CRA 网络弹性法案：合格评定
Sytance · 更新于
CRA 合格评定是用以证明适用范围内产品及制造商流程满足附件 I 的法律程序。产品分类有助于选择路径，但评定本身是一个独立步骤。
评定对象
制造商应对含数字要素产品以及制造商建立的流程进行合格评定，以确定是否满足附件 I 规定的基本网络安全要求。
英文原文：
The manufacturer shall perform a conformity assessment of the product with digital elements and the processes put in place by the manufacturer to determine whether the essential cybersecurity requirements set out in Annex I are met.欧盟条例 (EU) 2024/2847, 第 32 条第 1 款（中文为非官方译文；英文为原文）
第 32 条要求同时评定附件 I 的两部分：产品是否满足第一部分的网络安全要求，以及制造商的漏洞处理流程是否满足第二部分。
评定通过的结论为技术文档、欧盟符合性声明和 CE 标志提供支撑。评定本身不会改变产品类别——类别决定哪些评定路径可用。
合格评定路径
第 32 条规定了四种合格评定途径。选择哪一种，主要取决于产品类别、是否采用协调标准或通用规范，以及能否采用相应的网络安全认证方案。
模块 A
内部控制。制造商自行评定产品，并对其符合性声明负责。
模块 B+C
公告机构进行型式检验，制造商随后确保生产的产品与获批准型式一致。
模块 H
全面质量保证。公告机构评定制造商针对适用范围内产品的质量体系。
网络安全认证
符合第 27 条或第 8 条规定的条件时，可以采用相应的欧洲网络安全认证方案。
分类和路径选择
默认类别产品可采用内部控制。重要产品、关键产品，以及无法通过相关标准、通用规范或认证完整覆盖适用要求的 I 类产品，需要按以下规则选择评定路径。
默认类别产品可采用第 32 条第 1 款规定的评定途径，包括模块 A。制造商也可主动选择更严格的路径。
I 类产品采用第 32 条第 1 款路径时，相关要求须由实际采用的协调标准、通用规范，或保障等级至少为 substantial（实质级）的认证覆盖。未被覆盖的要求需要采用模块 B+C 或模块 H。
II 类产品使用模块 B+C、模块 H，或保障等级至少为 substantial（实质级）的适用欧洲网络安全认证方案。
附件 IV 关键产品在满足第 8 条第 1 款规定的条件时，须采用认证途径。如果不满足第 8 条第 1 款条件，则按第 32 条第 3 款的 II 类路径处理。
附件 III 中的重要自由和开源软件产品，如果在投放市场时公开第 31 条要求的技术文档，可以采用第 32 条第 1 款路径。
标准和认证
第 27 条规定了采用标准、通用规范和网络安全认证证明符合性的条件，三者的法律效果有所不同。
- 协调标准只对已发布标准引用所覆盖的附件 I 要求产生符合性推定。
- 通用规范也可以对其覆盖的要求产生符合性推定。
- 欧洲网络安全证书可以对其覆盖的要求产生符合性推定。
- 如果证书由第 27 条第 9 款所述授权法案指定，且保障等级至少为 substantial（实质级），其覆盖的相应要求可以免于另行第三方评定。
文档、声明和 CE 标志
产品投放市场前，制造商需编制技术文档和欧盟符合性声明。声明确认产品满足适用的附件 I 要求；技术文档则须在支持期内按需要更新。
- 技术文档应包含证明产品及流程满足附件 I 要求的数据和具体说明。
- 欧盟符合性声明按附件 V 的示范格式编写；采用简化声明时，按附件 VI 编写。
- CE 标志在产品投放市场前加贴；对软件，可以出现在声明或随软件产品提供的网站上。
- 使用模块 H 时，CE 标志后跟公告机构的识别号。