基本网络安全要求

Annex I 结构

Annex I 只有两个部分。Part I 面向产品。Part II 面向 manufacturer 的漏洞处理流程。Article 6 将两者连接起来：产品要投放市场，产品本身必须满足适用的 Part I 要求，manufacturer 的流程也必须满足 Part II。

Article 13 仍然重要，但它不是 Annex I 的第三部分。它要求 manufacturer 评估网络安全风险，并在适用 Part I 产品要求时使用该评估。

Part I: 产品网络安全属性

Part I 先给出总体结果，然后列出在风险基础上适用的安全属性。CRA 覆盖的软件、硬件、组件和远程数据处理形态很多，因此这些属性不是一套固定实现方案。

Products with digital elements shall be designed, developed and produced in such a way that they ensure an appropriate level of cybersecurity based on the risks.

Regulation (EU) 2024/2847, Annex I, Part I, point (1)

消费 App、工业 VPN 和可复用硬件组件面对的风险可能完全不同，即使它们读到的是同一句 Annex I 要求。风险评估解释某项要求如何适用于该产品，以及 manufacturer 为什么认为某项要求不适用。

Part I 主要关注产品是否能够做到这些事：

• 以安全默认配置进入市场，并且没有已知可利用漏洞；
• 通过安全更新处理漏洞，包括在适合产品时使用自动更新；
• 保护访问、保密性、完整性、可用性、命令、程序、配置和被处理数据；
• 限制攻击面，并减少安全事件影响；
• 记录和监控相关安全活动，同时给用户退出机制；
• 让用户安全删除数据和设置，并在支持数据转移时安全转移数据。

这些是产品属性，不是单一技术模板。消费设备、专业网络产品、SDK 或用于集成的 firmware，可能用不同技术选择满足同一要求。

Part II: 漏洞处理流程

Part II 面向 manufacturer 的流程。它从产品投放市场开始，并在支持期限内继续适用。它也覆盖产品中组件的漏洞，因此组件可见性和上游沟通很重要。

标准和证据

Harmonised standards 只有在相关引用发布于 Official Journal of the European Union 后，才会支持 presumption of conformity。草案、映射和行业标准仍可作为证据，但不能替代 Article 13 要求的产品特定风险评估。

CRA 标准化请求 M/606 要求欧洲标准化组织制定横向和垂直标准。委员会 FAQ 将横向成果分为风险化产品框架、Part I 产品属性和 Part II 漏洞处理；同时也包括面向 important 和 critical 产品类别的垂直标准。

技术文件应把产品风险评估、选用标准或其他技术措施、已实现的产品安全属性和漏洞处理流程连接起来。标准可以让这条证据线更容易被审查，但连接仍必须落到实际产品。

关于通用安全控制的公开资料，见 prEN 40000-1-4 公开资料 。关于漏洞处理草案，见 prEN 40000-1-3 漏洞处理 。