων όπου την προβλέπει η τεκμηρίωση του προϊόντος. Αν λειτουργία cloud θα σταματήσει μαζί με την υποστήριξη, η εμπορική συνέπεια πρέπει να μπει τώρα στο μοντέλο κόστους.

    Συμφωνήστε ότι οι ενημερώσεις ασφάλειας παρέχονται χωρίς χωριστή χρέωση κατά τη συμφωνημένη περίοδο όπου το CRA απαιτεί αυτό το αποτέλεσμα. Ορίστε εξουσιοδότηση επείγουσας ενημέρωσης, παράθυρα συντήρησης, επαναφορά, σημειώσεις έκδοσης, επαλήθευση ακεραιότητας όπου χρησιμοποιείται, δοκιμή συμβατότητας και αντίδραση σε αποτυχημένη ενημέρωση. Ο προμηθευτής πρέπει να αποκαλύπτει αν η αλλαγή επηρεάζει λειτουργίες ασφάλειας, προβλεπόμενη χρήση ή αξιολογημένη διαμόρφωση. Το ξενοδοχείο δεν πρέπει να εγκαθιστά τυφλά μη δοκιμασμένη απομακρυσμένη ενημέρωση σε ρομπότ που κινείται κοντά σε επισκέπτες.

    Ζητήστε διαδικασία για την περίπτωση που ο κατασκευαστής, ο πάροχος cloud ή ο διανομέας αποχωρήσει από την αγορά. Πρακτικές δικλίδες είναι η έγκαιρη ειδοποίηση, η εξαγωγή δεδομένων και διαμόρφωσης, η πρόσβαση σε αναγκαία τεκμηρίωση, η μεταβατική υπηρεσία και σαφείς κανόνες διαγραφής ή επιστροφής δεδομένων του ξενοδοχείου. Πρόκειται για διαπραγματεύσιμους ελέγχους κινδύνου. Το CRA δεν εγγυάται ότι κάθε ζητούμενη εμπορική προστασία θα προσφερθεί.

    Κάντε λειτουργική την αναφορά από 11 Σεπτεμβρίου 2026

    Από τις 11 Σεπτεμβρίου 2026 οι κατασκευαστές πρέπει να αναφέρουν ενεργά εκμεταλλευόμενες ευπάθειες και σοβαρά περιστατικά που επηρεάζουν την ασφάλεια προϊόντων με ψηφιακά στοιχεία. Η σελίδα αναφορών της Επιτροπής ορίζει έγκαιρη προειδοποίηση εντός 24 ωρών από τη γνώση, κύρια κοινοποίηση εντός 72 ωρών και διαφορετικές προθεσμίες τελικής έκθεσης για ευπάθειες και σοβαρά περιστατικά. Η ίδια σελίδα αναφέρει ότι ο κατασκευαστής υποβάλλει μέσω της Ενιαίας Πλατφόρμας Αναφοράς προς την αρμόδια CSIRT, ενώ οι πληροφορίες γίνονται ταυτόχρονα διαθέσιμες στον ENISA εκτός ιδιαίτερα εξαιρετικών περιστάσεων.

    Οι συχνές ερωτήσεις του ENISA για την πλατφόρμα εξηγούν ότι ενεργά εκμεταλλευόμενη ευπάθεια απαιτεί αξιόπιστα στοιχεία εκμετάλλευσης από κακόβουλο δράστη. Περιγράφουν επίσης σοβαρά περιστατικά με αναφορά στις επιπτώσεις σε διαθεσιμότητα, αυθεντικότητα, ακεραιότητα ή εμπιστευτικότητα και στα κριτήρια του άρθρου 14 παράγραφος 5. Μια απλή διακοπή Wi-Fi ή ένα συνηθισμένο σφάλμα εφαρμογής δεν είναι αυτομάτως αναφερόμενο περιστατικό CRA. Ο κατασκευαστής χρειάζεται καταγεγραμμένη διαδικασία διαλογής.

    Η σύμβαση του αγοραστή πρέπει να απαιτεί γρήγορη λειτουργική ειδοποίηση προς το ξενοδοχείο όταν επηρεάζεται προϊόν ή υπηρεσία που έχει εγκατασταθεί εκεί. Πρέπει επίσης να υποχρεώνει το ξενοδοχείο να διαβιβάζει χωρίς καθυστέρηση τα σχετικά στοιχεία, αρχεία και χρονικές σημάνσεις στον κατασκευαστή. Η διαδρομή ειδοποίησης χρειάζεται κατονομασμένες διευθύνσεις, κλιμάκωση εκτός ωραρίου και εναλλακτική όταν η συνήθης πύλη δεν λειτουργεί. Πρέπει να καλύπτει υπεργολάβους cloud και απομακρυσμένης υποστήριξης, επειδή η προθεσμία μπορεί να ξεκινά από τη γνώση του κατασκευαστή και όχι από το κλείσιμο του εσωτερικού αιτήματος του ξενοδοχείου.

    Μην υποσχεθείτε στο ξενοδοχείο αντίγραφο κάθε κανονιστικής υποβολής. Οι αναφορές μπορεί να περιέχουν ευαίσθητες πληροφορίες ευπάθειας, προσωπικά δεδομένα ή λεπτομέρειες με ελεγχόμενη διάδοση. Ο κατ’ εξουσιοδότηση κανονισμός (ΕΕ) 2026/881 προσδιορίζει τους όρους καθυστέρησης της ευρύτερης διάδοσης για λόγους κυβερνοασφάλειας. Ορίστε αντί γι’ αυτό την ελάχιστη ειδοποίηση πελάτη που χρειάζεται για προστασία λειτουργίας: επηρεαζόμενες εκδόσεις, γνωστή επίπτωση, περιορισμό, κατάσταση διόρθωσης, οδηγίες ασφαλούς χρήσης και χρόνο επόμενης ενημέρωσης.

