一、什么是 CRA？
Regulation (EU) 2024/2847，即网络弹性法案 (Cyber Resilience Act, CRA)，是欧盟的一项横向网络安全法规框架，适用于所有在欧盟市场提供的硬件和软件产品（"含数字元件的产品"），包括最终产品和单独投放市场的组件。
核心目标：
• 为欧盟市场安全硬件和软件的开发设定条件
• 加强欧盟网络安全方法
• 改善内部市场运作
• 赋能用户在购买和使用产品时考虑网络安全
二、适用范围
适用产品：所有含数字元件的硬件和软件产品
产品定义：软件或硬件产品及其远程数据处理方案（包括单独投放市场的软硬件组件）
适用条件：产品预期用途或合理可预见用途包含与设备或网络的直接或间接逻辑/物理数据连接
不适用： • 未在商业活动中提供的产品
• 部分已被其他欧盟立法覆盖的产品
三、关键时间线
2024年12月10日 法规正式生效
2026年6月11日 合格评定机构通知章节（第IV章）开始适用
2026年9月11日 漏洞报告义务（第14条）开始适用
2027年12月11日 主要条款全面适用
2028年6月11日 原EU型式检验证书有效期截止
四、主要义务
4.1 制造商义务（核心）
• 安全设计与开发：确保产品符合 Annex I 基本网络安全要求
• 风险评估：进行网络安全风险评估并保持更新
• 尽职调查：集成第三方组件时进行尽职调查
• 技术文档：编制技术文档并保存，供市场监管机构查阅
• 支持期：设定产品支持期（最低5年），确保漏洞得到有效处理
• 符合性声明：签署 EU 符合性声明并加贴 CE 标志
4.2 漏洞报告义务
制造商必须在规定时间内向成员国 CSIRT 和 ENISA 报告：
早期预警通知 24小时
主要通知 72小时
积极利用漏洞的最终报告 纠正/缓解措施可用后 14天内
严重事件的最终报告 72小时提交后 1个月内
通过 CRA 单一报告平台（由 ENISA 建立和维护）提交。
4.3 其他经济运营商
• 进口商：确保产品符合 CRA，检查制造商义务履行情况
• 分销商：验证 CE 标志和制造商联系信息
• 开源软件维护者：制定网络安全政策，报告积极利用的漏洞
五、符合性评估
普通产品 自我评估（内部程序，模块A）
重要产品 Class I 自我评估（需使用协调标准）或第三方评估
重要产品 Class II 必须第三方评估（公告机构）
关键产品 必须第三方评估（公告机构）
重要产品和关键产品类别列于 Annex III 和 Annex IV。
六、附件概览
Annex I 基本网络安全要求（Part I: 产品属性；Part II: 漏洞处理）
Annex II 用户信息和说明
Annex III 重要产品类别（Class I 和 Class II）
Annex IV 关键产品类别
Annex V/VI EU 符合性声明模板（完整版和简化版）
Annex VII 技术文档内容
Annex VIII 符合性评估程序
七、处罚与过渡
处罚：
• 由各国制定，最高可达全球年营业额的一定比例
• 微型和小型企业在24小时报告截止日期上的违规不得罚款
• 开源软件维护者不受 CRA 违规处罚
过渡期：
• 2027年12月11日前投放市场的产品，此后仅在发生重大修改时才受 CRA 约束
• 漏洞报告义务适用于所有已投放市场的产品（包括2027年12月前投放的）
我公司已经开展相关业务，为企业提供CRA技术支持。
