CRA 網絡韌性法案：重要和關鍵產品類別

Sytance · 更新於 2026年10月6日

適用 CRA 的產品，其核心功能符合附件 III 或附件 IV 所列類別時，屬於重要產品或關鍵產品。歐盟委員會實施條例 (EU) 2025/2392 進一步説明了各類別的技術含義。

法規 2025/2392 技術説明

歐盟委員會應在 2025 年 12 月 11 日之前通過一項實施法案，規定附件 III 所列 I 類和 II 類含數字要素產品類別的技術説明，以及附件 IV 所列含數字要素產品類別的技術説明。該實施法案應按照第 62 條第 2 款所述的審查程序通過。

英文原文：
By 11 December 2025, the Commission shall adopt an implementing act specifying the technical description of the categories of products with digital elements under classes I and II as set out in Annex III and the technical description of the categories of products with digital elements as set out in Annex IV. That implementing act shall be adopted in accordance with the examination procedure referred to in Article 62(2).
歐盟條例 (EU) 2024/2847, 第 7 條第 4 款（中文為非官方譯文；英文為原文）

實施條例 (EU) 2025/2392 解釋附件 III 和附件 IV 中各類別的技術含義，為歐盟各地採用一致的分類依據提供支持。類別清單仍以 CRA 兩個附件為準。

完整技術説明及其解讀方法見法規 2025/2392 技術説明。

核心功能

分類取決於產品的核心功能。按歐盟委員會常見問題解答，主要用途不同的產品，不會僅因包含、嵌入或可模擬某項列明功能，就成為重要或關鍵產品。

產品內部組件

嵌入式瀏覽器本身不會讓新聞 App 變成瀏覽器產品。

設備內的安全硬件

筆記本電腦內的安全元件本身不會讓筆記本電腦變成安全元件產品。

相似能力

SOAR 軟件可以執行類似 SIEM 的任務，但不一定以 SIEM 作為核心功能。

重要產品

附件 III 將重要產品分為 I 類和 II 類。II 類產品的合格評定要求更嚴格。下面列出類別名稱；技術説明見法規 2025/2392。

I 類重要產品

II 類重要產品

關鍵產品

附件 IV 列出關鍵產品類別，包括帶安全防護盒的硬件設備、智能計量網關及其他用於高級安全目的的設備，以及智能卡和安全元件。

帶安全防護盒的硬件設備
指令 (EU) 2019/944 第 2 條第 23 項所定義智能計量系統中的智能計量網關，以及其他用於高級安全目的（包括安全密碼處理）的設備
智能卡或類似設備，包括安全元件

分類對合格評定的影響

產品類別決定可以採用哪些合格評定途徑來證明符合附件 I。它不決定產品是否在適用範圍內，也不替代網絡安全風險評估。

I 類重要產品採用內部控制時，相關要求須由實際採用的協調標準、通用規範或適用認證方案覆蓋；否則需要採用更嚴格的評定路徑。
II 類重要產品採用模塊 B+C、模塊 H，或適用的歐洲網絡安全認證方案。
關鍵產品在滿足第 8 條第 1 款規定的條件時採用認證途徑；否則按第 32 條第 3 款的 II 類路徑處理。
附件 III 中的重要自由和開源軟件產品，如果在投放市場時公開第 31 條要求的技術文檔，可以採用第 32 條第 1 款路徑。

路徑細節見合格評定。