cms.ergasa.com

Tag: Procurement

  • Όροι ασφάλειας ρομπότ CRA πριν την εγκατάσταση

    Οι όροι ασφάλειας ρομπότ CRA πρέπει να συμφωνούνται πριν από την εγκατάσταση και όχι μετά την πρώτη αποτυχημένη ενημέρωση ή το πρώτο περιστατικό. Ένα συνδεδεμένο ρομπότ υπηρεσιών μπορεί να συνδυάζει λογισμικό στη συσκευή, υπηρεσία cloud, απομακρυσμένη υποστήριξη, εφαρμογή κινητού και διασυνδέσεις με ανελκυστήρες ή πόρτες. Ο αγοραστής χρειάζεται σύμβαση που προσδιορίζει το προϊόν, τους υπεύθυνους οικονομικούς φορείς, την περίοδο υποστήριξης, τη διαδικασία ενημερώσεων και τα αποδεικτικά που θα είναι διαθέσιμα όταν παρουσιαστεί πρόβλημα.

    Η ημερομηνία κάνει τον έλεγχο άμεσο. Η σελίδα της Ευρωπαϊκής Επιτροπής για τον κανονισμό για την κυβερνοανθεκτικότητα αναφέρει ότι ο κανονισμός (ΕΕ) 2024/2847 τέθηκε σε ισχύ στις 10 Δεκεμβρίου 2024. Οι κύριες υποχρεώσεις εφαρμόζονται από τις 11 Δεκεμβρίου 2027, ενώ οι υποχρεώσεις αναφοράς του άρθρου 14 εφαρμόζονται από τις 11 Σεπτεμβρίου 2026. Αυτό δεν σημαίνει ότι κάθε ξενοδοχείο έγινε ρυθμιστική αρχή ή υπόχρεος αναφοράς. Σημαίνει ότι η προμήθεια πρέπει να εντοπίσει ποιος είναι ο κατασκευαστής βάσει του κανονισμού και αν μπορεί να εκπληρώσει τις υποχρεώσεις που ήδη ισχύουν.

    Κρίνετε αν το CRA καλύπτει το πακέτο ρομπότ

    Οι συχνές ερωτήσεις εφαρμογής της Επιτροπής περιγράφουν το CRA ως οριζόντιο πλαίσιο για προϊόντα υλικού και λογισμικού με ψηφιακά στοιχεία που διατίθενται στην αγορά της Ένωσης. Η σύνοψη της Επιτροπής αναφέρει ότι ένα προϊόν υπάγεται στο πεδίο όταν η προβλεπόμενη ή ευλόγως προβλέψιμη χρήση του περιλαμβάνει άμεση ή έμμεση λογική ή φυσική σύνδεση δεδομένων με συσκευή ή δίκτυο. Περιλαμβάνονται και λύσεις απομακρυσμένης επεξεργασίας δεδομένων όταν έχουν σχεδιαστεί ή αναπτυχθεί από τον κατασκευαστή, ή με ευθύνη του, και η απουσία τους θα εμπόδιζε λειτουργία του προϊόντος.

    Για ρομπότ ξενοδοχείου, η μονάδα από μόνη της μπορεί να είναι ελλιπής περιγραφή της αγοράς. Καταγράψτε μοντέλο, βάση φόρτισης, κονσόλα στόλου, εφαρμογή κινητού, πύλη cloud, απομακρυσμένη συντήρηση, διασύνδεση ανελκυστήρα, διασύνδεση πόρτας, λογισμικά στοιχεία που πωλούνται χωριστά και κάθε συνδρομή που απαιτείται για προβλεπόμενη λειτουργία. Ζητήστε από τον προμηθευτή να αντιστοιχίσει κάθε στοιχείο στον ορισμό του προϊόντος και να εξηγήσει κάθε εξαίρεση που επικαλείται. Η εμπορική ονομασία “ρομπότ AI” ή “έξυπνη συσκευή” δεν αποφασίζει τη νομική ταξινόμηση.

    Η σύμβαση πρέπει να καταγράφει πότε κάθε μονάδα διατίθεται στην αγορά της ΕΕ και αν μεταγενέστερη αλλαγή υλικού ή λογισμικού μπορεί να αποτελεί ουσιώδη τροποποίηση. Η Επιτροπή δημοσίευσε στις 27 Ιουλίου 2026 μη δεσμευτική καθοδήγηση εφαρμογής για το πεδίο, την απομακρυσμένη επεξεργασία, την ουσιώδη τροποποίηση, τις περιόδους υποστήριξης, την εκτίμηση κινδύνου και τις αναφορές. Η καθοδήγηση οργανώνει τον έλεγχο, αλλά δεσμευτικό κείμενο παραμένει ο κανονισμός (ΕΕ) 2024/2847. Μπορεί να απαιτείται ειδική νομική συμβουλή.

    Μην συγχωνεύετε τον έλεγχο CRA με τον φάκελο μηχανήματος. Μια κυβερνοαδυναμία μπορεί να επηρεάσει την ασφαλή κίνηση, την πέδηση ή τη λειτουργία στον ανελκυστήρα, οπότε έχουν σημασία και οι χωριστές απαιτήσεις για μηχανήματα. Η ανάλυση της Ergasa για τις απαιτήσεις κυβερνοασφάλειας σε αυτόνομα ρομπότ εξετάζει αυτή την αλυσίδα ασφάλειας. Τα δύο καθεστώτα μπορούν να χρησιμοποιήσουν κοινά αρχεία και δοκιμές, αλλά έχουν διαφορετικό πεδίο, ημερομηνίες και υπεύθυνα μέρη.

    Προσδιορίστε κατασκευαστή, εισαγωγέα και διανομέα

    Το CRA απευθύνει τις κύριες υποχρεώσεις σχεδιασμού, τεκμηρίωσης, χειρισμού ευπαθειών και αναφοράς στον κατασκευαστή. Η σύνοψη της Επιτροπής ορίζει ως κατασκευαστή το πρόσωπο που αναπτύσσει ή κατασκευάζει προϊόν με ψηφιακά στοιχεία, ή αναθέτει τον σχεδιασμό, την ανάπτυξη ή την κατασκευή του, και το διαθέτει με το όνομα ή το εμπορικό του σήμα. Ένα ξενοδοχείο που αγοράζει ρομπότ με το σήμα του OEM για δική του χρήση δεν γίνεται συνήθως κατασκευαστής μόνο επειδή το χρησιμοποιεί. Η απάντηση μπορεί να αλλάξει αν άλλη εταιρεία αλλάξει το σήμα του πακέτου ή το τροποποιήσει ουσιωδώς.

    Ο εξουσιοδοτημένος αντιπρόσωπος μη ενωσιακού κατασκευαστή εκτελεί μόνο τις εργασίες που καλύπτει η γραπτή εντολή του. Εισαγωγέας είναι το εγκατεστημένο στην ΕΕ πρόσωπο που διαθέτει στην αγορά το προϊόν κατασκευαστή τρίτης χώρας. Διανομέας είναι άλλο πρόσωπο της αλυσίδας που καθιστά το προϊόν διαθέσιμο χωρίς να επηρεάζει τις ιδιότητές του. Η σύνοψη ρόλων της Επιτροπής αναφέρει ότι οι εισαγωγείς ελέγχουν συγκεκριμένα στοιχεία συμμόρφωσης, τεκμηρίωσης και διαδικασιών του κατασκευαστή. Οι διανομείς ελέγχουν συγκεκριμένες σημάνσεις, στοιχεία επικοινωνίας, οδηγίες και τη δηλωμένη περίοδο υποστήριξης.

    Βάλτε νομικές επωνυμίες, καταχωρισμένες διευθύνσεις, σημεία επικοινωνίας και ρόλους στο παράρτημα της παραγγελίας. Μην αποδέχεστε τον όρο “ευρωπαϊκός συνεργάτης” ως νομικό ρόλο. Αν η προσφορά έρχεται από Έλληνα μεταπωλητή, εξακριβώστε αν είναι εισαγωγέας ή μόνο διανομέας. Αν ολοκληρωτής συστημάτων συνδυάζει το ρομπότ με δικό του λογισμικό ή πουλά το τελικό πακέτο με το όνομά του, ζητήστε την ταξινόμηση και την αιτιολόγησή της. Η σχετική ανάλυση της Ergasa για την ιδιότητα του κατασκευαστή εξηγεί γιατί η αλλαγή σήματος, η τελική συναρμολόγηση, η ίδια χρήση και η ουσιώδης τροποποίηση εξετάζονται χωριστά.

    Το ξενοδοχείο χρειάζεται και υπεύθυνο λειτουργίας. Ορίστε ποιος μπορεί να απομονώσει το ρομπότ, να διατηρήσει αρχεία, να επικοινωνήσει με τον προμηθευτή και να αποφασίσει αν επιτρέπεται επανεκκίνηση. Πρόκειται για συμβατικό και λειτουργικό έλεγχο, όχι για μεταφορά των υποχρεώσεων CRA του κατασκευαστή. Η συμφωνία πρέπει να ορίζει ποιος κάνει τις κανονιστικές αναφορές και ποιοι παρέχουν στοιχεία αρκετά γρήγορα για την τήρηση της προθεσμίας.

    Όροι ασφάλειας ρομπότ CRA στη σύμβαση

    Το άρθρο 13 και το παράρτημα I του CRA απαιτούν από τον κατασκευαστή να χειρίζεται ευπάθειες κατά την περίοδο υποστήριξης. Η σύνοψη της Επιτροπής αναφέρει ότι η ημερομηνία λήξης αυτής της περιόδου, με μήνα και έτος, πρέπει να δηλώνεται καθαρά και κατανοητά κατά την αγορά. Μια αόριστη υπόσχεση για “ενημερώσεις εφ’ όρου ζωής” δεν κοστολογείται και δεν ελέγχεται εύκολα. Ζητήστε ημερομηνία για κάθε στοιχείο, όπως ελεγκτής ρομπότ, εφαρμογή, πύλη στόλου και απομακρυσμένη υπηρεσία που απαιτείται για προβλεπόμενη λειτουργία.

