CRA 网络弹性法案：基本网络安全要求

附件 I 结构

附件 I 分为两个部分，分别规定产品要求和制造商的漏洞处理流程要求。按照第 6 条，产品投放市场时，产品本身必须满足第一部分的适用要求，制造商的流程也必须满足第二部分。

第 13 条要求制造商评估网络安全风险，以确定第一部分的要求如何适用于具体产品。

第一部分：产品网络安全属性

第一部分先规定产品应达到的总体安全要求，再列出应根据风险评估确定是否适用的安全属性。CRA 覆盖的软件、硬件、组件和远程数据处理形态很多，因此这些属性不是一套固定实现方案。

含数字要素产品的设计、开发和生产方式应确保其基于风险达到适当的网络安全水平。

英文原文：
Products with digital elements shall be designed, developed and produced in such a way that they ensure an appropriate level of cybersecurity based on the risks.

欧盟条例 (EU) 2024/2847, 附件 I 第一部分第 1 项（中文为非官方译文；英文为原文）

消费应用、工业 VPN 和可复用硬件组件面对的风险不同，同一项附件 I 要求也可能需要不同的实现方式。风险评估应说明各项要求如何适用于产品；认为某项要求不适用时，也应说明理由。

第一部分主要关注产品是否能够做到这些事：

• 以安全默认配置进入市场，并且没有已知可利用漏洞；
• 通过安全更新处理漏洞，包括在适合产品时使用自动更新；
• 保护访问、保密性、完整性、可用性、命令、程序、配置和被处理数据；
• 限制攻击面，并减少安全事件影响；
• 记录和监控相关安全活动，同时允许用户选择退出；
• 让用户安全删除数据和设置，并在支持数据转移时安全转移数据。

这些是产品属性，不是单一技术模板。消费设备、专业网络产品、SDK 或用于集成的固件，可能采用不同的技术措施来满足同一要求。

第二部分：漏洞处理流程

第二部分规定制造商的漏洞处理流程，从产品投放市场起持续适用于整个支持期。流程还须处理产品所含组件的漏洞，因此制造商需要掌握组件信息，并与上游供应商保持沟通。

标准和证据

协调标准只有在相关引用发布于《欧盟官方公报》后，才会支持符合性推定。草案、映射和行业标准仍可作为证据，但不能替代第 13 条要求的产品特定风险评估。

CRA 标准化请求 M/606 包括跨产品类别的横向标准，以及面向特定产品类别的垂直标准。横向工作涉及基于风险的产品安全、第一部分的安全属性和第二部分的漏洞处理；垂直工作则针对重要和关键产品类别。

技术文档应说明，选用的标准或其他技术措施如何应对已识别的产品风险，以及产品设计和漏洞处理流程如何落实这些措施。

关于通用安全控制的公开资料，见 prEN 40000-1-4 公开资料 。关于漏洞处理草案，见 prEN 40000-1-3 漏洞处理 。