欧盟CRA

欧盟《网络弹性法案》（CRA，法规编号(EU)2024/2847）已于2024年12月10日正式生效，是全球首部覆盖所有带数字元素产品全生命周期的强制性网络安全法规，影响力堪比当年的GDPR，将彻底重塑数字产品的欧盟市场准入规则。对于出口欧盟的中国厂商而言，CRA不再是可选项，而是必须跨越的入场券，不合规产品将面临更高‌1500万欧元或全球年营业额2.5%‌的高额罚款，甚至被强制下架召回。

一、实施时间线

CRA采用分阶段落地模式，企业需重点锁定三个关键节点：

1. ‌2026年9月11日‌：漏洞报告义务正式生效，所有在售产品发现被主动利用的漏洞后，必须24小时内向欧盟统一漏洞报告平台上报，无论产品何时上市。

2. ‌2027年12月11日‌：全面实施，此后投放欧盟市场的所有适用产品必须完全符合CRA全部要求，完成合规评定并加贴CE标志。

3. 过渡期内已上市的产品，除非进行实质性修改，否则无需追溯合规，企业可利用当前窗口期完成合规体系搭建。

二、适用范围

CRA适用于所有带有数字元素的产品（PDE），即所有能直接或间接连接到设备/网络的软硬件产品及其远程数据处理解决方案，覆盖品类包括：

• 硬件终端：智能手机、智能家电、IoT设备、工控设备、联网玩具、可穿戴设备等

• 软件产品：操作系统、APP、嵌入式固件、独立发行软件、开源组件等

• 单独售卖的组件：芯片、模组、第三方SDK等

明确豁免的产品包括：已有专门行业法规管辖的医疗器械、机动车辆、民用航空产品，专为安全开发的产品，非商业性开源软件，纯SaaS/PaaS/IaaS云服务等。

三、核心合规要求

CRA的核心原则是全生命周期网络安全，制造商作为责任人必须落实四大核心义务：

1. ‌安全设计与默认安全‌：产品从研发阶段就嵌入网络安全防护，出厂时采用最安全的默认配置，禁止admin/123456等弱密码，关闭非必要端口，无需用户额外配置即可达到安全状态。

2. ‌全生命周期漏洞管理‌：建立7×24小时漏洞监控响应机制，在产品支持期内（不少于5年）免费提供安全更新，发现被主动利用的漏洞后24小时内上报，保留漏洞处理记录至少10年。

3. ‌SBOM供应链透明化‌：以机器可读格式编制软件物料清单，清晰披露所有软件组件、开源依赖关系，对上游第三方组件的安全承担连带责任，实现供应链安全可追溯。

4. ‌分级合格评定‌：低风险普通产品可通过自我评估完成合规；重要产品需第三方公告机构介入；关键产品必须通过欧盟统一EUCC认证，最终加贴CE标志并出具欧盟符合性声明。

四、企业合规

1. 不要混淆CRA与NIS2指令：CRA针对产品本身的安全准入，NIS2针对网络和信息系统运营者的安全义务，二者监管对象完全不同，不可互相替代。

2. 提前梳理产品清单，按风险等级分类，优先完成高风险产品的漏洞评估和SBOM编制，避免2026年9月漏洞上报义务生效后出现合规缺口。

3. 指定欧盟境内的授权代表，确保能及时接收欧盟监管机构的通知，避免因沟通延误导致违规处罚。

五、一站式合规解决方案

针对中国出海企业的CRA合规痛点，我们提供全流程一站式服务：

• 产品合规等级评估，快速判定产品是否在CRA监管范围内

• 漏洞扫描与风险评估，协助搭建漏洞响应闭环机制

• SBOM软件物料清单生成与供应链安全尽职调查

• 技术文档编制、合格评定对接与CE标志合规辅导

• 全流程合规培训，帮助企业建立长期CRA合规管理体系