CRA 网络弹性法案：产品网络安全法规

横向产品法规

CRA 是产品法规，并非通用的企业网络安全法规。它关注含数字要素产品能否在欧盟市场上提供、各主体承担哪些义务，以及产品和制造商的流程是否满足网络安全要求。

关于在市场上提供含数字要素产品，以确保此类产品网络安全的规则；

英文原文：
rules for the making available on the market of products with digital elements to ensure the cybersecurity of such products;

欧盟条例 (EU) 2024/2847, 第 1 条第 a 项（中文为非官方译文；英文为原文）

法规所说的“横向网络安全要求”，是指这些要求适用于多个行业。判断产品是否适用 CRA，需要检查产品定义、适用范围，以及排除条款和与其他法规的衔接规则。

法规出台背景

CRA 的序言指出了两个核心问题。其一，大量含数字要素的产品在进入市场时安全防护薄弱、存在已知漏洞，或安全更新安排不明。其二，用户通常缺乏足够信息来安全地选择和使用产品。

欧盟希望建立统一的产品网络安全要求框架，减少内部市场的监管碎片化。因此，CRA 将网络安全与产品投放市场相联系，并与其他适用的欧盟产品、网络运营和组织安全法规并行适用。

CE 标志模式

CRA 并未创设新的网络安全标志，而是沿用既有的 CE 标志体系。对于已受其他欧盟产品法规管理并加贴 CE 标志的产品，CRA 将网络安全要求纳入同一套产品合规文件。

CE 标志应遵循条例 (EC) No 765/2008 第 30 条规定的一般原则。

英文原文：
The CE marking shall be subject to the general principles set out in Article 30 of Regulation (EC) No 765/2008.

欧盟条例 (EU) 2024/2847, 第 29 条（中文为非官方译文；英文为原文）

《蓝色指南》说明，CE 标志表示制造商声明产品符合要求加贴该标志的适用欧盟法规。它不是质量认证或产地标志，也不表示每件产品都经过公共机构检测。

产品文件中的网络安全内容

CRA 在现有产品合规制度中加入了网络安全要求。制造商可以沿用熟悉的法律程序，但需要补充相应的技术内容。

• 附件 I 第一部分规定产品自身的网络安全要求。
• 附件 I 第二部分规定制造商的漏洞处理流程要求。
• 技术文档须说明产品及流程如何满足适用要求。
• 合格评定须同时覆盖产品及制造商的流程。
• 制造商通过欧盟符合性声明和 CE 标志，按照欧盟通用产品合规制度声明产品符合 CRA。

与其他产品法规并行

CRA 不替代既有欧盟产品法规。联网机械、无线电产品、玩具、工业控制器或医疗器械附件可能已受其他欧盟法规管辖。如果 CRA 也同时适用，制造商须将 CRA 与其他适用法规的要求一并落实。

部分重叠情形在 CRA 中已有直接规定。以下产品类别有自己的排除或限制规则：

• 医疗器械和体外诊断医疗器械；
• 机动车型式批准产品；
• 按照民用航空框架认证的产品；
• 海事设备；
• 相同备件；
• 专门为国家安全或国防目的开发或修改的产品；
• 专门用于处理涉密信息的产品。

其他法规关系则需按产品和被监管风险具体判断。CRA 可作为以下法规的补充：

• 《机械法规》；
• 《通用产品安全法规》；
• 《无线电设备指令》；
• GDPR；
• 《数据法案》；
• 《人工智能法案》；
• NIS2。