CRA：prEN 40000-1-2 网络弹性原则草案

草案状态

本文依据的文本于 2025 年 10 月提交征求意见。本页说明这一具体草案版本，不表示征求意见仍在进行，也不表示它是最新文本。后续版本的要求可能变化，该草案本身不产生 CRA 下的符合性推定。

M/606 条目 1 要求制定一项欧洲标准，说明如何设计、开发和生产含数字要素的产品，使其基于风险达到适当的网络安全水平。该 M/606 条目的期限是 2026 年 8 月 30 日。

与附件 I 的关系

含数字要素产品的设计、开发和生产方式应确保其基于风险达到适当的网络安全水平。

英文原文：
Products with digital elements shall be designed, developed and produced in such a way that they ensure an appropriate level of cybersecurity based on the risks.

欧盟条例 (EU) 2024/2847, 附件 I 第一部分第 1 项（中文为非官方译文；英文为原文）

prEN 40000-1-2 主要对应第一部分的上述总体要求，侧重流程和生命周期管理。它不会替代附件 I 第一部分第 2(a) 至 2(m) 项中更具体的产品安全要求，也不是漏洞处理标准。

网络安全原则

2025 年 10 月草案第 5 章提出四项原则，用于产品规划、设计、实现、生产和维护：基于风险的方法、安全设计、安全默认配置和透明性。

风险管理结构

草案要求在产品生命周期中持续开展风险管理。评估前需要明确产品及其使用条件，因为同一软件或硬件在不同场景中可能面临不同风险。

生命周期活动

草案将这些原则应用到以下生命周期活动中。不同开发模式可以采用不同安排，但都需要计划、执行和检查安全工作，并随产品变化及时更新。

• 产品网络安全规划；
• 产品网络安全要求；
• 网络安全架构与设计；
• 安全实现；
• 网络安全验证与确认；
• 安全生产与分发；
• 网络安全问题管理；
• 产品监控；
• 安全退役规划；
• 第三方组件网络安全管理。

与其他标准的分工

prEN 40000-1-2 是原则和生命周期风险标准。漏洞处理属于 prEN 40000-1-3 漏洞处理。产品特定标准则可针对浏览器、路由器、防火墙、安全元件等重要或关键产品，规定相应类别的具体要求。

CRA 标准体系的整体介绍见 标准与协调标准。