    Το πρόγραμμα υποστήριξης πρέπει να λέει πώς ο προμηθευτής λαμβάνει αναφορές ευπαθειών, τις αναγνωρίζει, αξιολογεί τη σοβαρότητα, αναπτύσσει διόρθωση, τη δοκιμάζει, τη διανέμει και ενημερώνει το ξενοδοχείο. Πρέπει να κατονομάζει τις υποστηριζόμενες εκδόσεις και τους όρους λήξης της υποστήριξης. Προσθέστε περίοδο προειδοποίησης πριν από τη λήξη και ζητήστε μηχαναγνώσιμη απογραφή σχετικών στοιχείων όπου την προβλέπει η τεκμηρίωση του προϊόντος. Αν λειτουργία cloud θα σταματήσει μαζί με την υποστήριξη, η εμπορική συνέπεια πρέπει να μπει τώρα στο μοντέλο κόστους.

    Συμφωνήστε ότι οι ενημερώσεις ασφάλειας παρέχονται χωρίς χωριστή χρέωση κατά τη συμφωνημένη περίοδο όπου το CRA απαιτεί αυτό το αποτέλεσμα. Ορίστε εξουσιοδότηση επείγουσας ενημέρωσης, παράθυρα συντήρησης, επαναφορά, σημειώσεις έκδοσης, επαλήθευση ακεραιότητας όπου χρησιμοποιείται, δοκιμή συμβατότητας και αντίδραση σε αποτυχημένη ενημέρωση. Ο προμηθευτής πρέπει να αποκαλύπτει αν η αλλαγή επηρεάζει λειτουργίες ασφάλειας, προβλεπόμενη χρήση ή αξιολογημένη διαμόρφωση. Το ξενοδοχείο δεν πρέπει να εγκαθιστά τυφλά μη δοκιμασμένη απομακρυσμένη ενημέρωση σε ρομπότ που κινείται κοντά σε επισκέπτες.

    Ζητήστε διαδικασία για την περίπτωση που ο κατασκευαστής, ο πάροχος cloud ή ο διανομέας αποχωρήσει από την αγορά. Πρακτικές δικλίδες είναι η έγκαιρη ειδοποίηση, η εξαγωγή δεδομένων και διαμόρφωσης, η πρόσβαση σε αναγκαία τεκμηρίωση, η μεταβατική υπηρεσία και σαφείς κανόνες διαγραφής ή επιστροφής δεδομένων του ξενοδοχείου. Πρόκειται για διαπραγματεύσιμους ελέγχους κινδύνου. Το CRA δεν εγγυάται ότι κάθε ζητούμενη εμπορική προστασία θα προσφερθεί.

    Κάντε λειτουργική την αναφορά από 11 Σεπτεμβρίου 2026

    Από τις 11 Σεπτεμβρίου 2026 οι κατασκευαστές πρέπει να αναφέρουν ενεργά εκμεταλλευόμενες ευπάθειες και σοβαρά περιστατικά που επηρεάζουν την ασφάλεια προϊόντων με ψηφιακά στοιχεία. Η σελίδα αναφορών της Επιτροπής ορίζει έγκαιρη προειδοποίηση εντός 24 ωρών από τη γνώση, κύρια κοινοποίηση εντός 72 ωρών και διαφορετικές προθεσμίες τελικής έκθεσης για ευπάθειες και σοβαρά περιστατικά. Η ίδια σελίδα αναφέρει ότι ο κατασκευαστής υποβάλλει μέσω της Ενιαίας Πλατφόρμας Αναφοράς προς την αρμόδια CSIRT, ενώ οι πληροφορίες γίνονται ταυτόχρονα διαθέσιμες στον ENISA εκτός ιδιαίτερα εξαιρετικών περιστάσεων.

    Οι συχνές ερωτήσεις του ENISA για την πλατφόρμα εξηγούν ότι ενεργά εκμεταλλευόμενη ευπάθεια απαιτεί αξιόπιστα στοιχεία εκμετάλλευσης από κακόβουλο δράστη. Περιγράφουν επίσης σοβαρά περιστατικά με αναφορά στις επιπτώσεις σε διαθεσιμότητα, αυθεντικότητα, ακεραιότητα ή εμπιστευτικότητα και στα κριτήρια του άρθρου 14 παράγραφος 5. Μια απλή διακοπή Wi-Fi ή ένα συνηθισμένο σφάλμα εφαρμογής δεν είναι αυτομάτως αναφερόμενο περιστατικό CRA. Ο κατασκευαστής χρειάζεται καταγεγραμμένη διαδικασία διαλογής.

    Η σύμβαση του αγοραστή πρέπει να απαιτεί γρήγορη λειτουργική ειδοποίηση προς το ξενοδοχείο όταν επηρεάζεται προϊόν ή υπηρεσία που έχει εγκατασταθεί εκεί. Πρέπει επίσης να υποχρεώνει το ξενοδοχείο να διαβιβάζει χωρίς καθυστέρηση τα σχετικά στοιχεία, αρχεία και χρονικές σημάνσεις στον κατασκευαστή. Η διαδρομή ειδοποίησης χρειάζεται κατονομασμένες διευθύνσεις, κλιμάκωση εκτός ωραρίου και εναλλακτική όταν η συνήθης πύλη δεν λειτουργεί. Πρέπει να καλύπτει υπεργολάβους cloud και απομακρυσμένης υποστήριξης, επειδή η προθεσμία μπορεί να ξεκινά από τη γνώση του κατασκευαστή και όχι από το κλείσιμο του εσωτερικού αιτήματος του ξενοδοχείου.

    Μην υποσχεθείτε στο ξενοδοχείο αντίγραφο κάθε κανονιστικής υποβολής. Οι αναφορές μπορεί να περιέχουν ευαίσθητες πληροφορίες ευπάθειας, προσωπικά δεδομένα ή λεπτομέρειες με ελεγχόμενη διάδοση. Ο κατ’ εξουσιοδότηση κανονισμός (ΕΕ) 2026/881 προσδιορίζει τους όρους καθυστέρησης της ευρύτερης διάδοσης για λόγους κυβερνοασφάλειας. Ορίστε αντί γι’ αυτό την ελάχιστη ειδοποίηση πελάτη που χρειάζεται για προστασία λειτουργίας: επηρεαζόμενες εκδόσεις, γνωστή επίπτωση, περιορισμό, κατάσταση διόρθωσης, οδηγίες ασφαλούς χρήσης και χρόνο επόμενης ενημέρωσης.

    Η σελίδα του ENISA για την πλατφόρμα και το ενημερωτικό δελτίο αναφορών είναι πρακτικές αναφορές ετοιμότητας του προμηθευτή. Στον έλεγχο ζητήστε ποιος έχει εγγραφεί, ποιος ενεργεί ως εντεταλμένος εκπρόσωπος, ποια συντονίζουσα CSIRT εφαρμόζεται και ποιος έχει την απόφαση των 24 ωρών. Η γενική υπόσχεση ότι “η ομάδα ασφάλειας χειρίζεται τα περιστατικά” δεν απαντά σε αυτά.

    Ελέγξτε απομακρυσμένη πρόσβαση, ενημερώσεις και αποδεικτικά

    Η απομακρυσμένη υποστήριξη είναι συχνά χρήσιμη. Είναι επίσης διαδρομή προς μηχάνημα που κινείται, μεταφέρει φορτία ή λειτουργεί κοντά σε επισκέπτες. Η σύμβαση πρέπει να απαριθμεί κάθε μέθοδο απομακρυσμένης πρόσβασης, το νομικό πρόσωπο που τη λειτουργεί, τους επιτρεπόμενους σκοπούς, τη μέθοδο ταυτοποίησης, τη ροή έγκρισης, την καταγραφή συνεδρίας και τον έλεγχο τερματισμού. Ρωτήστε αν ο κατασκευαστής μπορεί να συνδεθεί χωρίς έγκριση του ξενοδοχείου και τι συμβαίνει όταν το δίκτυο του ξενοδοχείου δεν είναι διαθέσιμο.

    Απαιτήστε βασική γραμμή αποδοχής. Καταγράψτε σειριακούς αριθμούς, υλικολογισμικό, εφαρμογές, μισθωτή cloud, ρυθμίσεις σχετικές με ασφάλεια, χάρτες, διασυνδέσεις ανελκυστήρα και πόρτας, ρόλους χρηστών και ενεργούς απομακρυσμένους λογαριασμούς. Κρατήστε υπογεγραμμένες ή αλλιώς ελεγχόμενες εγγραφές έκδοσης. Μετά από κάθε ουσιώδη αλλαγή, συγκρίνετε τη νέα γραμμή με εκείνη που έγινε αποδεκτή. Αυτό δεν αποδεικνύει νομική συμμόρφωση, αλλά επιτρέπει στο ξενοδοχείο και στον προμηθευτή να εντοπίσουν τι άλλαξε.

    Τα αποδεικτικά πρέπει να συνδέονται με την έκδοση του προϊόντος. Ζητήστε δήλωση συμμόρφωσης ΕΕ όπου απαιτείται, οδηγίες χρήσης, ημερομηνία λήξης υποστήριξης, στοιχεία επικοινωνίας για ασφάλεια, οδηγίες ενημέρωσης και αρκετές τεχνικές πληροφορίες για ασφαλή λειτουργία. Ελέγξτε αν η στρατηγική συμμόρφωσης βασίζεται σε εναρμονισμένα πρότυπα, κοινές προδιαγραφές, σχήμα πιστοποίησης ή τρίτη αξιολόγηση. Η σελίδα τυποποίησης CRA της Επιτροπής αναφέρει ότι το αίτημα M/606 καλύπτει 41 οριζόντια και ειδικά ανά προϊόν πρότυπα. Η εργασία εξελίσσεται, άρα η σύμβαση πρέπει να κατονομάζει την ακριβή έκδοση και όχι να υπόσχεται αόριστα “ευρωπαϊκά πρότυπα”.

