CRA 网络弹性法案：重要和关键产品类别

Sytance · 更新于 2026年10月6日

适用 CRA 的产品，其核心功能符合附件 III 或附件 IV 所列类别时，属于重要产品或关键产品。欧盟委员会实施条例 (EU) 2025/2392 进一步说明了各类别的技术含义。

法规 2025/2392 技术说明

欧盟委员会应在 2025 年 12 月 11 日之前通过一项实施法案，规定附件 III 所列 I 类和 II 类含数字要素产品类别的技术说明，以及附件 IV 所列含数字要素产品类别的技术说明。该实施法案应按照第 62 条第 2 款所述的审查程序通过。

英文原文：
By 11 December 2025, the Commission shall adopt an implementing act specifying the technical description of the categories of products with digital elements under classes I and II as set out in Annex III and the technical description of the categories of products with digital elements as set out in Annex IV. That implementing act shall be adopted in accordance with the examination procedure referred to in Article 62(2).
欧盟条例 (EU) 2024/2847, 第 7 条第 4 款（中文为非官方译文；英文为原文）

实施条例 (EU) 2025/2392 解释附件 III 和附件 IV 中各类别的技术含义，为欧盟各地采用一致的分类依据提供支持。类别清单仍以 CRA 两个附件为准。

完整技术说明及其解读方法见法规 2025/2392 技术说明。

核心功能

分类取决于产品的核心功能。按欧盟委员会常见问题解答，主要用途不同的产品，不会仅因包含、嵌入或可模拟某项列明功能，就成为重要或关键产品。

产品内部组件

嵌入式浏览器本身不会让新闻 App 变成浏览器产品。

设备内的安全硬件

笔记本电脑内的安全元件本身不会让笔记本电脑变成安全元件产品。

相似能力

SOAR 软件可以执行类似 SIEM 的任务，但不一定以 SIEM 作为核心功能。

重要产品

附件 III 将重要产品分为 I 类和 II 类。II 类产品的合格评定要求更严格。下面列出类别名称；技术说明见法规 2025/2392。

I 类重要产品

II 类重要产品

关键产品

附件 IV 列出关键产品类别，包括带安全防护盒的硬件设备、智能计量网关及其他用于高级安全目的的设备，以及智能卡和安全元件。

带安全防护盒的硬件设备
指令 (EU) 2019/944 第 2 条第 23 项所定义智能计量系统中的智能计量网关，以及其他用于高级安全目的（包括安全密码处理）的设备
智能卡或类似设备，包括安全元件

分类对合格评定的影响

产品类别决定可以采用哪些合格评定途径来证明符合附件 I。它不决定产品是否在适用范围内，也不替代网络安全风险评估。

I 类重要产品采用内部控制时，相关要求须由实际采用的协调标准、通用规范或适用认证方案覆盖；否则需要采用更严格的评定路径。
II 类重要产品采用模块 B+C、模块 H，或适用的欧洲网络安全认证方案。
关键产品在满足第 8 条第 1 款规定的条件时采用认证途径；否则按第 32 条第 3 款的 II 类路径处理。
附件 III 中的重要自由和开源软件产品，如果在投放市场时公开第 31 条要求的技术文档，可以采用第 32 条第 1 款路径。

路径细节见合格评定。