CRA 网络弹性法案：常见问题
Sytance · 更新于
以下回答解释软件、支持期与报告等常见 CRA 问题，依据法规、欧盟委员会常见问题解答及 2026 年 7 月 27 日发布的委员会指南，并链接到详细专题。
来源状态
法规规定法律要求。欧盟委员会常见问题解答和指南解释要求的实施方式，这些解释文件不具有法律约束力。
这些常见问题的回答不会以任何方式扩大适用法律所规定的权利和义务，也不会引入任何额外要求。
英文原文：
The replies to the FAQs do not extend in any way the rights and obligations deriving from applicable legislation nor introduce any additional requirement.欧盟委员会 CRA 实施常见问题解答，开篇说明（中文为非官方译文；英文为原文）
欧盟委员会在前期征求意见后，于 2026 年 7 月 27 日发布 C(2026) 5252 指南，解释适用范围、开源软件、实质性修改和支持期，以及风险评估、远程处理与报告。
适用范围和市场供应
是的，只要满足 CRA 的适用范围条件。含数字要素的产品可以是软件、硬件、构成产品一部分的远程数据处理方案，或单独投放市场的软件或硬件组件。
作为产品供应的软件，在满足 CRA 定义和市场条件时可能适用，包括独立应用和固件。开发工具与软件组件也应按相同适用条件判断，不能仅凭名称下结论。
详见 适用范围内的产品。
独立 SaaS 或不由制造商负责开发的云服务，不会自动成为含数字要素的产品。云端功能如果符合“远程数据处理”的定义，则可能构成产品的一部分。
远程数据处理属于产品的一部分，需要同时满足三个条件：处理在远程进行；产品缺少它就无法执行某项功能；处理软件由制造商设计、开发或由其负责。
详见 适用范围内的产品。
不需要。CRA 的适用条件是产品能否建立数据连接，不限于能否访问互联网。连接可以是逻辑或物理、直接或间接连接。
相关例子包括：
- 通过 API、网络套接字、管道、文件、浏览器 HTTPS 会话或电子邮件协议形成的逻辑连接；
- 通过 USB、以太网、光纤、现场总线、Wi-Fi、蓝牙、NFC 或其他无线电链路形成的物理连接；
- 通过本身可连接到设备或网络的主机系统形成的间接连接。
详见 适用范围内的产品。
通常不在。《蓝色指南》说明，仅为自用而制造产品，不构成投放市场。欧盟委员会常见问题解答将这一点用于 CRA 示例，例如制造商为自身使用而制作的开发和配置工具。
如果该工具后来作为独立产品投放市场，就需要按含数字要素产品的适用条件重新判断。
详见 投放市场。
欧盟委员会常见问题解答区分已投放市场的产品与新投放的产品。前者可在声明的支持期结束后继续销售或分销。
制造商继续投放同型号的新产品时，仍须根据第 13 条第 8 款为这些新投放产品设定支持期。
详见 支持期。
软件和开源
可以，但只能依据第 4 条第 3 款的测试规则。软件只能在测试所需的有限期间内提供，并且必须清楚标示该软件不符合 CRA，且不会用于测试以外目的。
欧盟委员会常见问题解答同时引用序言第 37 段：制造商应在风险评估后发布此类软件，并尽可能满足安全和漏洞处理要求。
可以。第 13 条第 11 款允许公开归档软件历史版本，方便用户获取。制造商必须在用户易于查阅的位置，清楚说明使用不再受支持版本的风险。
保留历史版本不等于继续提供支持。制造商需要让用户清楚了解：该归档版本已停止支持，继续使用存在安全风险。
安全、支持和报告
不一定。制造商必须评估该漏洞是否与产品相关，以及它造成什么风险。补救措施必须匹配该风险。
补救可以是补丁，也可以是其他措施，例如安全公告、配置指导、临时处置方案、更新后的用户信息，或后续软件更新。CRA 要求根据含数字要素的产品所面临的风险，及时地处理和修复漏洞。
详见 漏洞处理记录。
不是。五年是最低保障，不是每个产品的默认值。合理预计产品会使用更长时间时，可能需要设定更长的支持期。
只有当产品预期使用时间少于五年时，才允许更短支持期。在这种情况下，支持期对应预期使用时间。
详见 支持期。
制造商需要报告其产品中正在被积极利用的漏洞。漏洞来自集成组件且可在成品中被利用时，由成品制造商报告；组件本身作为独立产品投放市场的，组件制造商也有相应报告义务。
如果组件漏洞不能在制造商的产品中被利用，第 14 条强制报告不会仅因此触发。制造商仍可能有上游协调或漏洞处理义务。
详见 漏洞报告。
合格评定和证据
不需要。欧盟委员会常见问题解答说明，制造商可以集成不带 CE 标志的组件，包括未投放市场的组件，以及 CRA 适用前已经投放市场的组件。
制造商仍必须履行尽职调查，确保组件不会削弱最终产品的网络安全。
详见 SBOM 和组件记录。
不产生。标准草案可用于准备工作，但不能依据第 27 条产生符合性推定。要获得这种法律效果，协调标准的引用须先在《欧盟官方公报》中公布。
这一差别同样适用于 prEN 40000 草案和产品特定标准草案。制造商可以使用这些草案准备证据，同时分别核查其正式发布状态和《欧盟官方公报》引用状态；草案本身不会自动产生符合性推定。
详见 协调标准和符合性推定。