    Ορισμένες σημαντικές ή κρίσιμες κατηγορίες προϊόντων ακολουθούν διαφορετικές διαδικασίες αξιολόγησης. Η σύνοψη της Επιτροπής παραπέμπει στα παραρτήματα III και IV και στον εκτελεστικό κανονισμό (ΕΕ) 2025/2392 για τις τεχνικές περιγραφές. Μην υποθέσετε ότι κάθε ρομπότ υπηρεσιών είναι σημαντικό ή κρίσιμο. Μην υποθέσετε επίσης ότι είναι κοινό προϊόν επειδή το φυλλάδιο δεν αναφέρει κυβερνοασφάλεια. Η ταξινόμηση εξαρτάται από τη βασική λειτουργία και τις νομικές περιγραφές.

    Χρησιμοποιήστε πίνακα αποδοχής πριν από την πληρωμή

    Ερώτημα προμήθειας Αποδεικτικό που ζητείται Συμβατική συνέπεια
    Ποιο είναι το προϊόν με ψηφιακά στοιχεία; Πίνακας μοντέλου, λογισμικού, cloud και στοιχείων με προβλεπόμενες λειτουργίες Δεν γίνεται αποδοχή αν το πακέτο δεν συμφωνεί με τον πίνακα
    Ποιος είναι ο κατασκευαστής; Νομική επωνυμία, ρόλος εμπορικού σήματος και γραπτός χάρτης φορέων Κατονομασμένο μέρος έχει τα παραδοτέα και τη συνεργασία αναφοράς
    Ποιος εισάγει το μη ενωσιακό προϊόν; Ταυτότητα και στοιχεία επικοινωνίας εισαγωγέα ΕΕ Οι έλεγχοι εισαγωγέα και τα έγγραφα προηγούνται της τελικής πληρωμής
    Πόσο υποστηρίζεται κάθε στοιχείο; Μήνας και έτος λήξης, εκδόσεις και εξαρτήσεις υπηρεσιών Ορισμένα μέσα αν η υποστήριξη λήξει νωρίς ή σταματήσει αναγκαίο cloud
    Πώς χειρίζονται τις ευπάθειες; Κανάλι γνωστοποίησης, διαλογή, διαδικασία διόρθωσης και αρχεία έκδοσης Χρόνοι απόκρισης, κλιμάκωση, ενημερώσεις και συνεργασία είναι υποχρεώσεις
    Ποιος χειρίζεται αναφερόμενα συμβάντα; Εντεταλμένος εκπρόσωπος, διαδρομή CSIRT και υπεύθυνος 24 ωρών Ξενοδοχείο και προμηθευτής ανταλλάσσουν στοιχεία μέσω δοκιμασμένου καναλιού
    Ποιος έχει απομακρυσμένη πρόσβαση; Λογαριασμοί, ταυτοποίηση, κανόνες έγκρισης και αρχεία συνεδριών Το ξενοδοχείο μπορεί να αναστείλει πρόσβαση και να λάβει ίχνος ελέγχου
    Τι αποδεικνύει την έκδοση αποδοχής; Σειριακοί αριθμοί, λογισμικό, ρυθμίσεις, χάρτες, διασυνδέσεις και έκδοση Οι αλλαγές προκαλούν έλεγχο επίπτωσης και νέα αποδοχή όπου χρειάζεται

    Συνδέστε την πληρωμή με ελέγξιμα στοιχεία. Ένα ορόσημο μπορεί να απαιτεί πίνακα οικονομικών φορέων, οδηγίες, λήξη υποστήριξης, ασφαλή διαμόρφωση, διαδικασία ενημέρωσης, επαφές περιστατικών και αποδεκτή βασική έκδοση λογισμικού. Μην εξαρτάτε την πληρωμή από αόριστη δήλωση “συμμόρφωσης CRA” χωρίς να προσδιορίζετε τα αρχεία και τις δοκιμές που πρέπει να καλύπτει.

    Λάβετε υπόψη την εποπτεία. Το ευρωπαϊκό πλαίσιο εποπτείας της αγοράς λειτουργεί μαζί με τις διατάξεις εποπτείας του CRA. Η σύμβαση δεν εμποδίζει αρχή να λάβει μέτρα για προϊόν και δεν αντικαθιστά τις δημόσιες υποχρεώσεις του υπεύθυνου φορέα. Μπορεί να δώσει στο ξενοδοχείο πρόσβαση σε αρχεία, διόρθωση, αντικατάσταση, αναστολή, καταγγελία και συνεργασία όταν πρόβλημα απειλεί τη λειτουργία.

    Εφαρμόστε λίστα απόφασης και κοστολογήστε την έκθεση

    1. Καταγράψτε ακριβώς το ρομπότ, το λογισμικό, τις υπηρεσίες cloud, την απομακρυσμένη επεξεργασία και τις διασυνδέσεις.
    2. Ζητήστε την ανάλυση πεδίου CRA του προμηθευτή και την ταυτότητα κάθε οικονομικού φορέα.
    3. Επιβεβαιώστε κατασκευαστή, εισαγωγέα ΕΕ, εξουσιοδοτημένο αντιπρόσωπο και διανομέα.
    4. Καταγράψτε την ημερομηνία λήξης υποστήριξης για κάθε αναγκαίο στοιχείο υλικού και λογισμικού.
    5. Βάλτε στη σύμβαση παραλαβή ευπαθειών, διορθώσεις, εκδόσεις, επαναφορά και λήξη υποστήριξης.
    6. Δοκιμάστε τη διαδρομή περιστατικού, τις επαφές εκτός ωραρίου, τη μεταφορά στοιχείων και τον υπεύθυνο αναφοράς.
    7. Κλειδώστε τη βασική έκδοση προϊόντος και λογισμικού, μαζί με λογαριασμούς και διασυνδέσεις.
    8. Ελέγξτε διαδικασία συμμόρφωσης, εκδόσεις προτύπων, δηλώσεις, οδηγίες και αναγνωριστικά.
    9. Κοστολογήστε διακοπή, μετάβαση, απώλεια cloud, αποτυχημένη ενημέρωση και πρόωρη λήξη χωρίς επινοημένη εξοικονόμηση.
    10. Λάβετε νομική και τεχνική συμβουλή για αμφισβητούμενο πεδίο, ταξινόμηση, τροποποίηση ή αναφορά.

    Το οικονομικό μοντέλο πρέπει να ξεχωρίζει την τιμή αγοράς από την εξάρτηση υποστήριξης. Εκτιμήστε κόστος προγραμματισμένων ενημερώσεων, παραθύρων δοκιμής, αλλαγών δικτύου, ανταλλακτικών, χρόνου προσωπικού, εξωτερικού ελέγχου ασφάλειας, επείγοντος περιορισμού, εξαγωγής δεδομένων και αντικατάστασης αν λήξει η υποστήριξη. Χρησιμοποιήστε προσφορές προμηθευτών και λειτουργικά δεδομένα του ξενοδοχείου. Οι όροι ασφάλειας ρομπότ CRA πρέπει να κατανέμουν αυτά τα κόστη χωρίς να μετατρέπουν μια υποθετική πιθανότητα κυβερνοπεριστατικού σε ανυπόστατο ποσοστό ROI.

    Συχνές ερωτήσεις

    Εφαρμόζεται ήδη πλήρως το CRA στα ρομπότ ξενοδοχείων;

    Όχι. Οι υποχρεώσεις αναφοράς του άρθρου 14 εφαρμόζονται από 11 Σεπτεμβρίου 2026 και οι κύριες υποχρεώσεις από 11 Δεκεμβρίου 2027. Ορισμένες διατάξεις για οργανισμούς αξιολόγησης εφαρμόστηκαν νωρίτερα. Οι μεταβατικοί κανόνες και κάθε ουσιώδης τροποποίηση πρέπει να ελεγχθούν για το προϊόν.

    Πρέπει το ξενοδοχείο να αναφέρει ευπάθεια στην πλατφόρμα;

    Η υποχρεωτική υποχρέωση του άρθρου 14 που εξετάζεται εδώ απευθύνεται στους κατασκευαστές. Το ξενοδοχείο πρέπει να ενημερώσει γρήγορα τον υπεύθυνο προμηθευτή ή κατασκευαστή και να διατηρήσει στοιχεία. Δικές του υποχρεώσεις από άλλους νόμους, συμβάσεις ή κλαδικούς κανόνες χρειάζονται χωριστό έλεγχο.

    Είναι πάντα εισαγωγέας ο Έλληνας μεταπωλητής;

    Όχι. Η ιδιότητα εξαρτάται από το ποιος, εγκατεστημένος στην ΕΕ, διαθέτει στην αγορά το προϊόν του μη ενωσιακού κατασκευαστή. Ο Έλληνας μεταπωλητής μπορεί να είναι εισαγωγέας ή διανομέας. Ζητήστε γραπτή ταυτότητα και διαδρομή.

    Μπορεί ο προμηθευτής να υπόσχεται ενημερώσεις για αόριστη διάρκεια;

    Ο αγοραστής πρέπει να ζητά σαφή ημερομηνία λήξης υποστήριξης και να ορίζει τι συμβαίνει σε κάθε αναγκαία υπηρεσία μετά. Μια αόριστη υπόσχεση δεν αρκεί για αποδοχή, κοστολόγηση ή σχεδιασμό αντικατάστασης.