    Η σελίδα του ENISA για την πλατφόρμα και το ενημερωτικό δελτίο αναφορών είναι πρακτικές αναφορές ετοιμότητας του προμηθευτή. Στον έλεγχο ζητήστε ποιος έχει εγγραφεί, ποιος ενεργεί ως εντεταλμένος εκπρόσωπος, ποια συντονίζουσα CSIRT εφαρμόζεται και ποιος έχει την απόφαση των 24 ωρών. Η γενική υπόσχεση ότι “η ομάδα ασφάλειας χειρίζεται τα περιστατικά” δεν απαντά σε αυτά.

    Ελέγξτε απομακρυσμένη πρόσβαση, ενημερώσεις και αποδεικτικά

    Η απομακρυσμένη υποστήριξη είναι συχνά χρήσιμη. Είναι επίσης διαδρομή προς μηχάνημα που κινείται, μεταφέρει φορτία ή λειτουργεί κοντά σε επισκέπτες. Η σύμβαση πρέπει να απαριθμεί κάθε μέθοδο απομακρυσμένης πρόσβασης, το νομικό πρόσωπο που τη λειτουργεί, τους επιτρεπόμενους σκοπούς, τη μέθοδο ταυτοποίησης, τη ροή έγκρισης, την καταγραφή συνεδρίας και τον έλεγχο τερματισμού. Ρωτήστε αν ο κατασκευαστής μπορεί να συνδεθεί χωρίς έγκριση του ξενοδοχείου και τι συμβαίνει όταν το δίκτυο του ξενοδοχείου δεν είναι διαθέσιμο.

    Απαιτήστε βασική γραμμή αποδοχής. Καταγράψτε σειριακούς αριθμούς, υλικολογισμικό, εφαρμογές, μισθωτή cloud, ρυθμίσεις σχετικές με ασφάλεια, χάρτες, διασυνδέσεις ανελκυστήρα και πόρτας, ρόλους χρηστών και ενεργούς απομακρυσμένους λογαριασμούς. Κρατήστε υπογεγραμμένες ή αλλιώς ελεγχόμενες εγγραφές έκδοσης. Μετά από κάθε ουσιώδη αλλαγή, συγκρίνετε τη νέα γραμμή με εκείνη που έγινε αποδεκτή. Αυτό δεν αποδεικνύει νομική συμμόρφωση, αλλά επιτρέπει στο ξενοδοχείο και στον προμηθευτή να εντοπίσουν τι άλλαξε.

    Τα αποδεικτικά πρέπει να συνδέονται με την έκδοση του προϊόντος. Ζητήστε δήλωση συμμόρφωσης ΕΕ όπου απαιτείται, οδηγίες χρήσης, ημερομηνία λήξης υποστήριξης, στοιχεία επικοινωνίας για ασφάλεια, οδηγίες ενημέρωσης και αρκετές τεχνικές πληροφορίες για ασφαλή λειτουργία. Ελέγξτε αν η στρατηγική συμμόρφωσης βασίζεται σε εναρμονισμένα πρότυπα, κοινές προδιαγραφές, σχήμα πιστοποίησης ή τρίτη αξιολόγηση. Η σελίδα τυποποίησης CRA της Επιτροπής αναφέρει ότι το αίτημα M/606 καλύπτει 41 οριζόντια και ειδικά ανά προϊόν πρότυπα. Η εργασία εξελίσσεται, άρα η σύμβαση πρέπει να κατονομάζει την ακριβή έκδοση και όχι να υπόσχεται αόριστα “ευρωπαϊκά πρότυπα”.

    Ορισμένες σημαντικές ή κρίσιμες κατηγορίες προϊόντων ακολουθούν διαφορετικές διαδικασίες αξιολόγησης. Η σύνοψη της Επιτροπής παραπέμπει στα παραρτήματα III και IV και στον εκτελεστικό κανονισμό (ΕΕ) 2025/2392 για τις τεχνικές περιγραφές. Μην υποθέσετε ότι κάθε ρομπότ υπηρεσιών είναι σημαντικό ή κρίσιμο. Μην υποθέσετε επίσης ότι είναι κοινό προϊόν επειδή το φυλλάδιο δεν αναφέρει κυβερνοασφάλεια. Η ταξινόμηση εξαρτάται από τη βασική λειτουργία και τις νομικές περιγραφές.

