欧盟《网络弹性法案》（CRA）深度解读：网络安全合规新要求
欧盟《网络弹性法案》（Cyber Resilience Act，简称 CRA，法规编号 Regulation (EU) 2024/2847）是欧盟针对"带数字元素产品"制定的横向网络安全法规。该法规的核心目标是确保进入欧盟市场的软件、硬件、固件、联网设备和相关远程数据处理方案，在产品设计、开发、上市和维护阶段具备可验证的网络安全能力。
CRA 法规的实施将影响各类数字化产品的合规要求，包括智能硬件、工业设备、车载终端、网络设备、IoT 设备、嵌入式产品、软件产品和网络安全产品等。这些产品需要关注 CRA 对 CE 合规、技术文档、漏洞处理、供应链管理和欧盟市场准入等方面的新要求。
1. CRA 是什么：欧盟产品合规从"传统安全"扩展到"网络安全"
长期以来，产品出口欧盟市场主要关注传统合规要求，包括 CE 标志、电磁兼容性（EMC）、电气安全、无线电设备指令（RED）、机械安全以及计量认证等。这些要求主要针对产品的物理安全、电磁干扰和基本功能性能。
然而，随着数字化技术的普及，越来越多的产品集成了软件、固件、通信接口、远程升级、数据采集和云平台连接等功能。这种转变使得产品面临的风险不再局限于传统的电气安全或电磁兼容问题，而是扩展到了网络安全领域，包括漏洞利用、未授权访问、数据泄露、安全更新缺失以及默认配置不安全等新型威胁。
欧盟《网络弹性法案》（CRA）正是为了应对这一挑战而制定的横向网络安全法规。该法案要求所有带有数字元素的产品在投放欧盟市场前必须满足基本的网络安全要求，并在整个产品支持期内持续处理安全漏洞和事件。从本质上讲，CRA 的关注点从传统的"产品能否正常工作"扩展到了"产品是否安全、漏洞能否及时修复、更新能否持续提供、技术证据是否完整可验证"。
CRA 法规已于 2024 年 12 月 10 日正式生效。根据实施时间表，报告义务将从 2026 年 9 月 11 日开始适用，而主要义务则从 2027 年 12 月 11 日起生效。考虑到产品研发、认证和客户审核通常需要较长时间，相关企业需要提前规划，将 CRA 要求纳入产品设计和合规体系。
2. CRA 适用范围：哪些产品需要重点关注
CRA 法规适用于所有投放或供应欧盟市场的"带数字元素产品"。从技术角度看，任何包含软件、固件、数字硬件组件、网络接口、数据连接能力，或依赖远程数据处理方案的产品，都需要评估是否落入 CRA 的适用范围。
从产品技术特征分析，可能受到 CRA 影响的产品通常具备以下一个或多个特征：
- 软件依赖型产品：核心功能依赖于软件实现的产品
- 网络连接型产品：具备有线或无线网络连接能力的产品
- 数据处理型产品：涉及数据采集、传输、存储或处理功能的产品
- 远程管理型产品：支持远程配置、升级或维护功能的产品
- 安全关键型产品：应用于关键基础设施、工业控制、医疗健康等安全敏感领域的产品
需要特别注意的是，CRA 适用范围的判断标准并非产品生产地，而是产品是否进入欧盟市场。无论通过销售、分销、OEM、ODM、项目交付还是供应链配套等方式，只要产品最终提供给欧盟客户使用，就需要考虑 CRA 合规要求。
3. CRA 和 CE 的关系：CE 是结果标志，CRA 是法规要求之一
产品已经有 CE，还需要关注 CRA 吗？
这里需要先明确，CE 不是某一个单独认证，而是欧盟市场准入合规标志。一个产品进入欧盟市场，可能同时适用多个法规或指令，例如 EMC、LVD、RED、RoHS、机械法规、计量法规，以及 CRA。
当产品属于 CRA 适用范围时，CRA 的网络安全要求就会成为 CE 合规证据链的一部分。企业不能只用传统 EMC、电气安全、无线通信测试报告支撑 CE，还需要补充网络安全风险评估、技术文档、漏洞处理、安全更新、软件组件管理、符合性评估等 CRA 相关材料。
可以简单理解为：
| CE 标志 | 欧盟市场准入合规标志 |
| CRA | 带数字元素产品可能需要满足的网络安全法规要求 |
| 技术文档 | 支撑产品满足 CRA 和其他法规要求的证据 |
| EU 符合性声明 | 企业声明产品满足适用欧盟法规 |
| 市场监督 | 欧盟成员国监管机构对产品进行合规检查 |
4. CRA 核心要求：产品安全能力 + 漏洞处理能力
CRA 的核心要求主要体现在两个方面：一是产品本身要具备基本网络安全能力，二是上市后要具备持续漏洞处理能力。
在产品安全能力方面，需要从设计、开发、生产阶段就考虑网络安全风险。例如默认配置是否安全，是否避免已知可利用漏洞，是否具备身份认证、访问控制、通信加密、日志记录、安全启动、防回滚、数据保护、安全恢复等能力。
