CRA 技术文档清单

技术文档编制义务

技术文档应包含制造商为确保含数字要素产品及其建立的流程符合附件 I 规定的基本网络安全要求而采用的手段的全部相关数据或细节。技术文档至少应包含附件 VII 所列要素。

英文原文：
The technical documentation shall contain all relevant data or details of the means used by the manufacturer to ensure that the product with digital elements and the processes put in place by the manufacturer comply with the essential cybersecurity requirements set out in Annex I. It shall at least contain the elements set out in Annex VII.

欧盟条例 (EU) 2024/2847, 第 31 条第 1 款（中文为非官方译文；英文为原文）

第 31 条要求技术文档说明产品及制造商流程如何符合附件 I。因此，文档既包括产品设计，也包括发布后处理漏洞的安排。

时间和更新

技术文档应在含数字要素产品投放市场之前编制，并应在适当情况下至少在支持期内持续更新。

英文原文：
The technical documentation shall be drawn up before the product with digital elements is placed on the market and shall be continuously updated, where appropriate, at least during the support period.

欧盟条例 (EU) 2024/2847, 第 31 条第 2 款（中文为非官方译文；英文为原文）

技术文档须在产品投放市场前备齐，并在支持期内随影响符合性的变更及时更新。

• 产品设计、架构、软件版本或更新方法发生变化后，可能需要修订技术文档。
• 风险评估结论发生变化后，可能需要修订技术文档。
• 发现新的漏洞信息后，可能需要补充技术文档。
• 经过重新设计或重新评估的产品，应有能识别变更版本的文件。

附件 VII 内容

附件 VII 规定技术文档至少包含哪些信息。具体资料的深度和组织方式，则取决于产品的设计和适用要求。

按产品发布版本整理附件 VII 清单

以下索引对应附件 VII 的八项内容，是整理信息的示例。法规并未要求使用这套目录，或分别导出八份文件。引用的每份记录都应能对应到适用的产品和版本。

1. 产品说明：预期用途、影响合规的软件版本、相关硬件图片与标识，以及附件 II 用户信息。
2. 设计与流程：架构和组件关系；漏洞处理、SBOM、披露政策、报告联系地址和安全更新；生产、监控及流程验证。
3. 网络安全风险评估：产品面临的风险，以及附件 I 第一部分要求的适用性理由。
4. 支持期：确定支持期长度时考虑的信息。
5. 标准与技术方案：使用的条款、其状态与应用范围，以及未覆盖要求所采用的技术方案。
6. 验证报告：针对适用基本要求，对产品和漏洞处理流程开展的测试。
7. 欧盟符合性声明：与所评定产品对应的声明。
8. 主管机关请求的 SBOM：市场监管机关提出说明理由的请求，且为核查附件 I 符合性所必需时，提供相应 SBOM。

例如，虚构控制器的 1.2 版本索引可以关联该版本的产品说明、架构修订、风险评估、SBOM、更新测试和用户说明。新版风险评估引用旧固件测试报告时，需要说明被测控制是否仍适用于当前版本。

应按适用的附件 VII 信息和本次评估的产品版本检查完整性。文档索引帮助评审人员找到各项结论背后的分析与结果，以及仍然缺少的信息。

相关证据

风险评估说明为什么选择相应安全措施，组件记录标明涉及哪些软件，漏洞处理记录则说明发现新问题后如何响应。以下专题分别解释各类记录的内容与用途。

风险评估

第 13 条第 4 款要求将网络安全风险评估纳入技术文档。评估说明附件 I 如何适用于产品；制造商认为某项产品安全要求不适用时，也要说明理由。

欧盟委员会常见问题解答说明，无论产品在欧盟内外制造，产品投放市场时文件都必须可用。该解答还说明，后续重新设计和重新评估应反映在技术文档中。

合格评定和主管机关查阅

技术文档主要用于合格评定和市场监管。欧盟委员会常见问题解答说明，它通常不需要向客户或公众提供。

其中要求公开技术文档的主要例外，是某些使用第 32 条第 5 款自我评定路径的重要自由和开源软件产品。