    Χρησιμοποιήστε πίνακα αποδοχής πριν από την πληρωμή

    Ερώτημα προμήθειας Αποδεικτικό που ζητείται Συμβατική συνέπεια
    Ποιο είναι το προϊόν με ψηφιακά στοιχεία; Πίνακας μοντέλου, λογισμικού, cloud και στοιχείων με προβλεπόμενες λειτουργίες Δεν γίνεται αποδοχή αν το πακέτο δεν συμφωνεί με τον πίνακα
    Ποιος είναι ο κατασκευαστής; Νομική επωνυμία, ρόλος εμπορικού σήματος και γραπτός χάρτης φορέων Κατονομασμένο μέρος έχει τα παραδοτέα και τη συνεργασία αναφοράς
    Ποιος εισάγει το μη ενωσιακό προϊόν; Ταυτότητα και στοιχεία επικοινωνίας εισαγωγέα ΕΕ Οι έλεγχοι εισαγωγέα και τα έγγραφα προηγούνται της τελικής πληρωμής
    Πόσο υποστηρίζεται κάθε στοιχείο; Μήνας και έτος λήξης, εκδόσεις και εξαρτήσεις υπηρεσιών Ορισμένα μέσα αν η υποστήριξη λήξει νωρίς ή σταματήσει αναγκαίο cloud
    Πώς χειρίζονται τις ευπάθειες; Κανάλι γνωστοποίησης, διαλογή, διαδικασία διόρθωσης και αρχεία έκδοσης Χρόνοι απόκρισης, κλιμάκωση, ενημερώσεις και συνεργασία είναι υποχρεώσεις
    Ποιος χειρίζεται αναφερόμενα συμβάντα; Εντεταλμένος εκπρόσωπος, διαδρομή CSIRT και υπεύθυνος 24 ωρών Ξενοδοχείο και προμηθευτής ανταλλάσσουν στοιχεία μέσω δοκιμασμένου καναλιού
    Ποιος έχει απομακρυσμένη πρόσβαση; Λογαριασμοί, ταυτοποίηση, κανόνες έγκρισης και αρχεία συνεδριών Το ξενοδοχείο μπορεί να αναστείλει πρόσβαση και να λάβει ίχνος ελέγχου
    Τι αποδεικνύει την έκδοση αποδοχής; Σειριακοί αριθμοί, λογισμικό, ρυθμίσεις, χάρτες, διασυνδέσεις και έκδοση Οι αλλαγές προκαλούν έλεγχο επίπτωσης και νέα αποδοχή όπου χρειάζεται

    Συνδέστε την πληρωμή με ελέγξιμα στοιχεία. Ένα ορόσημο μπορεί να απαιτεί πίνακα οικονομικών φορέων, οδηγίες, λήξη υποστήριξης, ασφαλή διαμόρφωση, διαδικασία ενημέρωσης, επαφές περιστατικών και αποδεκτή βασική έκδοση λογισμικού. Μην εξαρτάτε την πληρωμή από αόριστη δήλωση “συμμόρφωσης CRA” χωρίς να προσδιορίζετε τα αρχεία και τις δοκιμές που πρέπει να καλύπτει.

    Λάβετε υπόψη την εποπτεία. Το ευρωπαϊκό πλαίσιο εποπτείας της αγοράς λειτουργεί μαζί με τις διατάξεις εποπτείας του CRA. Η σύμβαση δεν εμποδίζει αρχή να λάβει μέτρα για προϊόν και δεν αντικαθιστά τις δημόσιες υποχρεώσεις του υπεύθυνου φορέα. Μπορεί να δώσει στο ξενοδοχείο πρόσβαση σε αρχεία, διόρθωση, αντικατάσταση, αναστολή, καταγγελία και συνεργασία όταν πρόβλημα απειλεί τη λειτουργία.

    Εφαρμόστε λίστα απόφασης και κοστολογήστε την έκθεση

    1. Καταγράψτε ακριβώς το ρομπότ, το λογισμικό, τις υπηρεσίες cloud, την απομακρυσμένη επεξεργασία και τις διασυνδέσεις.
    2. Ζητήστε την ανάλυση πεδίου CRA του προμηθευτή και την ταυτότητα κάθε οικονομικού φορέα.
    3. Επιβεβαιώστε κατασκευαστή, εισαγωγέα ΕΕ, εξουσιοδοτημένο αντιπρόσωπο και διανομέα.
    4. Καταγράψτε την ημερομηνία λήξης υποστήριξης για κάθε αναγκαίο στοιχείο υλικού και λογισμικού.
    5. Βάλτε στη σύμβαση παραλαβή ευπαθειών, διορθώσεις, εκδόσεις, επαναφορά και λήξη υποστήριξης.
    6. Δοκιμάστε τη διαδρομή περιστατικού, τις επαφές εκτός ωραρίου, τη μεταφορά στοιχείων και τον υπεύθυνο αναφοράς.
    7. Κλειδώστε τη βασική έκδοση προϊόντος και λογισμικού, μαζί με λογαριασμούς και διασυνδέσεις.
    8. Ελέγξτε διαδικασία συμμόρφωσης, εκδόσεις προτύπων, δηλώσεις, οδηγίες και αναγνωριστικά.
    9. Κοστολογήστε διακοπή, μετάβαση, απώλεια cloud, αποτυχημένη ενημέρωση και πρόωρη λήξη χωρίς επινοημένη εξοικονόμηση.
    10. Λάβετε νομική και τεχνική συμβουλή για αμφισβητούμενο πεδίο, ταξινόμηση, τροποποίηση ή αναφορά.

    Το οικονομικό μοντέλο πρέπει να ξεχωρίζει την τιμή αγοράς από την εξάρτηση υποστήριξης. Εκτιμήστε κόστος προγραμματισμένων ενημερώσεων, παραθύρων δοκιμής, αλλαγών δικτύου, ανταλλακτικών, χρόνου προσωπικού, εξωτερικού ελέγχου ασφάλειας, επείγοντος περιορισμού, εξαγωγής δεδομένων και αντικατάστασης αν λήξει η υποστήριξη. Χρησιμοποιήστε προσφορές προμηθευτών και λειτουργικά δεδομένα του ξενοδοχείου. Οι όροι ασφάλειας ρομπότ CRA πρέπει να κατανέμουν αυτά τα κόστη χωρίς να μετατρέπουν μια υποθετική πιθανότητα κυβερνοπεριστατικού σε ανυπόστατο ποσοστό ROI.