在漏洞处理能力方面，企业需要在产品支持期内持续管理漏洞风险，包括建立漏洞接收渠道、漏洞评估机制、漏洞修复流程、补丁发布机制、安全更新机制、SBOM 软件物料清单、组件漏洞跟踪、版本管理和安全事件响应流程。对于智能硬件、工业设备、嵌入式产品这类部署周期长、现场环境复杂的产品，漏洞处理能力会直接影响客户审核和后续市场监管风险。
制造商通常需要准备的内容包括：
| 风险评估 | 识别产品网络安全风险，并纳入设计和文档 |
| 安全设计 | 身份认证、权限控制、加密、安全启动、防回滚等 |
| 组件管理 | 第三方组件、开源组件、SBOM、供应链风险 |
| 技术文档 | 产品架构、安全设计、测试记录、漏洞处理说明 |
| 符合性评估 | 根据产品分类选择内部控制、第三方评估或认证路径 |
| 上市后维护 | 安全更新、漏洞修复、客户通知、事件报告 |
5. CRA 产品分类：默认类别、重要产品、关键产品
CRA 不是所有产品都走同一条合规路径。产品分类会直接影响企业能否自评估、是否需要第三方公告机构、是否需要更高等级网络安全认证。
CRA 下通常可以分为三类：
| 默认类别产品 | 不属于附件 III 重要产品、附件 IV 关键产品的普通带数字元素产品 | 通常可采用内部控制程序 |
| 重要产品 | 具有附件 III 所列核心功能的产品，分为 Class I 和 Class II | 部分情况需要公告机构第三方评估 |
| 关键产品 | 具有附件 IV 所列核心功能的产品 | 通常涉及更严格的第三方评估或欧洲网络安全认证方案 |
产品分类的判断依据主要是产品核心功能而非产品名称。例如，在智能计量领域，普通智能电表需要结合软件、通信和功能判断 CRA 适用性；智能电表网关则可能进入关键产品路径；通信模块、数据集中器、平台软件等也需要分别确认产品边界和投放方式。
根据法规附件，需要重点关注的产品类型包括：身份管理系统、密码管理器、VPN、网络管理系统、SIEM、安全启动管理器、PKI 和证书签发系统、防火墙、入侵检测和防御系统、智能计量系统中的智能电表网关，以及具有高级安全功能的硬件设备。
6. CRA 符合性评估：自评估、第三方评估与网络安全认证
CRA 下的符合性评估，是证明产品满足 CRA 基本网络安全要求的过程。不同产品分类，对应的评估路径不同。
| 默认类别产品 | 通常可采用 Module A 内部控制程序 |
| 重要产品 Class I | 使用协调标准、共同规范或适用网络安全认证方案时，可能采用自评估；否则可能需要第三方评估 |
| 重要产品 Class II | 通常需要公告机构第三方评估，或使用适用网络安全认证方案 |
| 关键产品 | 通常需要更严格评估，或使用适用欧洲网络安全认证方案 |
这里也涉及 CRA 与 EUCC、CC、IEC 62443、EN 18031 等标准和认证的关系。CRA 是法规，规定产品进入欧盟市场需要满足哪些网络安全基本要求；EUCC / CC 是网络安全认证方案，可用于支撑部分产品的高等级安全证明；IEC 62443 常用于工业控制系统和工业组件网络安全；EN 18031 与无线设备网络安全相关，适用于具备无线通信能力并受 RED 网络安全要求影响的产品。
总结
欧盟《网络弹性法案》（CRA）的出台标志着欧盟产品合规框架的重要演进，将网络安全要求正式纳入产品准入的核心考量。这一法规变革反映了全球数字化转型背景下，网络安全已成为产品安全的重要组成部分。
从技术角度看，CRA 合规的核心在于构建系统化的证据链，包括准确的产品分类评估、全面的网络安全设计、有效的漏洞管理流程、完善的技术文档体系，以及正确的符合性评估路径选择。这些要求共同构成了产品进入欧盟市场的网络安全门槛。
从行业影响来看，CRA 的实施将对全球数字化产品供应链产生深远影响。它不仅要求制造商提升产品安全能力，还推动了整个产业链对网络安全风险的重视。随着法规的逐步实施，相关行业需要从技术和管理两个层面系统性地适应新的合规要求。
从发展趋势分析，CRA 代表了全球网络安全监管的一个重要方向。随着各国对数字产品安全要求的不断提高，类似的网络安全法规可能会在其他地区陆续出台，形成全球性的网络安全合规趋势。这要求企业不仅要关注欧盟市场，还要为全球范围内的网络安全合规做好准备。
总体而言，CRA 的实施将推动数字化产品安全水平的整体提升，促进更加安全的数字生态系统建设。对于相关行业从业者而言，深入理解这一法规的技术要求和实施路径，将有助于更好地应对未来的合规挑战。
