CRA 网络弹性法案：协调标准和符合性推定

Sytance · 更新于 2026年10月6日

符合协调标准，只有在这些标准的引用发布于《欧盟官方公报》后，才能对其覆盖的 CRA 要求产生符合性推定。草案标准、工作项目、M/606 计划记录和咨询文本可以帮助工程工作，但它们本身不会产生法律上的符合性推定。

符合性推定

含数字要素产品以及制造商建立的流程，若符合协调标准或其部分，且这些标准的引用已发布于《欧盟官方公报》，则应被推定为符合附件 I 中由这些标准或其部分覆盖的基本网络安全要求。

英文原文：
Products with digital elements and processes put in place by the manufacturer which are in conformity with harmonised standards or parts thereof, the references of which have been published in the Official Journal of the European Union, shall be presumed to be in conformity with the essential cybersecurity requirements set out in Annex I covered by those standards or parts thereof.
欧盟条例 (EU) 2024/2847, 第 27 条第 1 款（中文为非官方译文；英文为原文）

符合性推定仅限于标准所覆盖的附件 I 要求，以及该标准适用范围内的产品和流程。采用某项标准，不代表满足整部 CRA。

协调标准

制造商可自愿采用。只有在其引用发布于《欧盟官方公报》后，才产生符合性推定。

通用规范

满足第 27 条第 2 款的条件时，欧盟委员会可制定通用规范，供制造商证明其覆盖要求的符合性。

认证方案

欧洲网络安全证书可用于证明产品符合认证方案覆盖的要求。

M/606 工作计划

M/606 是欧盟委员会向 CEN、CENELEC 和 ETSI 发出的标准化请求。欧盟委员会标准化页面说明，请求包含 41 项标准，分为跨产品类别的横向标准和针对特定产品类别的垂直标准。CEN、CENELEC 和 ETSI 于 2025 年 4 月 3 日接受该请求。

2026 年 8 月 30 日

基于风险的设计和漏洞处理

2026 年 8 月 30 日

M/606 条目 1 和 15 覆盖第一个横向原则标准和横向漏洞处理标准。

2026 年 10 月 30 日

产品特定标准

2026 年 10 月 30 日

M/606 条目 16 至 41 覆盖重要和关键产品类别，例如浏览器、VPN 产品、操作系统、路由器、防火墙、半导体、智能家居产品、可穿戴产品和安全元件。

2027 年 10 月 30 日

其余横向产品安全标准

2027 年 10 月 30 日

M/606 条目 2 至 14 覆盖更多横向标准，主题包括安全默认配置、更新、访问控制、保密性、完整性、可用性、攻击面缩减、监控和数据移除等产品安全属性。

横向标准

横向标准面向多个产品类别。它们提供通用术语、风险管理、产品安全和漏洞处理结构。产品特定标准可以在这些基础上增加类别特定要求。

prEN 40000-1-1 术语

prEN 40000-1-2 原则

prEN 40000-1-4 产品安全

prEN 40000-1-3 漏洞处理

本文链接的 1-2 和 1-3 文本为标准草案，可供设计和流程规划参考。是否已经正式发布或获得公报引用，应分别核实。

产品标准参考

产品特定标准的进展见按产品类别查阅标准。该页面列出附件 III 和附件 IV 各类别对应的候选标准项目，并注明查阅时的资料状态。

说明标准如何覆盖要求

产品可以在标准被引用前把标准用作工程证据，但这不同于法律上的符合性推定。技术文件应说明哪些要求由已引用标准、通用规范、认证方案或其他技术方案覆盖。

横向草案页面分别说明： prEN 40000-1-2 网络弹性原则和 prEN 40000-1-3 漏洞处理。