CRA 網絡韌性法案概覽

目的和結構

消費產品和工業產品在滿足適用條件時都可能受到 CRA 約束。先明確產品範圍及是否存在排除情形，再根據企業角色和產品分類，確定需要履行的義務與可採用的合格評定路徑。

下方主題頁分別解釋這些問題，並提供法律定義、產品示例和來源，供分析具體產品是否適用、需要滿足哪些要求時查閲。

核心概念

按工作職責選擇閲讀路徑

產品負責人、安全工程師和合格評定團隊關注的問題不同，可以按以下工作職責選擇閲讀重點。

• 產品與合規負責人：確認供應的產品和版本、CRA 是否適用、企業角色、產品類別，以及相應義務的適用日期。
• 安全與研發團隊：根據產品架構、資產、信任邊界、組件和更新設計，開展網絡安全風險評估。
• 漏洞處理團隊：維護組件和漏洞記錄，判斷產品影響並安排處置；出現相關事實時及時評估第 14 條報告條件。
• 技術文檔與評定團隊：整理對應產品的證據，核實標準和評定路徑，使技術文檔與發佈版本保持一致。

例如，一款聯網設備可能依賴嵌入式固件、應用程序和製造商負責的遠程處理。應先明確法規所指的產品包含哪些部分，再確保風險評估、組件記錄和技術文檔覆蓋同一產品範圍。

製造商閲讀順序

先判斷產品是否適用，再查閲責任主體、產品類別和適用要求。報告規則需要單獨核對：第 14 條自 2026 年 9 月 11 日起適用，早於主要產品要求。

1. 先閲讀 適用範圍內的產品 和 投放市場 ，確認 CRA 是否適用於該產品。
2. 通過 角色和義務 確定經濟運營者角色。
3. 藉助 產品分類 和 歐盟實施條例 2025/2392 技術説明 對產品進行分類。
4. 閲讀 基本網絡安全要求 ，瞭解產品要求和製造商的流程義務。
5. 查閲 協調標準和符合性推定 和 按產品類別劃分的候選標準 ，瞭解可採用的標準及其法律效果。
6. 繼續閲讀 網絡安全風險評估、 技術文件 和 用戶信息和説明。
7. 利用 漏洞報告 和 第 14 條報告準備 準備第 14 條報告。
8. 參照關鍵日期，區分報告義務生效日、公告機構規則生效日、過渡規則和全面適用日。

適用範圍內的產品

本條例適用於在市場上提供的含數字要素產品，其預期用途或合理可預見的使用包括與設備或網絡建立直接或間接的邏輯或物理數據連接。

英文原文：
This Regulation applies to products with digital elements made available on the market, the intended purpose or reasonably foreseeable use of which includes a direct or indirect logical or physical data connection to a device or network.

歐盟條例 (EU) 2024/2847, 第 2 條第 1 款（中文為非官方譯文；英文為原文）

含數字要素的產品可以是軟件、硬件、單獨投放市場的軟件或硬件組件，也可以涵蓋產品的遠程數據處理解決方案。遠程處理僅在滿足以下條件時才屬於產品的一部分：由製造商設計、開發或由其負責，並且缺少該處理將導致產品無法執行其某一項功能。

網站或雲服務是否屬於產品，需要按遠程數據處理的定義判斷。獨立於製造商產品責任的服務，不會僅因產品能夠連接它就被納入；具體條件和排除情形見適用範圍頁。

角色和產品類別

同一產品的製造商、進口商和分銷商可能分別承擔義務。產品分類則用於確定可以或必須採用的合格評定路徑。判斷是否屬於重要或關鍵產品，要看產品本身的核心功能。

• 默認類別產品仍受 CRA 約束，通常可採用基於內部控制的合格評定路徑。
• 重要產品列於附件 III，並分為 I 類和 II 類。
• 關鍵產品列於附件 IV，可能面臨認證或更嚴格的第三方評定路徑。
• 歐盟委員會實施條例 (EU) 2025/2392 為重要和關鍵產品類別提供了技術説明。

產品不會僅因包含清單所列的組件就成為重要或關鍵產品。分類要看整個產品是否具有該類別的核心功能。

基本要求和標準

第 6 條要求產品及製造商的漏洞處理流程符合附件 I；附件的兩個部分分別規定相關要求。協調標準的引用刊載於《歐盟官方公報》後，可對其覆蓋的要求提供符合性推定。

附件 I 的結構，以及標準如何用於證明符合性，見對應專題。 基本網絡安全要求 和 協調標準和符合性推定。

報告和漏洞處理

漏洞處理是貫穿產品生命週期的持續性義務。報告義務的範圍更窄，僅在特定事件觸發時才產生。自 2026 年 9 月 11 日起，當製造商知悉產品中存在正在被積極利用的漏洞，或發生影響產品安全的嚴重事件時，第 14 條的報告義務即被觸發。

• 早期預警：製造商知悉後 24 小時內。
• 通知：製造商知悉後 72 小時內，除非相關信息已經提供。
• 正在被積極利用的漏洞的最終報告：糾正或緩解措施可用後不晚於 14 天。
• 嚴重事件的最終報告：72 小時通知後一個月內。

關鍵日期

CRA 於 2024 年 11 月 20 日公佈於《歐盟官方公報》，2024 年 12 月 10 日正式生效。法規採用分階段適用方式：報告義務和公告機構規則先行生效，早於全面適用日期。