    Συχνές ερωτήσεις

    Εφαρμόζεται ήδη πλήρως το CRA στα ρομπότ ξενοδοχείων;

    Όχι. Οι υποχρεώσεις αναφοράς του άρθρου 14 εφαρμόζονται από 11 Σεπτεμβρίου 2026 και οι κύριες υποχρεώσεις από 11 Δεκεμβρίου 2027. Ορισμένες διατάξεις για οργανισμούς αξιολόγησης εφαρμόστηκαν νωρίτερα. Οι μεταβατικοί κανόνες και κάθε ουσιώδης τροποποίηση πρέπει να ελεγχθούν για το προϊόν.

    Πρέπει το ξενοδοχείο να αναφέρει ευπάθεια στην πλατφόρμα;

    Η υποχρεωτική υποχρέωση του άρθρου 14 που εξετάζεται εδώ απευθύνεται στους κατασκευαστές. Το ξενοδοχείο πρέπει να ενημερώσει γρήγορα τον υπεύθυνο προμηθευτή ή κατασκευαστή και να διατηρήσει στοιχεία. Δικές του υποχρεώσεις από άλλους νόμους, συμβάσεις ή κλαδικούς κανόνες χρειάζονται χωριστό έλεγχο.

    Είναι πάντα εισαγωγέας ο Έλληνας μεταπωλητής;

    Όχι. Η ιδιότητα εξαρτάται από το ποιος, εγκατεστημένος στην ΕΕ, διαθέτει στην αγορά το προϊόν του μη ενωσιακού κατασκευαστή. Ο Έλληνας μεταπωλητής μπορεί να είναι εισαγωγέας ή διανομέας. Ζητήστε γραπτή ταυτότητα και διαδρομή.

    Μπορεί ο προμηθευτής να υπόσχεται ενημερώσεις για αόριστη διάρκεια;

    Ο αγοραστής πρέπει να ζητά σαφή ημερομηνία λήξης υποστήριξης και να ορίζει τι συμβαίνει σε κάθε αναγκαία υπηρεσία μετά. Μια αόριστη υπόσχεση δεν αρκεί για αποδοχή, κοστολόγηση ή σχεδιασμό αντικατάστασης.

    Αποδεικνύει η σήμανση CE ότι η απομακρυσμένη υποστήριξη είναι ασφαλής;

    Όχι. Η σήμανση ανήκει σε πλαίσιο συμμόρφωσης. Δεν αντικαθιστά τον έλεγχο ταυτότητας προϊόντος, δήλωσης, οδηγιών, περιόδου υποστήριξης, σχεδιασμού απομακρυσμένης πρόσβασης και αποδεικτικών της διαδικασίας.

    Τι πρέπει να σταματήσει την τελική πληρωμή;

    Άγνωστοι οικονομικοί φορείς, απουσία ημερομηνίας υποστήριξης, μη δοκιμασμένη διαδρομή περιστατικού, ανεξέλεγκτη απομακρυσμένη πρόσβαση ή ασυμφωνία μεταξύ λογισμικού και εγγράφων είναι εύλογα σημεία αναστολής. Η σύμβαση πρέπει να ορίζει θεραπεία και δικαίωμα.

  • Hotel Robot CRA Contracts Before Deployment

    Hotel robot CRA contracts should be settled before installation, not after the first failed update or security incident. A connected service robot can combine on-device software, a cloud service, remote support, mobile applications and interfaces to lifts or doors. The buyer therefore needs a contract that identifies the product, the responsible economic operators, the support period, the update route and the evidence available when something goes wrong.

    The date makes this work immediate. The European Commission’s Cyber Resilience Act page says Regulation (EU) 2024/2847 entered into force on 10 December 2024. Its main obligations apply from 11 December 2027, while the Article 14 reporting obligations apply from 11 September 2026. That split is easy to miss. It does not mean every hotel has become a regulator or incident reporter. It means procurement teams should identify who is the manufacturer under the Act and test whether that party can perform the obligations that now apply.

    Decide whether the CRA covers the robot package

    The Commission’s implementation FAQ describes the CRA as a horizontal framework for hardware and software products with digital elements made available on the Union market. The Commission’s legislative summary says a product falls within scope when its intended purpose or reasonably foreseeable use includes a direct or indirect logical or physical data connection to a device or network. It also includes remote data processing solutions where the manufacturer designed or developed them, or had them developed under its responsibility, and the product would lose a function without them.

    For a hotel robot, the unit alone may be an incomplete description of the purchase. List the robot model, charging station, fleet console, mobile application, cloud portal, remote maintenance service, lift interface, door interface, software components sold separately and every subscription needed for an intended function. Ask the supplier to map each element to the product definition and to explain any exclusion it relies on. A sales label such as “AI robot” or “smart device” does not decide the legal classification.

    The contract should also record when each unit is placed on the EU market and whether a later hardware or software change could be a substantial modification. The Commission published non-binding implementation guidance on 27 July 2026 covering scope, remote data processing, substantial modification, support periods, risk assessment and reporting. That guidance helps structure questions, but the binding text remains Regulation (EU) 2024/2847. Product-specific legal advice may still be needed.

