CRA：prEN 40000-1-2 網絡彈性原則草案

草案狀態

本文依據的文本於 2025 年 10 月提交徵求意見。本頁説明這一具體草案版本，不表示徵求意見仍在進行，也不表示它是最新文本。後續版本的要求可能變化，該草案本身不產生 CRA 下的符合性推定。

M/606 條目 1 要求制定一項歐洲標準，説明如何設計、開發和生產含數字要素的產品，使其基於風險達到適當的網絡安全水平。該 M/606 條目的期限是 2026 年 8 月 30 日。

與附件 I 的關係

含數字要素產品的設計、開發和生產方式應確保其基於風險達到適當的網絡安全水平。

英文原文：
Products with digital elements shall be designed, developed and produced in such a way that they ensure an appropriate level of cybersecurity based on the risks.

歐盟條例 (EU) 2024/2847, 附件 I 第一部分第 1 項（中文為非官方譯文；英文為原文）

prEN 40000-1-2 主要對應第一部分的上述總體要求，側重流程和生命週期管理。它不會替代附件 I 第一部分第 2(a) 至 2(m) 項中更具體的產品安全要求，也不是漏洞處理標準。

網絡安全原則

2025 年 10 月草案第 5 章提出四項原則，用於產品規劃、設計、實現、生產和維護：基於風險的方法、安全設計、安全默認配置和透明性。

風險管理結構

草案要求在產品生命週期中持續開展風險管理。評估前需要明確產品及其使用條件，因為同一軟件或硬件在不同場景中可能面臨不同風險。

生命週期活動

草案將這些原則應用到以下生命週期活動中。不同開發模式可以採用不同安排，但都需要計劃、執行和檢查安全工作，並隨產品變化及時更新。

• 產品網絡安全規劃；
• 產品網絡安全要求；
• 網絡安全架構與設計；
• 安全實現；
• 網絡安全驗證與確認；
• 安全生產與分發；
• 網絡安全問題管理；
• 產品監控；
• 安全退役規劃；
• 第三方組件網絡安全管理。

與其他標準的分工

prEN 40000-1-2 是原則和生命週期風險標準。漏洞處理屬於 prEN 40000-1-3 漏洞處理。產品特定標準則可針對瀏覽器、路由器、防火牆、安全元件等重要或關鍵產品，規定相應類別的具體要求。

CRA 標準體系的整體介紹見 標準與協調標準。