    Αποδεικνύει η σήμανση CE ότι η απομακρυσμένη υποστήριξη είναι ασφαλής;

    Όχι. Η σήμανση ανήκει σε πλαίσιο συμμόρφωσης. Δεν αντικαθιστά τον έλεγχο ταυτότητας προϊόντος, δήλωσης, οδηγιών, περιόδου υποστήριξης, σχεδιασμού απομακρυσμένης πρόσβασης και αποδεικτικών της διαδικασίας.

    Τι πρέπει να σταματήσει την τελική πληρωμή;

    Άγνωστοι οικονομικοί φορείς, απουσία ημερομηνίας υποστήριξης, μη δοκιμασμένη διαδρομή περιστατικού, ανεξέλεγκτη απομακρυσμένη πρόσβαση ή ασυμφωνία μεταξύ λογισμικού και εγγράφων είναι εύλογα σημεία αναστολής. Η σύμβαση πρέπει να ορίζει θεραπεία και δικαίωμα.

  • Hotel Robot CRA Contracts Before Deployment

    Hotel robot CRA contracts should be settled before installation, not after the first failed update or security incident. A connected service robot can combine on-device software, a cloud service, remote support, mobile applications and interfaces to lifts or doors. The buyer therefore needs a contract that identifies the product, the responsible economic operators, the support period, the update route and the evidence available when something goes wrong.

    The date makes this work immediate. The European Commission’s Cyber Resilience Act page says Regulation (EU) 2024/2847 entered into force on 10 December 2024. Its main obligations apply from 11 December 2027, while the Article 14 reporting obligations apply from 11 September 2026. That split is easy to miss. It does not mean every hotel has become a regulator or incident reporter. It means procurement teams should identify who is the manufacturer under the Act and test whether that party can perform the obligations that now apply.

    Decide whether the CRA covers the robot package

    The Commission’s implementation FAQ describes the CRA as a horizontal framework for hardware and software products with digital elements made available on the Union market. The Commission’s legislative summary says a product falls within scope when its intended purpose or reasonably foreseeable use includes a direct or indirect logical or physical data connection to a device or network. It also includes remote data processing solutions where the manufacturer designed or developed them, or had them developed under its responsibility, and the product would lose a function without them.

    For a hotel robot, the unit alone may be an incomplete description of the purchase. List the robot model, charging station, fleet console, mobile application, cloud portal, remote maintenance service, lift interface, door interface, software components sold separately and every subscription needed for an intended function. Ask the supplier to map each element to the product definition and to explain any exclusion it relies on. A sales label such as “AI robot” or “smart device” does not decide the legal classification.

    The contract should also record when each unit is placed on the EU market and whether a later hardware or software change could be a substantial modification. The Commission published non-binding implementation guidance on 27 July 2026 covering scope, remote data processing, substantial modification, support periods, risk assessment and reporting. That guidance helps structure questions, but the binding text remains Regulation (EU) 2024/2847. Product-specific legal advice may still be needed.

    Do not merge CRA review with the machinery file. A cyber weakness may affect safe motion, braking or lift behaviour, in which case the separate machinery requirements also matter. Ergasa’s analysis of cybersecurity-related Machinery EHSRs for autonomous robots covers that safety chain. The two regimes can use some of the same logs and tests, but they have different scope tests, dates and responsible parties.

    Identify the manufacturer, importer and distributor

    The CRA directs its main design, documentation, vulnerability-handling and reporting duties to the manufacturer. The Commission summary defines the manufacturer as the person that develops or manufactures a product with digital elements, or has it designed, developed or manufactured, and markets it under that person’s name or trademark. A hotel buying an OEM-branded robot for its own operations will not normally fit that description merely because it uses the product. The answer can change if another company rebrands the package or substantially modifies it.

    A non-EU manufacturer’s European authorised representative can perform only the tasks covered by its written mandate. The importer is the EU-established person that places a non-EU manufacturer’s product on the Union market. The distributor is another supply-chain person that makes the product available without affecting its properties. The Commission’s role summary says importers must check specified conformity, documentation and manufacturer-process elements, while distributors must verify specified markings, contact information, instructions and the indicated support period.

    Put legal names, registered addresses, contact points and roles into the order schedule. Do not accept “European partner” as a role. If the offer comes through a Greek reseller, establish whether it is the importer or only a distributor. If a systems integrator combines the robot with its own software or sells the finished package under its name, ask for its classification and the reasoning behind it. The related Ergasa manufacturer-classification analysis explains why branding, final assembly, own use and substantial modification should be tested separately.

    The hotel also needs an operational owner. Name the person who can isolate the robot, preserve logs, contact the supplier and decide whether service may resume. This is a contract and incident-management control, not a transfer of the manufacturer’s CRA duties. The purchase agreement should say which party makes regulatory reports and which parties must provide facts quickly enough for the reporter to meet the deadline.

    Put hotel robot CRA contracts into the order

    Article 13 and Annex I of the CRA require the manufacturer to manage vulnerabilities during the product’s support period. The Commission summary says the end date of that period, including month and year, must be stated clearly and understandably at purchase. A vague promise of “lifetime updates” is hard to price and harder to enforce. Ask for a dated period for every product element, including the robot controller, application, fleet portal and any remote service necessary for an intended function.

    The support schedule should state how the supplier receives vulnerability reports, acknowledges them, assesses severity, develops a correction, tests it, distributes it and tells the hotel what to do. It should identify the supported software branches and the conditions that end support. Add a notice period before end of support and require a machine-readable inventory of relevant components where the product documentation provides one. If a cloud function will stop when support ends, the commercial consequence belongs in the price model now.

    Contract for security updates to be supplied without separate charge during the agreed support period where the CRA requires that result. Define emergency update authority, planned maintenance windows, rollback, release notes, cryptographic verification where used, compatibility testing and the response when an update fails. The supplier should disclose whether an update changes safety-related functions, intended use or the assessed configuration. The hotel should not install an untested remote update blindly on a robot moving around guests.

    Ask what happens to vulnerability handling if the manufacturer, cloud provider or distributor exits the market. Useful safeguards can include advance notice, data export, configuration export, continued access to essential documentation, a transition service and clear deletion or return rules for hotel data. These are negotiated risk controls. The CRA does not guarantee that every requested commercial protection will be available.

    Make the 11 September 2026 reporting route operational

    From 11 September 2026, manufacturers must report actively exploited vulnerabilities and severe incidents affecting the security of products with digital elements. The Commission’s reporting page sets out an early warning within 24 hours of awareness, a main notification within 72 hours, and final-report deadlines that differ for vulnerabilities and severe incidents. The same page says manufacturers submit through the Single Reporting Platform to the coordinating CSIRT, with information also made available to ENISA except in particularly exceptional circumstances.

    ENISA’s Single Reporting Platform FAQ explains that an actively exploited vulnerability requires reliable evidence of exploitation by a malicious actor. It also describes severe incidents by reference to impact on availability, authenticity, integrity or confidentiality and the criteria in Article 14(5). A failed Wi-Fi connection or routine application error is not automatically a reportable CRA event. The manufacturer needs a documented triage process.

    The buyer’s contract should require a rapid operational notice to the hotel when an affected product or service is deployed on its premises. It should also require the hotel to pass relevant facts, logs and timestamps to the manufacturer without delay. The notice route needs named addresses, out-of-hours escalation and an alternative if the normal portal is unavailable. It should cover subcontracted cloud and remote-support providers because the reporting clock may start from the manufacturer’s awareness, not from the hotel’s internal ticket closure.

    Do not promise the hotel a copy of every regulatory submission. Reports can contain sensitive vulnerability information, personal data or details whose dissemination is controlled. Commission Delegated Regulation (EU) 2026/881 specifies conditions for delaying wider dissemination on cybersecurity grounds. Instead, define the minimum customer notice needed to protect operations: affected versions, observed impact, containment, patch status, safe-use instructions and the next update time.

    The ENISA SRP page and its reporting factsheet are practical references for supplier readiness. During due diligence, ask who is registered, who acts as the assigned representative, which coordinating CSIRT applies and who owns the 24-hour decision. A generic promise that the security team “handles incidents” does not answer those questions.

    Control remote access, updates and evidence

    Remote support is often commercially useful. It is also a route into a machine that may move, carry loads or operate near guests. The contract should list every remote access method, the legal entity operating it, permitted purposes, authentication method, approval workflow, session logging and termination control. Ask whether the manufacturer can connect without hotel approval and what happens when the hotel network is unavailable.

    Require an acceptance baseline. Record serial numbers, firmware, applications, cloud tenant, safety-related settings, maps, lift and door integrations, user roles and active remote accounts. Keep signed or otherwise controlled release records. After each material change, compare the new baseline to the one that was accepted. This does not prove legal conformity, but it lets the hotel and supplier identify what actually changed.

    Evidence should connect claims to the product version. Ask for the EU declaration of conformity where required, user instructions, the support-period end date, security-contact details, update instructions and enough technical information to operate the product securely. For conformity strategy, check whether the manufacturer relies on harmonised standards, common specifications, a certification scheme or third-party assessment. The Commission’s CRA standardisation page says request M/606 covers 41 horizontal and product-specific standards. Standards work is moving, so the contract should name the exact edition used rather than promising unspecified “EU standards”.

    Some important or critical product categories face different conformity routes. The Commission summary points to Annexes III and IV and to Implementing Regulation (EU) 2025/2392 for technical descriptions. Do not assume that every service robot is important or critical, and do not assume that the robot is ordinary merely because its brochure omits cybersecurity language. Classification depends on the product’s core functionality and the legal descriptions.

