CRA 技術文檔清單

技術文檔編制義務

技術文檔應包含製造商為確保含數字要素產品及其建立的流程符合附件 I 規定的基本網絡安全要求而採用的手段的全部相關數據或細節。技術文檔至少應包含附件 VII 所列要素。

英文原文：
The technical documentation shall contain all relevant data or details of the means used by the manufacturer to ensure that the product with digital elements and the processes put in place by the manufacturer comply with the essential cybersecurity requirements set out in Annex I. It shall at least contain the elements set out in Annex VII.

歐盟條例 (EU) 2024/2847, 第 31 條第 1 款（中文為非官方譯文；英文為原文）

第 31 條要求技術文檔説明產品及製造商流程如何符合附件 I。因此，文檔既包括產品設計，也包括髮布後處理漏洞的安排。

時間和更新

技術文檔應在含數字要素產品投放市場之前編制，並應在適當情況下至少在支持期內持續更新。

英文原文：
The technical documentation shall be drawn up before the product with digital elements is placed on the market and shall be continuously updated, where appropriate, at least during the support period.

歐盟條例 (EU) 2024/2847, 第 31 條第 2 款（中文為非官方譯文；英文為原文）

技術文檔須在產品投放市場前備齊，並在支持期內隨影響符合性的變更及時更新。

• 產品設計、架構、軟件版本或更新方法發生變化後，可能需要修訂技術文檔。
• 風險評估結論發生變化後，可能需要修訂技術文檔。
• 發現新的漏洞信息後，可能需要補充技術文檔。
• 經過重新設計或重新評估的產品，應有能識別變更版本的文件。

附件 VII 內容

附件 VII 規定技術文檔至少包含哪些信息。具體資料的深度和組織方式，則取決於產品的設計和適用要求。

按產品發佈版本整理附件 VII 清單

以下索引對應附件 VII 的八項內容，是整理信息的示例。法規並未要求使用這套目錄，或分別導出八份文件。引用的每份記錄都應能對應到適用的產品和版本。

1. 產品説明：預期用途、影響合規的軟件版本、相關硬件圖片與標識，以及附件 II 用戶信息。
2. 設計與流程：架構和組件關係；漏洞處理、SBOM、披露政策、報告聯繫地址和安全更新；生產、監控及流程驗證。
3. 網絡安全風險評估：產品面臨的風險，以及附件 I 第一部分要求的適用性理由。
4. 支持期：確定支持期長度時考慮的信息。
5. 標準與技術方案：使用的條款、其狀態與應用範圍，以及未覆蓋要求所採用的技術方案。
6. 驗證報告：針對適用基本要求，對產品和漏洞處理流程開展的測試。
7. 歐盟符合性聲明：與所評定產品對應的聲明。
8. 主管機關請求的 SBOM：市場監管機關提出説明理由的請求，且為核查附件 I 符合性所必需時，提供相應 SBOM。

例如，虛構控制器的 1.2 版本索引可以關聯該版本的產品説明、架構修訂、風險評估、SBOM、更新測試和用戶説明。新版風險評估引用舊固件測試報告時，需要説明被測控制是否仍適用於當前版本。

應按適用的附件 VII 信息和本次評估的產品版本檢查完整性。文檔索引幫助評審人員找到各項結論背後的分析與結果，以及仍然缺少的信息。

相關證據

風險評估説明為什麼選擇相應安全措施，組件記錄標明涉及哪些軟件，漏洞處理記錄則説明發現新問題後如何響應。以下專題分別解釋各類記錄的內容與用途。

風險評估

第 13 條第 4 款要求將網絡安全風險評估納入技術文檔。評估説明附件 I 如何適用於產品；製造商認為某項產品安全要求不適用時，也要説明理由。

歐盟委員會常見問題解答説明，無論產品在歐盟內外製造，產品投放市場時文件都必須可用。該解答還説明，後續重新設計和重新評估應反映在技術文檔中。

合格評定和主管機關查閲

技術文檔主要用於合格評定和市場監管。歐盟委員會常見問題解答説明，它通常不需要向客户或公眾提供。

其中要求公開技術文檔的主要例外，是某些使用第 32 條第 5 款自我評定路徑的重要自由和開源軟件產品。