CRA 網絡韌性法案：常見問題
Sytance · 更新於
以下回答解釋軟件、支持期與報告等常見 CRA 問題，依據法規、歐盟委員會常見問題解答及 2026 年 7 月 27 日發佈的委員會指南，並鏈接到詳細專題。
來源狀態
法規規定法律要求。歐盟委員會常見問題解答和指南解釋要求的實施方式，這些解釋文件不具有法律約束力。
這些常見問題的回答不會以任何方式擴大適用法律所規定的權利和義務，也不會引入任何額外要求。
英文原文：
The replies to the FAQs do not extend in any way the rights and obligations deriving from applicable legislation nor introduce any additional requirement.歐盟委員會 CRA 實施常見問題解答，開篇説明（中文為非官方譯文；英文為原文）
歐盟委員會在前期徵求意見後，於 2026 年 7 月 27 日發佈 C(2026) 5252 指南，解釋適用範圍、開源軟件、實質性修改和支持期，以及風險評估、遠程處理與報告。
適用範圍和市場供應
是的，只要滿足 CRA 的適用範圍條件。含數字要素的產品可以是軟件、硬件、構成產品一部分的遠程數據處理方案，或單獨投放市場的軟件或硬件組件。
作為產品供應的軟件，在滿足 CRA 定義和市場條件時可能適用，包括獨立應用和固件。開發工具與軟件組件也應按相同適用條件判斷，不能僅憑名稱下結論。
詳見 適用範圍內的產品。
獨立 SaaS 或不由製造商負責開發的雲服務，不會自動成為含數字要素的產品。雲端功能如果符合“遠程數據處理”的定義，則可能構成產品的一部分。
遠程數據處理屬於產品的一部分，需要同時滿足三個條件：處理在遠程進行；產品缺少它就無法執行某項功能；處理軟件由製造商設計、開發或由其負責。
詳見 適用範圍內的產品。
不需要。CRA 的適用條件是產品能否建立數據連接，不限於能否訪問互聯網。連接可以是邏輯或物理、直接或間接連接。
相關例子包括：
- 通過 API、網絡套接字、管道、文件、瀏覽器 HTTPS 會話或電子郵件協議形成的邏輯連接；
- 通過 USB、以太網、光纖、現場總線、Wi-Fi、藍牙、NFC 或其他無線電鏈路形成的物理連接；
- 通過本身可連接到設備或網絡的主機系統形成的間接連接。
詳見 適用範圍內的產品。
通常不在。《藍色指南》説明，僅為自用而製造產品，不構成投放市場。歐盟委員會常見問題解答將這一點用於 CRA 示例，例如製造商為自身使用而製作的開發和配置工具。
如果該工具後來作為獨立產品投放市場，就需要按含數字要素產品的適用條件重新判斷。
詳見 投放市場。
歐盟委員會常見問題解答區分已投放市場的產品與新投放的產品。前者可在聲明的支持期結束後繼續銷售或分銷。
製造商繼續投放同型號的新產品時，仍須根據第 13 條第 8 款為這些新投放產品設定支持期。
詳見 支持期。
軟件和開源
可以，但只能依據第 4 條第 3 款的測試規則。軟件只能在測試所需的有限期間內提供，並且必須清楚標示該軟件不符合 CRA，且不會用於測試以外目的。
歐盟委員會常見問題解答同時引用序言第 37 段：製造商應在風險評估後發佈此類軟件，並儘可能滿足安全和漏洞處理要求。
可以。第 13 條第 11 款允許公開歸檔軟件歷史版本，方便用戶獲取。製造商必須在用戶易於查閲的位置，清楚説明使用不再受支持版本的風險。
保留歷史版本不等於繼續提供支持。製造商需要讓用戶清楚瞭解：該歸檔版本已停止支持，繼續使用存在安全風險。
安全、支持和報告
不一定。製造商必須評估該漏洞是否與產品相關，以及它造成什麼風險。補救措施必須匹配該風險。
補救可以是補丁，也可以是其他措施，例如安全公告、配置指導、臨時處置方案、更新後的用戶信息，或後續軟件更新。CRA 要求根據含數字要素的產品所面臨的風險，及時地處理和修復漏洞。
詳見 漏洞處理記錄。
不是。五年是最低保障，不是每個產品的默認值。合理預計產品會使用更長時間時，可能需要設定更長的支持期。
只有當產品預期使用時間少於五年時，才允許更短支持期。在這種情況下，支持期對應預期使用時間。
詳見 支持期。
製造商需要報告其產品中正在被積極利用的漏洞。漏洞來自集成組件且可在成品中被利用時，由成品製造商報告；組件本身作為獨立產品投放市場的，組件製造商也有相應報告義務。
如果組件漏洞不能在製造商的產品中被利用，第 14 條強制報告不會僅因此觸發。製造商仍可能有上游協調或漏洞處理義務。
詳見 漏洞報告。
合格評定和證據
不需要。歐盟委員會常見問題解答説明，製造商可以集成不帶 CE 標誌的組件，包括未投放市場的組件，以及 CRA 適用前已經投放市場的組件。
製造商仍必須履行盡職調查，確保組件不會削弱最終產品的網絡安全。
詳見 SBOM 和組件記錄。
不產生。標準草案可用於準備工作，但不能依據第 27 條產生符合性推定。要獲得這種法律效果，協調標準的引用須先在《歐盟官方公報》中公佈。
這一差別同樣適用於 prEN 40000 草案和產品特定標準草案。製造商可以使用這些草案准備證據，同時分別核查其正式發佈狀態和《歐盟官方公報》引用狀態；草案本身不會自動產生符合性推定。
詳見 協調標準和符合性推定。