    Use the acceptance table before payment

    Procurement question Evidence to request Contract consequence
    What is the product with digital elements? Model, software, cloud and component schedule with intended functions No acceptance until the supplied package matches the schedule
    Who is the manufacturer? Legal name, trademark role and written economic-operator map Named party owns manufacturer deliverables and reporting cooperation
    Who imports the non-EU product? EU importer identity and contact details Importer checks and document delivery are conditions before final payment
    How long is each element supported? Month and year for end of support, supported branches and service dependencies Defined remedies if support ends early or a necessary cloud function stops
    How are vulnerabilities handled? Disclosure channel, triage process, patch route and release records Response times, escalation, update duties and cooperation are written obligations
    Who handles reportable events? Assigned representative, coordinating CSIRT route and 24-hour owner Hotel and supplier exchange facts through a tested emergency channel
    Who can access the robot remotely? Account list, authentication design, approval rules and session logs Hotel can suspend access and obtain an audit trail
    What proves the accepted version? Serials, firmware, configurations, maps, interfaces and signed release record Changes trigger documented impact review and, where needed, renewed acceptance

    Tie payment to evidence that can be checked. A useful milestone might require the economic-operator schedule, user instructions, support end date, secure configuration, update procedure, incident contacts and accepted software baseline. Do not make payment depend on a vague statement of “CRA compliance” without listing the records and tests that statement is meant to cover.

    Keep enforcement in view. The EU market-surveillance framework sits alongside the CRA’s own surveillance provisions. A contract cannot stop an authority from taking action against a product, and it cannot replace the responsible operator’s public-law duties. It can give the hotel access to records, corrective action, replacement, suspension, termination and cooperation when a problem threatens operations.

    Run the decision checklist and price the exposure

    1. List the exact robot, software, cloud services, remote processing and integrations being bought.
    2. Ask the supplier for its CRA scope analysis and the identity of each economic operator.
    3. Confirm which party is the manufacturer, EU importer, authorised representative and distributor.
    4. Record the support-period end date for every necessary hardware and software element.
    5. Write vulnerability intake, patching, release, rollback and end-of-support obligations into the contract.
    6. Test the incident route, including out-of-hours contacts, evidence transfer and the manufacturer’s reporting owner.
    7. Freeze the accepted product and software baseline, including remote accounts and hotel integrations.
    8. Check the stated conformity route, standards editions, declarations, instructions and product identifiers.
    9. Price downtime, transition, cloud loss, update failure and early support withdrawal without inventing savings.
    10. Obtain legal and technical advice for disputed scope, classification, modification or reporting questions.

    The economic model should separate purchase price from support dependency. Estimate the cost of planned updates, testing windows, network changes, spare hardware, staff time, external security review, emergency containment, data export and replacement if support ends. Use supplier quotes and hotel operating data. Hotel robot CRA contracts should allocate these costs without turning a guessed probability of cyber failure into a polished ROI percentage.

    Frequently asked questions

    Does the CRA already apply in full to hotel robots?

    No. Reporting obligations under Article 14 apply from 11 September 2026, while the main obligations apply from 11 December 2027. Some conformity-body provisions applied earlier. The transition rules and any substantial modification still need to be checked for the actual product.

    Must the hotel report a robot vulnerability through the SRP?

    The mandatory Article 14 duty discussed here is directed to manufacturers. The hotel should notify the responsible supplier or manufacturer quickly and preserve relevant evidence. Its own duties under other laws, contracts or sector rules require a separate review.

    Is the Greek reseller always the importer?

    No. Importer status depends on who, while established in the EU, places the non-EU manufacturer’s product on the Union market. A Greek reseller may be an importer or a distributor. Obtain the legal identity and route in writing.

    Can a supplier promise updates for an undefined lifetime?

    A buyer should require a clear end date for the support period and identify what happens to each necessary service after that date. An undefined promise is not a workable basis for acceptance, pricing or replacement planning.

    Does a CE mark prove that remote support is secure?

    No. The mark is part of a conformity framework, not a substitute for checking product identity, the declaration, instructions, support period, remote access design and the evidence behind the stated conformity route.

    What should stop final payment?

    Missing economic-operator identities, no dated support period, an untested incident route, uncontrolled remote access or a mismatch between the delivered software baseline and the documents are reasonable hold points. The contract should define the exact cure and remedy.

  • Κενά τεχνικού φακέλου: στοιχεία και κόστος

    Η επισήμανση για τα κενά τεχνικού φακέλου πρέπει να απαντά σε ένα στενό ερώτημα προμήθειας: αρκούν τα στοιχεία για να στηρίξουν την απόφαση συμμόρφωσης του κατασκευαστή για το συγκεκριμένο ρομπότ που αγοράζεται; Ο έλεγχος δεν είναι πιστοποιητικό CE. Ένα καλοστημένο φύλλο εργασίας δεν μετατρέπει την ελλιπή μηχανική τεκμηρίωση σε συμμόρφωση. Το χρήσιμο αποτέλεσμα είναι ένας ελεγχόμενος κατάλογος με όσα υπάρχουν, όσα λείπουν, όσα είναι ανεπαρκή, τον υπεύθυνο για κάθε διόρθωση και την εμπορική απόφαση που εξαρτάται από αυτή.

    Ο χρόνος έχει σημασία. Η Ευρωπαϊκή Επιτροπή αναφέρει ότι ο Κανονισμός (ΕΕ) 2023/1230 εφαρμόζεται υποχρεωτικά από τις 20 Ιανουαρίου 2027. Τα μηχανήματα που διατίθενται στην αγορά της ΕΕ πριν από αυτή την ημερομηνία πρέπει να συμμορφώνονται με την Οδηγία 2006/42/ΕΚ. Ένα ξενοδοχείο που εξετάζει φάκελο το 2026 χρειάζεται λοιπόν την αναμενόμενη ημερομηνία διάθεσης στην αγορά και το εφαρμοστέο νομικό καθεστώς. Δεν πρέπει να βαθμολογήσει έναν φάκελο της Οδηγίας 2006/42/ΕΚ μόνο με το νέο παράρτημα IV χωρίς να εξηγήσει ότι πρόκειται για έλεγχο ετοιμότητας.

    Ξεκινήστε από το προϊόν και τη νομική διαδρομή

    Μην αρχίσετε με την καταμέτρηση εγγράφων. Καταγράψτε πρώτα μοντέλο, παραλλαγή, σειριακό αριθμό ή παρτίδα, εκδόσεις λογισμικού και ελέγχου ασφάλειας. Προσθέστε την προβλεπόμενη και ευλόγως προβλέψιμη κακή χρήση, τα εξαρτήματα, τον φορτιστή, τις διασυνδέσεις και τους οικονομικούς φορείς που αναγράφονται στο προϊόν και στις δηλώσεις. Μια έκθεση δοκιμής για παρόμοιο μοντέλο μπορεί να βοηθά, αλλά δεν αποδεικνύει αυτομάτως την αγοραζόμενη διαμόρφωση.

    Το ενοποιημένο κείμενο του Κανονισμού (ΕΕ) 2023/1230 της 27ης Ιουλίου 2026 απαιτεί από τον κατασκευαστή να καταρτίσει την τεχνική τεκμηρίωση του παραρτήματος IV μέρος Α. Πρέπει επίσης να εκτελέσει την κατάλληλη αξιολόγηση συμμόρφωσης του άρθρου 25 πριν διαθέσει το προϊόν στην αγορά ή το θέσει σε λειτουργία. Το μέρος Β αφορά τα ημιτελή μηχανήματα. Η διάκριση αλλάζει τα έγγραφα και το πρόσωπο που οφείλει να ολοκληρώσει την αξιολόγηση του τελικού μηχανήματος.

    Δίπλα στην ταυτότητα του προϊόντος καταγράψτε τη διαδρομή αξιολόγησης. Ελέγξτε αν το προϊόν ανήκει στο παράρτημα I, αν ο κατασκευαστής επικαλείται εναρμονισμένο πρότυπο και αν απαιτείται ή χρησιμοποιήθηκε κοινοποιημένος οργανισμός. Το κοινό ενωσιακό πλαίσιο αξιολόγησης συμμόρφωσης δείχνει γιατί η τεχνική τεκμηρίωση και τα αποδεικτικά στοιχεία αποτελούν μέρος της επιλεγμένης ενότητας. Ο έλεγχος του φακέλου δεν μπορεί να αποκοπεί από αυτή τη διαδρομή.

    Φτιάξτε χάρτη αποδεικτικών στοιχείων του παραρτήματος IV

    Το παράρτημα IV μέρος Α είναι ο δείκτης ελέγχου για μηχανήματα και συναφή προϊόντα. Αντιστοιχίστε κάθε απαίτηση σε συγκεκριμένο αρχείο, αναθεώρηση, ημερομηνία, συντάκτη ή εργαστήριο και εφαρμοστέα έκδοση προϊόντος. Ξεκινήστε με τη γενική περιγραφή, τα σχέδια, τα κυκλώματα ελέγχου, την εκτίμηση κινδύνου, τις εφαρμοστέες απαιτήσεις υγείας και ασφάλειας, τα προστατευτικά μέτρα και τους υπολειπόμενους κινδύνους. Μετά χαρτογραφήστε πρότυπα, τεχνικές προδιαγραφές, υπολογισμούς, εξετάσεις, δοκιμές, οδηγίες, έγγραφα ενσωματωμένων προϊόντων και τη δήλωση συμμόρφωσης ΕΕ.

    Η επίσημη επισκόπηση της Ευρωπαϊκής Επιτροπής για τη σήμανση CE εντάσσει την τεχνική τεκμηρίωση στην εργασία συμμόρφωσης του κατασκευαστή. Στην πράξη, ο φάκελος πρέπει να δείχνει σχεδιασμό, κατασκευή και λειτουργία, να προσδιορίζει κανόνες και πρότυπα, να περιέχει ανάλυση κινδύνου και να εξηγεί τα μέτρα. Ένας φάκελος γεμάτος πιστοποιητικά, χωρίς σύνδεση μεταξύ κινδύνου, απαίτησης, μέτρου σχεδιασμού και αποτελέσματος επαλήθευσης, δεν αποτελεί λειτουργική τεχνική αιτιολόγηση.

