CRA 网络弹性法案概览

目的和结构

消费产品和工业产品在满足适用条件时都可能受到 CRA 约束。先明确产品范围及是否存在排除情形，再根据企业角色和产品分类，确定需要履行的义务与可采用的合格评定路径。

下方主题页分别解释这些问题，并提供法律定义、产品示例和来源，供分析具体产品是否适用、需要满足哪些要求时查阅。

核心概念

按工作职责选择阅读路径

产品负责人、安全工程师和合格评定团队关注的问题不同，可以按以下工作职责选择阅读重点。

• 产品与合规负责人：确认供应的产品和版本、CRA 是否适用、企业角色、产品类别，以及相应义务的适用日期。
• 安全与研发团队：根据产品架构、资产、信任边界、组件和更新设计，开展网络安全风险评估。
• 漏洞处理团队：维护组件和漏洞记录，判断产品影响并安排处置；出现相关事实时及时评估第 14 条报告条件。
• 技术文档与评定团队：整理对应产品的证据，核实标准和评定路径，使技术文档与发布版本保持一致。

例如，一款联网设备可能依赖嵌入式固件、应用程序和制造商负责的远程处理。应先明确法规所指的产品包含哪些部分，再确保风险评估、组件记录和技术文档覆盖同一产品范围。

制造商阅读顺序

先判断产品是否适用，再查阅责任主体、产品类别和适用要求。报告规则需要单独核对：第 14 条自 2026 年 9 月 11 日起适用，早于主要产品要求。

1. 先阅读 适用范围内的产品 和 投放市场 ，确认 CRA 是否适用于该产品。
2. 通过 角色和义务 确定经济运营者角色。
3. 借助 产品分类 和 欧盟实施条例 2025/2392 技术说明 对产品进行分类。
4. 阅读 基本网络安全要求 ，了解产品要求和制造商的流程义务。
5. 查阅 协调标准和符合性推定 和 按产品类别划分的候选标准 ，了解可采用的标准及其法律效果。
6. 继续阅读 网络安全风险评估、 技术文件 和 用户信息和说明。
7. 利用 漏洞报告 和 第 14 条报告准备 准备第 14 条报告。
8. 参照关键日期，区分报告义务生效日、公告机构规则生效日、过渡规则和全面适用日。

适用范围内的产品

本条例适用于在市场上提供的含数字要素产品，其预期用途或合理可预见的使用包括与设备或网络建立直接或间接的逻辑或物理数据连接。

英文原文：
This Regulation applies to products with digital elements made available on the market, the intended purpose or reasonably foreseeable use of which includes a direct or indirect logical or physical data connection to a device or network.

欧盟条例 (EU) 2024/2847, 第 2 条第 1 款（中文为非官方译文；英文为原文）

含数字要素的产品可以是软件、硬件、单独投放市场的软件或硬件组件，也可以涵盖产品的远程数据处理解决方案。远程处理仅在满足以下条件时才属于产品的一部分：由制造商设计、开发或由其负责，并且缺少该处理将导致产品无法执行其某一项功能。

网站或云服务是否属于产品，需要按远程数据处理的定义判断。独立于制造商产品责任的服务，不会仅因产品能够连接它就被纳入；具体条件和排除情形见适用范围页。

角色和产品类别

同一产品的制造商、进口商和分销商可能分别承担义务。产品分类则用于确定可以或必须采用的合格评定路径。判断是否属于重要或关键产品，要看产品本身的核心功能。

• 默认类别产品仍受 CRA 约束，通常可采用基于内部控制的合格评定路径。
• 重要产品列于附件 III，并分为 I 类和 II 类。
• 关键产品列于附件 IV，可能面临认证或更严格的第三方评定路径。
• 欧盟委员会实施条例 (EU) 2025/2392 为重要和关键产品类别提供了技术说明。

产品不会仅因包含清单所列的组件就成为重要或关键产品。分类要看整个产品是否具有该类别的核心功能。

基本要求和标准

第 6 条要求产品及制造商的漏洞处理流程符合附件 I；附件的两个部分分别规定相关要求。协调标准的引用刊载于《欧盟官方公报》后，可对其覆盖的要求提供符合性推定。

附件 I 的结构，以及标准如何用于证明符合性，见对应专题。 基本网络安全要求 和 协调标准和符合性推定。

报告和漏洞处理

漏洞处理是贯穿产品生命周期的持续性义务。报告义务的范围更窄，仅在特定事件触发时才产生。自 2026 年 9 月 11 日起，当制造商知悉产品中存在正在被积极利用的漏洞，或发生影响产品安全的严重事件时，第 14 条的报告义务即被触发。

• 早期预警：制造商知悉后 24 小时内。
• 通知：制造商知悉后 72 小时内，除非相关信息已经提供。
• 正在被积极利用的漏洞的最终报告：纠正或缓解措施可用后不晚于 14 天。
• 严重事件的最终报告：72 小时通知后一个月内。

关键日期

CRA 于 2024 年 11 月 20 日公布于《欧盟官方公报》，2024 年 12 月 10 日正式生效。法规采用分阶段适用方式：报告义务和公告机构规则先行生效，早于全面适用日期。