    Do not merge CRA review with the machinery file. A cyber weakness may affect safe motion, braking or lift behaviour, in which case the separate machinery requirements also matter. Ergasa’s analysis of cybersecurity-related Machinery EHSRs for autonomous robots covers that safety chain. The two regimes can use some of the same logs and tests, but they have different scope tests, dates and responsible parties.

    Identify the manufacturer, importer and distributor

    The CRA directs its main design, documentation, vulnerability-handling and reporting duties to the manufacturer. The Commission summary defines the manufacturer as the person that develops or manufactures a product with digital elements, or has it designed, developed or manufactured, and markets it under that person’s name or trademark. A hotel buying an OEM-branded robot for its own operations will not normally fit that description merely because it uses the product. The answer can change if another company rebrands the package or substantially modifies it.

    A non-EU manufacturer’s European authorised representative can perform only the tasks covered by its written mandate. The importer is the EU-established person that places a non-EU manufacturer’s product on the Union market. The distributor is another supply-chain person that makes the product available without affecting its properties. The Commission’s role summary says importers must check specified conformity, documentation and manufacturer-process elements, while distributors must verify specified markings, contact information, instructions and the indicated support period.

    Put legal names, registered addresses, contact points and roles into the order schedule. Do not accept “European partner” as a role. If the offer comes through a Greek reseller, establish whether it is the importer or only a distributor. If a systems integrator combines the robot with its own software or sells the finished package under its name, ask for its classification and the reasoning behind it. The related Ergasa manufacturer-classification analysis explains why branding, final assembly, own use and substantial modification should be tested separately.

    The hotel also needs an operational owner. Name the person who can isolate the robot, preserve logs, contact the supplier and decide whether service may resume. This is a contract and incident-management control, not a transfer of the manufacturer’s CRA duties. The purchase agreement should say which party makes regulatory reports and which parties must provide facts quickly enough for the reporter to meet the deadline.

    Put hotel robot CRA contracts into the order

    Article 13 and Annex I of the CRA require the manufacturer to manage vulnerabilities during the product’s support period. The Commission summary says the end date of that period, including month and year, must be stated clearly and understandably at purchase. A vague promise of “lifetime updates” is hard to price and harder to enforce. Ask for a dated period for every product element, including the robot controller, application, fleet portal and any remote service necessary for an intended function.

    The support schedule should state how the supplier receives vulnerability reports, acknowledges them, assesses severity, develops a correction, tests it, distributes it and tells the hotel what to do. It should identify the supported software branches and the conditions that end support. Add a notice period before end of support and require a machine-readable inventory of relevant components where the product documentation provides one. If a cloud function will stop when support ends, the commercial consequence belongs in the price model now.

    Contract for security updates to be supplied without separate charge during the agreed support period where the CRA requires that result. Define emergency update authority, planned maintenance windows, rollback, release notes, cryptographic verification where used, compatibility testing and the response when an update fails. The supplier should disclose whether an update changes safety-related functions, intended use or the assessed configuration. The hotel should not install an untested remote update blindly on a robot moving around guests.

    Ask what happens to vulnerability handling if the manufacturer, cloud provider or distributor exits the market. Useful safeguards can include advance notice, data export, configuration export, continued access to essential documentation, a transition service and clear deletion or return rules for hotel data. These are negotiated risk controls. The CRA does not guarantee that every requested commercial protection will be available.

    Make the 11 September 2026 reporting route operational

    From 11 September 2026, manufacturers must report actively exploited vulnerabilities and severe incidents affecting the security of products with digital elements. The Commission’s reporting page sets out an early warning within 24 hours of awareness, a main notification within 72 hours, and final-report deadlines that differ for vulnerabilities and severe incidents. The same page says manufacturers submit through the Single Reporting Platform to the coordinating CSIRT, with information also made available to ENISA except in particularly exceptional circumstances.

    ENISA’s Single Reporting Platform FAQ explains that an actively exploited vulnerability requires reliable evidence of exploitation by a malicious actor. It also describes severe incidents by reference to impact on availability, authenticity, integrity or confidentiality and the criteria in Article 14(5). A failed Wi-Fi connection or routine application error is not automatically a reportable CRA event. The manufacturer needs a documented triage process.

    The buyer’s contract should require a rapid operational notice to the hotel when an affected product or service is deployed on its premises. It should also require the hotel to pass relevant facts, logs and timestamps to the manufacturer without delay. The notice route needs named addresses, out-of-hours escalation and an alternative if the normal portal is unavailable. It should cover subcontracted cloud and remote-support providers because the reporting clock may start from the manufacturer’s awareness, not from the hotel’s internal ticket closure.

    Do not promise the hotel a copy of every regulatory submission. Reports can contain sensitive vulnerability information, personal data or details whose dissemination is controlled. Commission Delegated Regulation (EU) 2026/881 specifies conditions for delaying wider dissemination on cybersecurity grounds. Instead, define the minimum customer notice needed to protect operations: affected versions, observed impact, containment, patch status, safe-use instructions and the next update time.

    The ENISA SRP page and its reporting factsheet are practical references for supplier readiness. During due diligence, ask who is registered, who acts as the assigned representative, which coordinating CSIRT applies and who owns the 24-hour decision. A generic promise that the security team “handles incidents” does not answer those questions.

    Control remote access, updates and evidence

    Remote support is often commercially useful. It is also a route into a machine that may move, carry loads or operate near guests. The contract should list every remote access method, the legal entity operating it, permitted purposes, authentication method, approval workflow, session logging and termination control. Ask whether the manufacturer can connect without hotel approval and what happens when the hotel network is unavailable.