    Για μηχάνημα που διατίθεται πριν από τις 20 Ιανουαρίου 2027, χρησιμοποιήστε ως υποχρεωτική βάση την Οδηγία 2006/42/ΕΚ και το παράρτημα VII. Κρατήστε χωριστή στήλη ετοιμότητας για τις αλλαγές του Κανονισμού 2023/1230. Έτσι αποφεύγετε δύο λάθη: να ισχυριστείτε ότι ο νέος Κανονισμός διέπει ήδη κάθε διάθεση του 2026 ή να περιμένετε το 2027 για στοιχεία που θα είναι ακριβά ή αδύνατο να ανακατασκευαστούν.

    Χρησιμοποιήστε τρεις ενδείξεις και πεδίο ευθύνης

    Ένδειξη Σημασία Αποδεκτή καταγραφή Επόμενη ενέργεια
    Υπάρχει Το απαιτούμενο στοιχείο υπάρχει, αντιστοιχεί στο ακριβές προϊόν και είναι συνεπές. Όνομα αρχείου, αναθεώρηση, ημερομηνία, έκδοση προϊόντος και σημείωση ελεγκτή. Διατηρήστε το ελεγχόμενο αντίγραφο και εξετάστε μεταγενέστερες αλλαγές.
    Λείπει Δεν παραδόθηκε στοιχείο για εφαρμοστέα απαίτηση. Αίτημα, απάντηση προμηθευτή και προθεσμία. Αναθέστε στον κατασκευαστή ή άλλο υπεύθυνο να το δημιουργήσει ή να το εξασφαλίσει.
    Ανεπαρκές Υπάρχει έγγραφο, αλλά δεν στηρίζει το συμπέρασμα που επικαλείται. Ελάττωμα, επηρεαζόμενη απαίτηση και συνέπεια. Αναθεωρήστε, επαναλάβετε, επεκτείνετε ή αντικαταστήστε το στοιχείο.

    Μην χρησιμοποιείτε την ένδειξη “υπάρχει” επειδή βρήκατε ένα όνομα αρχείου. Μια εκτίμηση κινδύνου που παραλείπει σύγκρουση μετά από απώλεια χάρτη είναι ανεπαρκής όταν ο κίνδυνος είναι ευλόγως προβλέψιμος. Έκθεση δοκιμής χωρίς σύνδεση με το μοντέλο είναι ανεπαρκής. Ανυπόγραφη δήλωση είναι ανεπαρκής. Εγχειρίδιο άλλου κλάδου λογισμικού είναι ανεπαρκές. Η παρατήρηση πρέπει να είναι συγκεκριμένη, ώστε ένας μηχανικός ή ένα εργαστήριο να μπορεί να ενεργήσει.

    Προσθέστε δύο πεδία που συνήθως λείπουν από ένα απλό σύστημα χρωμάτων: υπεύθυνος και όρος αποδοχής. Υπεύθυνος μπορεί να είναι ο κατασκευαστής, ο εισαγωγέας, ο ολοκληρωτής, το εργαστήριο δοκιμών, ο μεταφραστής ή το ξενοδοχείο. Ο όρος αποδοχής περιγράφει τι κλείνει το κενό, για παράδειγμα αναθεωρημένη εκτίμηση κινδύνου υπό έλεγχο εγγράφων ή έκθεση δοκιμής που αναγνωρίζει τη συγκεκριμένη διαμόρφωση υλικού και λογισμικού. Χωρίς αυτά τα πεδία, το μητρώο καταγράφει ανησυχία αλλά δεν διαχειρίζεται εργασία.

    Διαχωρίστε τις υποχρεώσεις της αλυσίδας

    Ο κατασκευαστής έχει την ευθύνη για την τεχνική τεκμηρίωση και την αξιολόγηση συμμόρφωσης. Οι οδηγίες της Επιτροπής για τους κατασκευαστές και τη σήμανση CE δίνουν τη βασική σειρά: προσδιορισμός κανόνων και προτύπων, επαλήθευση απαιτήσεων, αξιολόγηση, δημιουργία τεχνικής τεκμηρίωσης, έκδοση δήλωσης και τοποθέτηση σήμανσης. Ένας σύμβουλος μπορεί να εξετάσει ή να βοηθήσει στη σύνταξη στοιχείων, αλλά δεν αντικαθιστά τον κατασκευαστή ούτε αναλαμβάνει τη δήλωση επειδή σχολίασε τον φάκελο.

    Σύμφωνα με το άρθρο 13 του ισχύοντος Κανονισμού, ο εισαγωγέας ελέγχει ότι ο κατασκευαστής ολοκλήρωσε την κατάλληλη αξιολόγηση και κατάρτισε την τεκμηρίωση του παραρτήματος IV μέρος Α. Κρατά αντίγραφο της δήλωσης συμμόρφωσης ΕΕ για τουλάχιστον δέκα έτη και εξασφαλίζει ότι η τεχνική τεκμηρίωση μπορεί να διατεθεί στις αρχές κατόπιν αιτήματος. Ο διανομέας εκτελεί ελέγχους εγγράφων και σήμανσης βάσει του άρθρου 15. Η ομάδα αγορών πρέπει να εντοπίσει τον πραγματικό ρόλο του προμηθευτή αντί να δέχεται τη λέξη “αντιπρόσωπος” ως νομική ταξινόμηση.

    Το ξενοδοχείο είναι συνήθως χρήστης και εργοδότης, όχι κατασκευαστής. Αυτό μπορεί να αλλάξει αν κατασκευάζει μηχάνημα για δική του χρήση ή κάνει ουσιώδη τροποποίηση κατά το άρθρο 18. Αλλαγές σε φορτίο, ταχύτητα, αισθητήρες, χάρτες, API, αυτόματες πόρτες ή ανελκυστήρες πρέπει να εξετάζονται πριν θεωρηθούν απλή ρύθμιση. Η προηγούμενη ανάλυση της Ergasa για το ποιος είναι ο κατασκευαστής ρομπότ εξηγεί την ταξινόμηση ρόλων, ενώ ο οδηγός για την ανάγκη κοινοποιημένου οργανισμού καλύπτει τη διαδρομή του παραρτήματος I.

    Ελέγξτε την ποιότητα, όχι τον όγκο χαρτιού

    Ένας σωστός έλεγχος ακολουθεί τους ισχυρισμούς από έγγραφο σε έγγραφο. Η προβλεπόμενη χρήση του εγχειριδίου πρέπει να συμφωνεί με την εκτίμηση κινδύνου. Το μοντέλο της δήλωσης πρέπει να ταιριάζει με την πινακίδα και τις εκθέσεις δοκιμών. Τα προστατευτικά μέτρα της εκτίμησης κινδύνου πρέπει να εμφανίζονται στα σχέδια, στη λογική ελέγχου, στις καταγραφές επαλήθευσης και στις οδηγίες χρήσης. Οι υπολειπόμενοι κίνδυνοι πρέπει να φτάνουν στον χειριστή. Το λογισμικό που επηρεάζει λειτουργία ασφάλειας χρειάζεται ελεγχόμενη ταυτότητα και ιστορικό αλλαγών.

    Τα πρότυπα χρειάζονται την ίδια προσοχή. Σύμφωνα με τον Κανονισμό (ΕΕ) 1025/2012, εναρμονισμένο πρότυπο εκπονείται μετά από αίτημα της Επιτροπής και η αναφορά του δημοσιεύεται για τη σχετική νομοθεσία. Η ισχύουσα εκτελεστική απόφαση με τα πρότυπα μηχανημάτων για την Οδηγία 2006/42/ΕΚ είναι το σημείο επαλήθευσης των δημοσιευμένων αναφορών για το σημερινό καθεστώς. Η γενική δήλωση του προμηθευτή ότι χρησιμοποίησε “πρότυπα ISO” δεν δείχνει ποιες απαιτήσεις καλύπτονται από τεκμήριο συμμόρφωσης.

    Ο Γαλάζιος Οδηγός του 2022 βοηθά στον έλεγχο της οριζόντιας λογικής για την τεχνική τεκμηρίωση, την ιχνηλασιμότητα και τους ρόλους των οικονομικών φορέων. Είναι οδηγία εφαρμογής και όχι υποκατάστατο της ειδικής νομοθεσίας. Καταγράψτε ποια πηγή στηρίζει κάθε συμπέρασμα, ώστε ο επόμενος ελεγκτής να ξεχωρίζει τον νόμο, την καθοδήγηση της Επιτροπής, ένα εναρμονισμένο πρότυπο και την ερμηνεία της ομάδας.

    Μετατρέψτε τα κενά τεχνικού φακέλου σε εργασίες και οδηγούς κόστους

    Το κόστος κλεισίματος δεν είναι ο αριθμός των κόκκινων κελιών επί μία τυπική αμοιβή. Μια δήλωση που λείπει μπορεί να απαιτεί λίγο χρόνο όταν τα υπόλοιπα στοιχεία είναι πλήρη. Μια ανεπαρκής εκτίμηση κινδύνου μπορεί να απαιτεί αλλαγές σχεδιασμού, εργασία λογισμικού και νέες δοκιμές. Τιμολογήστε κάθε κενό ως πακέτο εργασίας μόνο αφού ορίσετε τον όρο αποδοχής και τον υπεύθυνο.

    Ιεραρχήστε τα κενά τεχνικού φακέλου με βάση την απόφαση που εμποδίζουν και όχι την εμφάνιση του εγγράφου. Ένα κενό που αφορά ανεπίλυτη λειτουργία ασφάλειας ή διαδρομή συμμόρφωσης έχει άλλη συνέπεια από ένα πρόβλημα μορφοποίησης.

