联系电话:

021-68580866

免费试用

欧盟网络弹性法案（CRA）发布的行业背景

随着联网产品逐渐普及于工业 (OT/ICS)、消费性设备及关键基础设施，攻击事件（如供应链攻击、边境硬件入侵、软件漏洞利用）层出不穷。过去多依赖 IT 领域安全标准（如 ISO 27001、NIST SP 800-53），但这些标准难以兼顾产品生命周期管理或供应链软硬件组成的复杂性。欧盟于 2024 年11月正式发布网络弹性法案（Cyber Resilience Act, 简称‘CRA’），并于2014年12月正式生效。CRA 并未取代 ISO 27001、IEC 62443、ISO/SAE 21434 等现行标准，而是提供更明确的联网产品导向方案。该法案致力于建立针对整个产品生命周期的网络韧性框架，引领全球连网产品合规浪潮。网络弹性法案（CRA）设定了渐进式实施：2026年9月11日起 对漏洞/事件报告义务强制执行，2027年12月11日起 所有核心安全要求及合规义务全面强制。 

欧盟网络弹性法案（CRA）的适用对象

网络弹性法案（CRA）规范适用于任何于欧盟市场销售之具备数字组件（Hardware/Software）的产品及其组件（如 IoT 装置、通讯模块、车载系统等）。不仅覆盖传统意义上的“网络设备 / IoT 设备”，还包括 “任何具有数字元素 (digital elements)” 的产品 —— 无论是硬件 (路由器、手机、电脑、智能家电)、固件 (firmware)、操作系统 (OS)、软件 (桌面／移动应用)、嵌入式系统、连接/通信软件等。只要其“预期或合理可预见用途 (intended or foreseeable use)” 包含“与设备或网络建立直接或间接数据连接 (direct/indirect data connection)” 就可能被纳入 CRA 监管范围。也就是说，从 2027 年底起 (及之后)，凡要在欧盟市场上市 (销售／进口／分销) 的数字产品，其安全机制 (设计、更新、漏洞管理、生命周期支持等) 都必须符合 CRA — 否则可能无法获得 CE 标志、无法合法销售。

欧盟网络弹性法案（CRA）对制造商的影响

对厂商 （包括出口商）来说，网络弹性法案（CRA）意味着必须将“网络安全 / 生命周期安全管理”纳入产品设计与供应链管理，否则未来难以在欧盟市场销售数字产品。网络弹性法案（CRA） 强调设计、开发、生产、交付以及售后整个生命周期的安全要求，对软件、硬件及其组成部件的供应链均予以规范，突破传统仅针对系统营运环境的标准局限。网络弹性法案（CRA）将所有联网产品按安全和风险等级划分，并要求贯彻“安全预设（Secure by Default）”、“安全设计（Security by Design）”等核心理念。 

CRA1.png

难点和挑战

  • 产品网络安全从可选项变成了基本属性要求，厂商要长期承担所销售产品的网络安全责任

  • 现有的设计研发流程需要重构以包含网络安全保障环节

  • 第三方和开源组件造成的安全风险不可避免

  • 产品软件供应链及 SBOM 的管理复杂性

  • 安全测试和验证的难度及成本显著上升

  • 产品全生命周期内持续监测/上报/更新安全漏洞对团队协作和及时性要求极高

  • 合规审计和监管要求研发和安全活动必须形成完整、可追溯的证据链

  • 安全研发流程和合规要求造成项目周期和成本压力大大提升

解决方案

  • 建立现代化安全开发流程（SSDLC），涵盖威胁建模、静态分析/动态分析（SAST/DAST）、模糊测试（Fuzzing）和渗透测试（Penetration Testing）

  • 采用源码或二进制软件成分分析（SCA）工具，自动生成和管理软件物料清单（SBOM），并检测和追踪开源组件已知安全漏洞 (CVE)

  • 采用安全生命周期管理平台，实时跟踪和监控产品安全风险

  • 定期举办安全教育和训练，强化跨部门协作之事件回报与应变处理机制，形成企业安全管理文化

欧盟网络弹性法案（CRA）的关键要求

  • 产品分类与风险等级

  • 生命周期管理要求

  • 信息揭露义务

  • 合规审计和监管

  • 产品分类与风险等级

    依产品本身特性、应用情境（如消费/工业/关键基础设施）采用差异化要求。高风险产品（Class I/II: 关键基础设施、Critical、身份验证设备、远程管理模块等）须执行更严谨的合规程序（如第三方认证）。

  • 生命周期管理要求

    从设计（Design）、开发（Development）、生产（Production）、交付（Delivery）、营运（Operation）、维护（Maintenance）到淘汰，均需有明确安全保护及事故应变预案。特别要求： 


    ● 软件和固件的持续性安全更新机制 

    ● 完整的软件物料清单（SBOM, Software Bill of Materials） 

    ● 事件回报（Incident Reporting）于发现信息安全事件后 24 小时通报欧盟主管机构及受影响用户 

    ● 供应链信息安全风险管理 

  • 信息揭露义务

    交付说明书须揭露产品信息安全能力、限定用途、已知限制和寿命终止相关信息及安全更新政策。

  • 合规审计和监管

    ● 针对 Class I/II（高风险级）和Critical关键产品，强制第三方稽核认证。 

    ● 一般产品可自我证明（self-assessment），但需随时接受抽查。 

    ● 未符合 CRA 规范，在欧盟市场将全面禁售与下架，违者罚款最高可达全球营业额 2.5%。 

相关产品

RELATED RESOURCES

下载申请

是否需要技术支持

验证码

温馨提示：

我们将通过电子邮件向您发送下载地址，请核对您填写的工作邮箱是否正确。

提 交