    Require an acceptance baseline. Record serial numbers, firmware, applications, cloud tenant, safety-related settings, maps, lift and door integrations, user roles and active remote accounts. Keep signed or otherwise controlled release records. After each material change, compare the new baseline to the one that was accepted. This does not prove legal conformity, but it lets the hotel and supplier identify what actually changed.

    Evidence should connect claims to the product version. Ask for the EU declaration of conformity where required, user instructions, the support-period end date, security-contact details, update instructions and enough technical information to operate the product securely. For conformity strategy, check whether the manufacturer relies on harmonised standards, common specifications, a certification scheme or third-party assessment. The Commission’s CRA standardisation page says request M/606 covers 41 horizontal and product-specific standards. Standards work is moving, so the contract should name the exact edition used rather than promising unspecified “EU standards”.

    Some important or critical product categories face different conformity routes. The Commission summary points to Annexes III and IV and to Implementing Regulation (EU) 2025/2392 for technical descriptions. Do not assume that every service robot is important or critical, and do not assume that the robot is ordinary merely because its brochure omits cybersecurity language. Classification depends on the product’s core functionality and the legal descriptions.

    Use the acceptance table before payment

    Procurement question Evidence to request Contract consequence
    What is the product with digital elements? Model, software, cloud and component schedule with intended functions No acceptance until the supplied package matches the schedule
    Who is the manufacturer? Legal name, trademark role and written economic-operator map Named party owns manufacturer deliverables and reporting cooperation
    Who imports the non-EU product? EU importer identity and contact details Importer checks and document delivery are conditions before final payment
    How long is each element supported? Month and year for end of support, supported branches and service dependencies Defined remedies if support ends early or a necessary cloud function stops
    How are vulnerabilities handled? Disclosure channel, triage process, patch route and release records Response times, escalation, update duties and cooperation are written obligations
    Who handles reportable events? Assigned representative, coordinating CSIRT route and 24-hour owner Hotel and supplier exchange facts through a tested emergency channel
    Who can access the robot remotely? Account list, authentication design, approval rules and session logs Hotel can suspend access and obtain an audit trail
    What proves the accepted version? Serials, firmware, configurations, maps, interfaces and signed release record Changes trigger documented impact review and, where needed, renewed acceptance

    Tie payment to evidence that can be checked. A useful milestone might require the economic-operator schedule, user instructions, support end date, secure configuration, update procedure, incident contacts and accepted software baseline. Do not make payment depend on a vague statement of “CRA compliance” without listing the records and tests that statement is meant to cover.

    Keep enforcement in view. The EU market-surveillance framework sits alongside the CRA’s own surveillance provisions. A contract cannot stop an authority from taking action against a product, and it cannot replace the responsible operator’s public-law duties. It can give the hotel access to records, corrective action, replacement, suspension, termination and cooperation when a problem threatens operations.

    Run the decision checklist and price the exposure

    1. List the exact robot, software, cloud services, remote processing and integrations being bought.
    2. Ask the supplier for its CRA scope analysis and the identity of each economic operator.
    3. Confirm which party is the manufacturer, EU importer, authorised representative and distributor.
    4. Record the support-period end date for every necessary hardware and software element.
    5. Write vulnerability intake, patching, release, rollback and end-of-support obligations into the contract.
    6. Test the incident route, including out-of-hours contacts, evidence transfer and the manufacturer’s reporting owner.
    7. Freeze the accepted product and software baseline, including remote accounts and hotel integrations.
    8. Check the stated conformity route, standards editions, declarations, instructions and product identifiers.
    9. Price downtime, transition, cloud loss, update failure and early support withdrawal without inventing savings.
    10. Obtain legal and technical advice for disputed scope, classification, modification or reporting questions.

    The economic model should separate purchase price from support dependency. Estimate the cost of planned updates, testing windows, network changes, spare hardware, staff time, external security review, emergency containment, data export and replacement if support ends. Use supplier quotes and hotel operating data. Hotel robot CRA contracts should allocate these costs without turning a guessed probability of cyber failure into a polished ROI percentage.

    Frequently asked questions

    Does the CRA already apply in full to hotel robots?

    No. Reporting obligations under Article 14 apply from 11 September 2026, while the main obligations apply from 11 December 2027. Some conformity-body provisions applied earlier. The transition rules and any substantial modification still need to be checked for the actual product.

    Must the hotel report a robot vulnerability through the SRP?

    The mandatory Article 14 duty discussed here is directed to manufacturers. The hotel should notify the responsible supplier or manufacturer quickly and preserve relevant evidence. Its own duties under other laws, contracts or sector rules require a separate review.

    Is the Greek reseller always the importer?

    No. Importer status depends on who, while established in the EU, places the non-EU manufacturer’s product on the Union market. A Greek reseller may be an importer or a distributor. Obtain the legal identity and route in writing.

    Can a supplier promise updates for an undefined lifetime?

    A buyer should require a clear end date for the support period and identify what happens to each necessary service after that date. An undefined promise is not a workable basis for acceptance, pricing or replacement planning.

    Does a CE mark prove that remote support is secure?

    No. The mark is part of a conformity framework, not a substitute for checking product identity, the declaration, instructions, support period, remote access design and the evidence behind the stated conformity route.

    What should stop final payment?

