CRA 網絡韌性法案：基本網絡安全要求

附件 I 結構

附件 I 分為兩個部分，分別規定產品要求和製造商的漏洞處理流程要求。按照第 6 條，產品投放市場時，產品本身必須滿足第一部分的適用要求，製造商的流程也必須滿足第二部分。

第 13 條要求製造商評估網絡安全風險，以確定第一部分的要求如何適用於具體產品。

第一部分：產品網絡安全屬性

第一部分先規定產品應達到的總體安全要求，再列出應根據風險評估確定是否適用的安全屬性。CRA 覆蓋的軟件、硬件、組件和遠程數據處理形態很多，因此這些屬性不是一套固定實現方案。

含數字要素產品的設計、開發和生產方式應確保其基於風險達到適當的網絡安全水平。

英文原文：
Products with digital elements shall be designed, developed and produced in such a way that they ensure an appropriate level of cybersecurity based on the risks.

歐盟條例 (EU) 2024/2847, 附件 I 第一部分第 1 項（中文為非官方譯文；英文為原文）

消費應用、工業 VPN 和可複用硬件組件面對的風險不同，同一項附件 I 要求也可能需要不同的實現方式。風險評估應説明各項要求如何適用於產品；認為某項要求不適用時，也應説明理由。

第一部分主要關注產品是否能夠做到這些事：

• 以安全默認配置進入市場，並且沒有已知可利用漏洞；
• 通過安全更新處理漏洞，包括在適合產品時使用自動更新；
• 保護訪問、保密性、完整性、可用性、命令、程序、配置和被處理數據；
• 限制攻擊面，並減少安全事件影響；
• 記錄和監控相關安全活動，同時允許用戶選擇退出；
• 讓用戶安全刪除數據和設置，並在支持數據轉移時安全轉移數據。

這些是產品屬性，不是單一技術模板。消費設備、專業網絡產品、SDK 或用於集成的固件，可能採用不同的技術措施來滿足同一要求。

第二部分：漏洞處理流程

第二部分規定製造商的漏洞處理流程，從產品投放市場起持續適用於整個支持期。流程還須處理產品所含組件的漏洞，因此製造商需要掌握組件信息，並與上游供應商保持溝通。

標準和證據

協調標準只有在相關引用發佈於《歐盟官方公報》後，才會支持符合性推定。草案、映射和行業標準仍可作為證據，但不能替代第 13 條要求的產品特定風險評估。

CRA 標準化請求 M/606 包括跨產品類別的橫向標準，以及面向特定產品類別的垂直標準。橫向工作涉及基於風險的產品安全、第一部分的安全屬性和第二部分的漏洞處理；垂直工作則針對重要和關鍵產品類別。

技術文檔應説明，選用的標準或其他技術措施如何應對已識別的產品風險，以及產品設計和漏洞處理流程如何落實這些措施。

關於通用安全控制的公開資料，見 prEN 40000-1-4 公開資料 。關於漏洞處理草案，見 prEN 40000-1-3 漏洞處理 。