    Πακέτο εργασίας Συνήθης αιτία Οδηγός κόστους για προσφορά
    Ανακατασκευή εγγράφων Λείπουν ή δεν ελέγχονται σχέδια, κατάλογοι υλικών ή υπολογισμοί. Ώρες μηχανικού, παραλλαγές προϊόντος και πρόσβαση στα αρχικά δεδομένα.
    Διόρθωση εκτίμησης κινδύνου Λείπουν κίνδυνοι, απαιτήσεις ή μέτρα μείωσης. Όρια συστήματος, τρόποι λειτουργίας, διασυνδέσεις και ειδικότητες.
    Επαλήθευση ή δοκιμή Ένας ισχυρισμός ασφάλειας δεν έχει ιχνηλάσιμο αποτέλεσμα ή η διαμόρφωση διαφέρει. Πεδίο εργαστηρίου, δείγματα, εξοπλισμός, μετακινήσεις και επαναληπτικές δοκιμές.
    Στοιχεία λογισμικού Δεν είναι σαφείς οι εκδόσεις, η λογική, η επικύρωση ή ο έλεγχος ενημερώσεων. Πρόσβαση σε κώδικα, αρχιτεκτονική, βασική διαμόρφωση και δοκιμές παλινδρόμησης.
    Εργασία οργανισμού συμμόρφωσης Η διαδρομή του άρθρου 25 απαιτεί ανεξάρτητη αξιολόγηση. Πεδίο, κύκλοι ελέγχου, δοκιμές, επιθεώρηση και διορθωτικές ενέργειες.
    Οδηγίες και μετάφραση Οι απαιτούμενες πληροφορίες λείπουν, διαφωνούν ή δεν είναι διαθέσιμες για τον Έλληνα χρήστη. Ποιότητα αρχικού κειμένου, τεχνική σύνταξη, γλώσσες, έλεγχος και επανέκδοση.

    Χρησιμοποιήστε διαφανή υπολογισμό. Το συνολικό κόστος κλεισίματος ισούται με εσωτερικές ώρες επί το πλήρες ωριαίο κόστος του ξενοδοχείου ή του εισαγωγέα, συν μηχανική εργασία προμηθευτή, εξωτερικές δοκιμές, αμοιβές οργανισμού όπου απαιτούνται, μετάφραση, μετακινήσεις, δείγματα, επαναληπτικές δοκιμές και κόστος καθυστέρησης. Κάθε ποσό πρέπει να προέρχεται από προσφορά ή να δηλώνεται ως παραδοχή. Μην κατασκευάζετε ποσοστό απόδοσης επένδυσης από ημιτελή φάκελο.

    Το πλαίσιο εποπτείας αγοράς του Κανονισμού (ΕΕ) 2019/1020 δίνει στις αρχές εξουσίες να ζητούν έγγραφα, τεχνικές προδιαγραφές και πληροφορίες συμμόρφωσης, μαζί με πρόσβαση σε ενσωματωμένο λογισμικό όταν χρειάζεται. Γι’ αυτό πρέπει να κοστολογείται η πρόσβαση στα έγγραφα και ο χρόνος ανάκτησης αντί να θεωρείται δεδομένο ότι ο προμηθευτής θα απαντήσει αργότερα.

    Συνδέστε τον έλεγχο με πύλες προμήθειας

    Η επισήμανση πρέπει να ελέγχει εμπορικές αποφάσεις. Το ξενοδοχείο μπορεί να συνδέσει την προκαταβολή, την αποστολή, την τελική πληρωμή, την αποδοχή εγκατάστασης και την έναρξη λειτουργίας με διαφορετικές καταστάσεις στοιχείων. Η ελλιπής ελληνική μετάφραση οδηγιών μπορεί να εμποδίζει τη λειτουργία, όχι απαραίτητα τη δοκιμή στο εργοστάσιο. Η ασαφής διαδρομή συμμόρφωσης ή μια ανεπίλυτη δοκιμή ελέγχου ασφάλειας πρέπει να σταματά την αποδοχή πολύ νωρίτερα. Η σύμβαση πρέπει να ορίζει ποιος πληρώνει και τι συμβαίνει αν τα στοιχεία δεν παραδοθούν.

    Το συμπέρασμα πρέπει να παραμένει περιορισμένο. Η φράση “δεν βρέθηκαν ανοικτά κενά στο δηλωμένο πεδίο και στα έγγραφα που εξετάστηκαν” μπορεί να στηριχθεί όταν είναι αληθής. Η φράση “εγκρίθηκε το CE” δεν μπορεί. Η σήμανση CE είναι δήλωση του κατασκευαστή μετά την κατάλληλη αξιολόγηση και όχι γενική έγκριση που πωλεί ένας ελεγκτής. Το αρχικό νομικό κείμενο και η ισχύουσα ενοποιημένη έκδοση παραμένουν τα σημεία αναφοράς για τον τελικό νομικό έλεγχο.

    Ένας έλεγχος προμήθειας έχει όρια. Μπορεί να μην αποδεικνύει αν κρυφός πηγαίος κώδικας εφαρμόζει τη δηλωμένη λογική ασφάλειας, αν ένα δείγμα αντιπροσωπεύει τη σειρά παραγωγής ή αν μια αλλαγή διασύνδεσης είναι ουσιώδης. Δηλώστε τα μη διαθέσιμα στοιχεία, τα όρια δειγματοληψίας, τις μεταφράσεις που χρησιμοποιήθηκαν, τα όρια πρόσβασης στο λογισμικό και τις ανοικτές νομικές ερμηνείες. Όταν είναι αβέβαιη η διαδρομή, η ταξινόμηση στο παράρτημα I ή το πεδίο δοκιμών, ζητήστε γνώμη από κατάλληλο ειδικό ασφάλειας μηχανημάτων, νομικό σύμβουλο ή αρμόδιο κοινοποιημένο οργανισμό.

    Η ανάλυση αυτή δεν αποτελεί νομική συμβουλή και δεν πιστοποιεί ρομπότ. Σκοπός της είναι να μην μπερδέψει το ξενοδοχείο έναν τακτοποιημένο φάκελο με αποδεδειγμένη συμμόρφωση. Η επόμενη απόφαση είναι πρακτική: παγώστε την πληρωμή ή τη λειτουργία στη σωστή πύλη μέχρι ο υπεύθυνος να παραδώσει στοιχεία που πληρούν τον καταγεγραμμένο όρο αποδοχής.

    Συχνές ερωτήσεις

    Αποδεικνύει ένας πλήρης πίνακας ότι το ρομπότ συμμορφώνεται με CE;

    Όχι. Καταγράφει το πεδίο και το αποτέλεσμα ενός ελέγχου εγγράφων. Ο κατασκευαστής παραμένει υπεύθυνος για την αξιολόγηση, την τεχνική τεκμηρίωση, τη δήλωση συμμόρφωσης ΕΕ και τη σήμανση CE. Ο ελεγκτής δεν πρέπει να παρουσιάζει τον πίνακα ως πιστοποιητικό.

    Μπορούμε να δεχθούμε έκθεση δοκιμής παρόμοιου μοντέλου;

    Μόνο αν ο κατασκευαστής δείξει γιατί η δοκιμασμένη διαμόρφωση αντιπροσωπεύει το προϊόν που αγοράζεται και ποιους ισχυρισμούς στηρίζει. Διαφορές σε φορτίο, αισθητήρες, φρένα, λογισμικό ελέγχου, μπαταρία ή περιβάλλον μπορεί να κάνουν την έκθεση ανεπαρκή.

    Πρέπει το ξενοδοχείο να λάβει ολόκληρο τον τεχνικό φάκελο;

    Ο Κανονισμός απαιτεί από τον κατασκευαστή να διαθέτει την τεκμηρίωση στις αρχές και από τον εισαγωγέα να εξασφαλίζει τη διαθεσιμότητά της. Το ξενοδοχείο μπορεί να μην έχει αυτόματο δικαίωμα σε κάθε εμπιστευτική λεπτομέρεια. Πρέπει να συμφωνήσει συμβατικά τα στοιχεία, την πρόσβαση και τις υποχρεώσεις απόκρισης που χρειάζεται για ασφαλή εγκατάσταση.

    Πώς κοστολογείται μια ανεπαρκής εκτίμηση κινδύνου;

    Μην βάζετε ενιαία τιμή στην ένδειξη. Ορίστε τους κινδύνους, τις διασυνδέσεις, τις απαιτήσεις, τα μέτρα και την επαλήθευση που λείπουν. Μετά ζητήστε προσφορές για τη μηχανική εργασία, τις δοκιμές, την τεκμηρίωση και τον έλεγχο που απαιτεί ο όρος αποδοχής.

    Τι γίνεται όταν αλλάζει το λογισμικό μετά τον έλεγχο;

    Εξετάστε την αλλαγή σε σχέση με την εκτίμηση κινδύνου, τις λειτουργίες ασφάλειας, την προβλεπόμενη χρήση και τη βασική διαμόρφωση. Ενημερώστε τα επηρεαζόμενα στοιχεία και επαναλάβετε την επαλήθευση όπου χρειάζεται. Ένας φάκελος που αντιστοιχούσε στην έκδοση Α δεν καλύπτει αυτόματα την έκδοση Β.

  • Technical file gaps: evidence and closing costs

    Technical file gaps should be reviewed against a narrow procurement question: is the evidence complete enough to support the manufacturer’s conformity decision for the exact robot being bought? The review is not a CE certificate, and a coloured spreadsheet cannot turn missing engineering evidence into compliance. Its useful output is a controlled list of what is present, what is missing, what is inadequate, who must close each gap, and which commercial commitment depends on closure.

    The timing matters. The European Commission says Regulation (EU) 2023/1230 applies on a mandatory basis from 20 January 2027. Machinery placed on the EU market before that date must comply with Directive 2006/42/EC. A hotel reviewing a file in 2026 therefore needs the expected placing-on-the-market date and the applicable legal regime. It should not mark a 2006/42 file against the new Annex IV without explaining that the exercise is a readiness review rather than the mandatory assessment route for that placement.