    Missing economic-operator identities, no dated support period, an untested incident route, uncontrolled remote access or a mismatch between the delivered software baseline and the documents are reasonable hold points. The contract should define the exact cure and remedy.

  • Hotel robot landed cost: importer-duty model

    Hotel robot landed cost: an importer-duty model

    Hotel robot landed cost cannot be read from a direct Asian factory quote. A direct quote and an EU distributor quote are not comparable until the buyer identifies the importer, fixes the customs classification, builds the customs and VAT bases, and prices the work after arrival. The cheap quote can still be the better one. It is simply not the number that reaches a Greek hotel.

    Decide who imports before comparing prices

    A Greek hotel usually sees two commercial routes. Under the first, an EU distributor sells a robot already placed on the Union market. Under the second, the hotel or a related Greek company buys from a manufacturer outside the EU and arranges entry. The second route may remove a distributor margin, but it can also move customs debt, product-compliance checks, transport risk and working-capital demands onto the Greek buyer.

    The first question is therefore not the unit price. It is the identity of the importer of record and the economic operator that places the machine on the EU market. The contract, customs declaration and product documentation must tell the same story. A freight forwarder can file a declaration as a representative, but paying a broker does not automatically transfer the buyer’s commercial or product-law responsibilities.

    The European Commission’s importation guidance explains that non-EU goods enter free circulation through a customs declaration after applicable duty and other requirements are handled. An operator also needs an EORI number for customs clearance. Those are operational gates, not paperwork to discover after a container arrives.

    Write the route on one page before requesting revised quotes. Name the seller, buyer, importer, declarant, customs representative, delivery point and party responsible for conformity evidence. If any field says “to be agreed”, the landed-cost comparison is not ready.

    Classification sets the duty question

    There is no universal customs duty rate called “hotel robot duty”. Goods must be classified according to their characteristics and function. A delivery robot, cleaning robot and mobile information unit may have different hardware, payloads, communications functions and principal purposes. Marketing labels do not settle the code.

    The Commission’s TARIC database combines tariff and other EU measures. Access2Markets lets an importer check product codes, duties, taxes, procedures and product requirements. Both are research tools. They still require an accurate product description and a defensible code.

    For recurring or material imports, a Binding Tariff Information decision can provide a binding classification. The Commission states that a BTI is generally valid for three years, binds customs administrations and the holder, and is not retroactive. An application therefore has to be made before the planned customs formalities, with complete product information.

    Ask the supplier for a technical pack rather than an HS code in an email. It should describe chassis and drive system, navigation hardware, manipulator or lift, payload, charging equipment, radios, screens, cameras, intended function and supplied accessories. Give that pack to the customs adviser. Record the code, legal basis, duty measure, origin assumption, evidence date and reviewer in the model. If the code is still disputed, model a range and hold a contingency instead of choosing the lowest rate.

    Build customs value from the transaction

    The Union Customs Code uses transaction value as the primary basis where its conditions are met. This starts with the price actually paid or payable for goods sold for export to the Union, then applies the required adjustments. A low commercial invoice is not enough if other payments form part of the deal.

    The Commission’s customs valuation summary lists additions that may include commissions and brokerage, containers and packing, buyer-supplied assists, qualifying royalties, seller proceeds, and transport-related costs up to entry into the EU customs territory. It also distinguishes items such as post-entry transport, post-entry assembly or maintenance, interest and buying commission when the legal conditions for exclusion are met.

    That distinction matters for robot projects. A package may combine the machine, charging dock, spare battery, remote software, mapping, hotel integration, training and maintenance. Do not put the entire purchase order into one customs-value cell. Split every line by supplier, timing, location of performance and contractual condition. Then ask which amounts belong in customs value and which remain separate project costs. The customs adviser, not the spreadsheet author, should approve the treatment.

    Incoterms allocate specified costs and risks between buyer and seller, but they do not by themselves determine customs classification, customs value, importer status or product compliance. Capture the Incoterm and named place exactly. Then reconcile the commercial invoice, freight invoice, insurance, packing, royalties, free-of-charge engineering and any later payment to the manufacturer.

    Hotel robot landed cost has separate tax layers

    Once classification and customs value are supported, import duty can be modelled as customs value multiplied by the applicable duty rate, subject to the actual tariff measure and any valid origin treatment. Preferential treatment is evidence-driven. The Access2Markets customs document guide explains that proof of origin supports claims for reduced or nil duties under the relevant arrangement. A supplier’s country address is not proof that the robot qualifies.

    Import VAT has its own base. Articles 85 and 86 of the VAT Directive start from customs value and add specified duties, taxes, charges and incidental expenses where they are not already included. The Commission’s taxable-amount guidance describes that structure for imported goods.

    VAT may be recoverable for a taxable business when the substantive and documentary conditions are met, but recoverable does not mean cash-free. The importer may need to fund it at clearance and recover or offset it later under the applicable Greek process. The finance model should therefore show both gross cash at the border and the eventual non-recoverable project cost. It should also show the timing gap. A model that simply deletes recoverable VAT understates the funding requirement.

    Layer Model input Control question
    Supplier price Machine and included accessories Which services or later payments sit outside the invoice?
    Customs value Transaction value plus required additions Which freight, insurance, packing, assists or royalties must be added?
    Import duty Customs value times verified tariff rate Is classification and origin evidence documented?
    Import VAT base Customs value, duty and applicable additions Which incidental expenses extend to the first destination?
    Border cash Duty, VAT, broker, port and handling payments When is each amount payable and to whom?
    Ready-to-operate cost Border cash plus inland work and deployment What remains before hotel acceptance?

