CRA 網絡韌性法案：產品網絡安全法規

橫向產品法規

CRA 是產品法規，並非通用的企業網絡安全法規。它關注含數字要素產品能否在歐盟市場上提供、各主體承擔哪些義務，以及產品和製造商的流程是否滿足網絡安全要求。

關於在市場上提供含數字要素產品，以確保此類產品網絡安全的規則；

英文原文：
rules for the making available on the market of products with digital elements to ensure the cybersecurity of such products;

歐盟條例 (EU) 2024/2847, 第 1 條第 a 項（中文為非官方譯文；英文為原文）

法規所説的“橫向網絡安全要求”，是指這些要求適用於多個行業。判斷產品是否適用 CRA，需要檢查產品定義、適用範圍，以及排除條款和與其他法規的銜接規則。

法規出台背景

CRA 的序言指出了兩個核心問題。其一，大量含數字要素的產品在進入市場時安全防護薄弱、存在已知漏洞，或安全更新安排不明。其二，用戶通常缺乏足夠信息來安全地選擇和使用產品。

歐盟希望建立統一的產品網絡安全要求框架，減少內部市場的監管碎片化。因此，CRA 將網絡安全與產品投放市場相聯繫，並與其他適用的歐盟產品、網絡運營和組織安全法規並行適用。

CE 標誌模式

CRA 並未創設新的網絡安全標誌，而是沿用既有的 CE 標誌體系。對於已受其他歐盟產品法規管理並加貼 CE 標誌的產品，CRA 將網絡安全要求納入同一套產品合規文件。

CE 標誌應遵循條例 (EC) No 765/2008 第 30 條規定的一般原則。

英文原文：
The CE marking shall be subject to the general principles set out in Article 30 of Regulation (EC) No 765/2008.

歐盟條例 (EU) 2024/2847, 第 29 條（中文為非官方譯文；英文為原文）

《藍色指南》説明，CE 標誌表示製造商聲明產品符合要求加貼該標誌的適用歐盟法規。它不是質量認證或產地標誌，也不表示每件產品都經過公共機構檢測。

產品文件中的網絡安全內容

CRA 在現有產品合規制度中加入了網絡安全要求。製造商可以沿用熟悉的法律程序，但需要補充相應的技術內容。

• 附件 I 第一部分規定產品自身的網絡安全要求。
• 附件 I 第二部分規定製造商的漏洞處理流程要求。
• 技術文檔須説明產品及流程如何滿足適用要求。
• 合格評定須同時覆蓋產品及製造商的流程。
• 製造商通過歐盟符合性聲明和 CE 標誌，按照歐盟通用產品合規制度聲明產品符合 CRA。

與其他產品法規並行

CRA 不替代既有歐盟產品法規。聯網機械、無線電產品、玩具、工業控制器或醫療器械附件可能已受其他歐盟法規管轄。如果 CRA 也同時適用，製造商須將 CRA 與其他適用法規的要求一併落實。

部分重疊情形在 CRA 中已有直接規定。以下產品類別有自己的排除或限制規則：

• 醫療器械和體外診斷醫療器械；
• 機動車型式批准產品；
• 按照民用航空框架認證的產品；
• 海事設備；
• 相同備件；
• 專門為國家安全或國防目的開發或修改的產品；
• 專門用於處理涉密信息的產品。

其他法規關係則需按產品和被監管風險具體判斷。CRA 可作為以下法規的補充：

• 《機械法規》；
• 《通用產品安全法規》；
• 《無線電設備指令》；
• GDPR；
• 《數據法案》；
• 《人工智能法案》；
• NIS2。