    Start with the product and the legal route

    Do not open with a document count. Start with the machine identity: model, variant, serial or batch range, software and safety-control versions, intended use, reasonably foreseeable misuse, accessories, charging equipment, lift or door interfaces, and the economic operators named on the product and declarations. A test report for a similar model may be useful background, but it is not automatically evidence for the purchased configuration.

    The 27 July 2026 consolidated text of Regulation (EU) 2023/1230 requires the manufacturer to draw up the technical documentation in Annex IV Part A. The manufacturer must also carry out the applicable Article 25 conformity assessment before placing the product on the market or putting it into service. Part B covers partly completed machinery. The distinction changes the documents and the party that must complete the final machinery assessment.

    Record the conformity route beside the product identity. Check whether the product falls within Annex I, whether a harmonised standard route is claimed, and whether a notified body is required or has been used. The common EU conformity-assessment framework explains why technical documentation and supporting evidence sit inside the chosen module. The file review cannot be separated from that route.

    Build an Annex IV evidence map

    Annex IV Part A is the review index for machinery and related products. Map each requirement to an exact file name, revision, date, author or issuing laboratory, and applicable product version. Start with the general description, drawings, control-circuit descriptions, risk assessment, applicable health and safety requirements, protective measures and residual risks. Then map the standards or other technical specifications, calculations, examinations, test results, instructions, incorporated-product documents and the EU declaration of conformity.

    The official European Commission CE-marking overview places technical documentation inside the manufacturer’s conformity work. In practice, the file must show design, manufacture and operation, identify applicable rules and standards, record risk analysis, and explain how risks were addressed. A folder full of certificates without the chain from hazard to requirement, design measure and verification result is not a usable technical case.

    For machinery placed before 20 January 2027, use Directive 2006/42/EC and its Annex VII as the mandatory baseline. Keep a separate readiness column for the 2023/1230 changes. This avoids two errors: claiming that the new Regulation already governs every 2026 placement, or waiting until 2027 to identify evidence that will be expensive to reconstruct.

    Use three marks, then add an ownership field

    Mark Meaning Acceptable record Next action
    Present The required evidence exists, matches the exact product and is internally consistent. File name, revision, date, product version and reviewer note. Preserve the controlled copy and check whether later changes affect it.
    Missing No evidence was supplied for an applicable requirement. The request made, supplier response and due date. Assign the manufacturer or other responsible party to create or obtain it.
    Inadequate A document exists but cannot support the claimed conclusion. The defect, affected requirement and consequence. Revise, repeat, extend or replace the evidence.

    Do not use “present” to mean that a filename exists. A risk assessment that omits collision during map loss is inadequate if that hazard is reasonably foreseeable. A test report with no model linkage is inadequate. An unsigned declaration is inadequate. A manual for another software branch is inadequate. The defect note should be factual and specific enough for an engineer or laboratory to act on it.

    Add two fields that the traffic-light view usually misses: owner and acceptance condition. The owner may be the manufacturer, importer, integrator, test laboratory, translation provider or hotel. The acceptance condition states what closes the gap, such as a revised risk assessment approved under document control or a test report that identifies the exact hardware and software configuration. Without those fields, the register records concern but does not manage work.

    Separate the duties in the supply chain

    The manufacturer owns the technical documentation and the conformity assessment. The Commission’s CE guidance for manufacturers lists the core sequence: identify applicable rules and standards, verify requirements, carry out the assessment, set up technical documentation, issue the declaration and affix the marking. A consultant may review or help prepare evidence, but the consultant does not replace the manufacturer or assume the declaration merely by annotating the file.

    Under Article 13 of the current Regulation, an importer must check that the manufacturer completed the appropriate assessment and drew up Annex IV Part A documentation. The importer keeps a copy of the EU declaration of conformity for at least ten years and must ensure that the technical documentation can be made available to authorities on request. A distributor performs document and marking checks under Article 15. The hotel’s purchase team should identify which role its supplier actually occupies instead of accepting the word “dealer” as a legal classification.

    The hotel is normally the user and employer, not the manufacturer. That can change if it manufactures machinery for its own use or makes a substantial modification under Article 18. Integration decisions involving payload, speed, sensors, maps, APIs, automatic doors or lifts must be screened before they are treated as harmless configuration. Ergasa’s earlier analysis on who is the service robot manufacturer explains the role classification, while the notified-body decision guide covers the Annex I route.

    Test quality, not paper volume

    A good review follows claims across documents. The intended use in the manual should match the risk assessment. The model on the declaration should match the label and test reports. Protective measures in the risk assessment should appear in drawings, control logic, verification records and user instructions. Residual risks should reach the operator. Software that affects a safety function should have a controlled identity and change history.

    Standards need the same treatment. Under Regulation (EU) No 1025/2012, a harmonised standard is adopted following a Commission request, and its reference is published for the relevant legislation. The current implementing decision listing machinery standards for Directive 2006/42/EC is the place to verify published references for the present regime. A supplier’s bare statement that it used “ISO standards” does not establish which requirements receive a presumption of conformity.

    The 2022 Blue Guide is useful for checking the horizontal logic of technical documentation, traceability and economic-operator roles. It is guidance, not a substitute for the sector legislation. Record which source controls each conclusion so that a future reviewer can distinguish law, Commission guidance, a harmonised standard and the team’s own interpretation.

    Turn technical file gaps into scoped work and cost drivers

    Closing cost is not the number of red cells multiplied by a standard fee. One missing declaration may take little time after the evidence is complete. One inadequate risk assessment may require design changes, software work and repeat testing. Price each gap as a work package only after the acceptance condition and responsible party are clear.

    Rank technical file gaps by the decision they block, not by how untidy the document looks. A gap tied to an unresolved safety function or conformity route carries a different procurement consequence from a formatting defect.

    Work package Typical trigger Cost driver to quote
    Document reconstruction Drawings, bills of materials or design calculations are absent or uncontrolled. Engineering hours, product variants and access to original design data.
    Risk-assessment repair Hazards, applicable requirements or risk-reduction measures are incomplete. System boundaries, operating modes, interfaces and specialist disciplines.
    Verification or testing A safety claim has no traceable result or the tested configuration differs. Laboratory scope, samples, fixtures, travel, repeat tests and report revision.
    Software evidence Safety-related versions, logic, validation or update control are unclear. Code access, architecture review, configuration baseline and regression tests.
    Conformity-body work The chosen Article 25 route requires independent assessment. Scope, review rounds, testing, audit time and corrective actions.
    Instructions and translation Required information is missing, inconsistent or unavailable for the Greek user. Source quality, technical writing, languages, review and controlled reissue.

    Use a transparent estimate: total gap-close cost equals internal hours at the hotel’s or importer’s loaded rate, plus supplier engineering, external testing, conformity-body fees where applicable, translation, travel, samples, retesting, and operational delay. Keep every input as a quote or named assumption. Do not manufacture a return-on-investment percentage from an unfinished file.

    The market-surveillance framework in Regulation (EU) 2019/1020 gives authorities powers to request documents, technical specifications and compliance information, including access to embedded software where necessary. That enforcement exposure is one reason to cost document access and retrieval time rather than assume the supplier will answer later.

    Use procurement gates instead of a certificate claim

    The mark-up should control commercial decisions. A hotel can tie deposit release, shipment, final payment, site acceptance and go-live to different evidence states. A missing manual translation may block go-live but not factory testing. A missing conformity route or an unresolved safety-control test should block acceptance much earlier. The contract must say which party pays for closure and what happens if the evidence never arrives.

    Keep the review conclusion narrow: “no unresolved gaps were found against the stated scope and documents reviewed” is defensible when true. “CE approved” is not. CE marking is the manufacturer’s declaration after the applicable assessment, not a general approval sold by a reviewer. The original legal act and its consolidated version should remain the reference points for the final legal check.

    A procurement review has limits. It may not establish whether hidden source code implements the claimed safety logic, whether a sample represents series production, or whether an interface change is substantial. State unavailable evidence, sampling limits, translations relied upon, software access limits and unresolved legal interpretation. Where the route, Annex I classification or test scope is uncertain, obtain advice from a qualified machinery-safety professional, competent legal adviser or appropriately notified body.

    This analysis is not legal advice and does not certify a robot. Its purpose is to stop a hotel from confusing a neat document pack with a demonstrated conformity case. The next decision is practical: freeze payment or deployment at the relevant gate until the named owner supplies evidence that meets the recorded acceptance condition.

    Frequently asked questions

    Does a complete mark-up prove that the robot is CE compliant?

    No. It records the scope and result of a document review. The manufacturer remains responsible for the applicable conformity assessment, technical documentation, EU declaration and CE marking. A reviewer should not describe the spreadsheet as a certificate.

    Can we accept a test report for a similar robot model?

    Only after the manufacturer shows why the tested configuration represents the purchased product and which claims the report supports. Differences in payload, sensors, brakes, control software, battery or operating environment may make the report inadequate.

    Must the hotel receive the manufacturer’s entire technical file?

    The Regulation requires the manufacturer to keep the documentation available to authorities, while the importer must ensure it can be made available. A hotel may not have an automatic right to every confidential design detail. It should contract for enough evidence, access and response obligations to complete due diligence and support safe deployment.

    How should we price an inadequate risk assessment?

    Do not assign a flat price to the label. Define the missing hazards, interfaces, requirements, protective measures and verification work. Then obtain quotes for the engineering, testing, documentation and review needed to meet the acceptance condition.

    What happens when software changes after the review?

    Screen the change against the risk assessment, safety functions, intended use and configuration baseline. Update affected evidence and repeat verification where necessary. A file that matched version A does not automatically support version B.