    A worked scenario shows where the quote moves

    Consider a fictional purchase with a EUR 40,000 machine price, EUR 4,000 freight to the EU entry point and EUR 400 transport insurance. Assume, only for the mechanics of the model, a 4% duty rate and a 24% VAT rate. Neither percentage is a claim about a real robot or transaction. Add EUR 1,200 of expenses assumed to enter the VAT base after customs value, EUR 500 for clearance, and EUR 6,000 for inland delivery, mapping, integration, training and acceptance work.

    Illustrative line Calculation EUR
    Customs value assumption 40,000 + 4,000 + 400 44,400.00
    Duty assumption 44,400 × 4% 1,776.00
    VAT base assumption 44,400 + 1,776 + 1,200 47,376.00
    Import VAT cash assumption 47,376 × 24% 11,370.24
    Total gross cash to acceptance All listed cash lines 65,246.24

    The EUR 65,246.24 figure is not the accounting cost if VAT is later deductible, and it excludes financing cost, downtime, spares beyond the example, software renewals and internal staff time. It is a cash map. The exercise exposes why a EUR 40,000 quote cannot be compared directly with an EU offer delivered and commissioned at a hotel.

    Run at least three cases. The base case uses the documented code and current quotes. The downside case raises freight, delay, storage and remediation allowances and assumes slower VAT recovery. The stop case answers a harder question: what cash is lost if conformity evidence fails before deployment and the machine must be stored, corrected or re-exported? The point is not to manufacture precision. It is to show where the decision breaks.

    Importer duty also means product obligations

    Customs release and CE marking answer different questions. Clearance does not certify that a robot is safe or lawfully placed on the market. The Commission’s guidance for importers and distributors says an importer of non-EU products must check the applicable EU safety, health and environmental requirements, verify that the manufacturer took the necessary steps, and ensure that required documentation is available.

    For machinery and related products, Article 13 of Regulation (EU) 2023/1230 sets importer obligations under the new machinery regime. The regulation applies from 20 January 2027 under its corrected transition text. Projects crossing that date need a documented decision on which regime applies when the actual configured product is placed on the market or put into service.

    Before final payment, match the declaration of conformity to the exact model, serial or batch identity and supplied configuration. Check the manufacturer, EU economic operator details, instructions, language, applicable legislation, standards claimed, software version, safety functions and technical-document access route. A CE logo in a brochure is not the audit.

    This work should connect to the wider procurement file. Ergasa’s earlier analysis of the machinery transition for Greek hotels explains the regulatory timing, while the hotel robot capex and funding model separates funding eligibility from procurement readiness. Import cost belongs beside both, not in an isolated freight worksheet.

    Use a decision checklist before deposit and shipment

    1. Name the buyer, importer of record, declarant and customs representative in writing.
    2. Obtain and validate the importer’s EORI before shipment planning.
    3. Collect a technical product pack detailed enough for classification.
    4. Record the proposed CN or TARIC code, duty measure, origin basis, evidence date and reviewer.
    5. Split the contract into goods, pre-entry costs, post-entry services, software, training and maintenance.
    6. Reconcile Incoterm, named place, invoice, freight, insurance, assists, royalties and later payments.
    7. Build customs value, duty, import VAT base, border cash and ready-to-operate cost as separate layers.
    8. Model VAT recovery timing separately from eventual net cost.
    9. Audit the declaration of conformity and technical-document route against the exact machine.
    10. Make deposit, shipment, customs release and final acceptance separate approval gates.
    11. Hold contingency for classification, delay, storage, testing, corrective work and re-export.
    12. Stop if the importer identity, classification basis or conformity evidence remains unresolved.

    Uncertainty belongs in the model

    The tariff rate cannot be verified from the phrase “service robot”. Customs value can change when freight, assists, royalties or related-party terms are understood. Import VAT treatment and recovery timing depend on the importer and the Greek tax facts. Product obligations depend on the machine, intended purpose, configuration and date of market placement. These are not footnotes. Each one can move cash or stop deployment.

    A sound hotel robot landed cost comparison gives each uncertain input an owner, evidence link, review date and decision deadline. It preserves the supplier’s quote, classification file, customs advice, VAT advice, conformity documents and versioned cost model. The purchasing decision is ready when the direct-import route still works under a defensible downside case and the hotel knows exactly which obligations it has accepted.

    FAQ

    Is the hotel always the importer when it buys directly from Asia?

    No. The answer depends on the commercial and customs structure, representation and contract. Identify the importer of record and relevant economic operator from the actual documents. Do not infer it from who arranged freight or paid the supplier.

    Can the supplier’s HS code be copied into the customs declaration?

    It is a lead, not a conclusion. Classification depends on the product presented to EU customs. Review the full technical configuration against CN and TARIC material, and consider BTI where the exposure justifies a binding decision.

    Does a zero duty rate mean the import has no border tax?

    No. Import VAT and clearance or handling cash may still arise, and a zero rate itself must come from the correct classification and any required origin evidence. Product compliance obligations also remain.

    Should recoverable import VAT be excluded from the business case?

    Show it twice. Exclude deductible VAT from eventual net project cost only when advisers confirm the conditions, but include the amount and timing in the cash-flow model until the recovery or offset occurs.

    Does customs release prove the robot is CE compliant?

    No. Customs release and product conformity are separate controls. The importer still needs the applicable declaration, documentation, traceability, instructions and evidence for the exact robot configuration.