CRA 網絡韌性法案：合格評定
Sytance · 更新於
CRA 合格評定是用以證明適用範圍內產品及製造商流程滿足附件 I 的法律程序。產品分類有助於選擇路徑，但評定本身是一個獨立步驟。
評定對象
製造商應對含數字要素產品以及製造商建立的流程進行合格評定，以確定是否滿足附件 I 規定的基本網絡安全要求。
英文原文：
The manufacturer shall perform a conformity assessment of the product with digital elements and the processes put in place by the manufacturer to determine whether the essential cybersecurity requirements set out in Annex I are met.歐盟條例 (EU) 2024/2847, 第 32 條第 1 款（中文為非官方譯文；英文為原文）
第 32 條要求同時評定附件 I 的兩部分：產品是否滿足第一部分的網絡安全要求，以及製造商的漏洞處理流程是否滿足第二部分。
評定通過的結論為技術文檔、歐盟符合性聲明和 CE 標誌提供支撐。評定本身不會改變產品類別——類別決定哪些評定路徑可用。
合格評定路徑
第 32 條規定了四種合格評定途徑。選擇哪一種，主要取決於產品類別、是否採用協調標準或通用規範，以及能否採用相應的網絡安全認證方案。
模塊 A
內部控制。製造商自行評定產品，並對其符合性聲明負責。
模塊 B+C
公告機構進行型式檢驗，製造商隨後確保生產的產品與獲批准型式一致。
模塊 H
全面質量保證。公告機構評定製造商針對適用範圍內產品的質量體系。
網絡安全認證
符合第 27 條或第 8 條規定的條件時，可以採用相應的歐洲網絡安全認證方案。
分類和路徑選擇
默認類別產品可採用內部控制。重要產品、關鍵產品，以及無法通過相關標準、通用規範或認證完整覆蓋適用要求的 I 類產品，需要按以下規則選擇評定路徑。
默認類別產品可採用第 32 條第 1 款規定的評定途徑，包括模塊 A。製造商也可主動選擇更嚴格的路徑。
I 類產品採用第 32 條第 1 款路徑時，相關要求須由實際採用的協調標準、通用規範，或保障等級至少為 substantial（實質級）的認證覆蓋。未被覆蓋的要求需要採用模塊 B+C 或模塊 H。
II 類產品使用模塊 B+C、模塊 H，或保障等級至少為 substantial（實質級）的適用歐洲網絡安全認證方案。
附件 IV 關鍵產品在滿足第 8 條第 1 款規定的條件時，須採用認證途徑。如果不滿足第 8 條第 1 款條件，則按第 32 條第 3 款的 II 類路徑處理。
附件 III 中的重要自由和開源軟件產品，如果在投放市場時公開第 31 條要求的技術文檔，可以採用第 32 條第 1 款路徑。
標準和認證
第 27 條規定了採用標準、通用規範和網絡安全認證證明符合性的條件，三者的法律效果有所不同。
- 協調標準只對已發佈標準引用所覆蓋的附件 I 要求產生符合性推定。
- 通用規範也可以對其覆蓋的要求產生符合性推定。
- 歐洲網絡安全證書可以對其覆蓋的要求產生符合性推定。
- 如果證書由第 27 條第 9 款所述授權法案指定，且保障等級至少為 substantial（實質級），其覆蓋的相應要求可以免於另行第三方評定。
文檔、聲明和 CE 標誌
產品投放市場前，製造商需編制技術文檔和歐盟符合性聲明。聲明確認產品滿足適用的附件 I 要求；技術文檔則須在支持期內按需要更新。
- 技術文檔應包含證明產品及流程滿足附件 I 要求的數據和具體説明。
- 歐盟符合性聲明按附件 V 的示範格式編寫；採用簡化聲明時，按附件 VI 編寫。
- CE 標誌在產品投放市場前加貼；對軟件，可以出現在聲明或隨軟件產品提供的網站上。
- 使用模塊 H 時，CE 標誌後跟公告機構的識別號。