【摩尔资讯】欧盟《网络弹性法案》（CRA）合规要点更新与实施路线图

欧盟首部针对联网硬件与软件的横向网络安全法规——《网络弹性法案》（Cyber Resilience Act, CRA，法规编号 (EU) 2024/2847）已正式生效。该法案为所有在欧盟市场销售的“带有数字元素的产品”设立了统一的网络安全基线要求，旨在从根本上提升数字产品的网络安全性与韧性。

一、 关键实施时间线

• 2024年12月10日：CRA生效，进入过渡期。企业应即刻启动合规准备。
• 2026年9月11日：漏洞通报义务生效。制造商必须通过欧盟统一漏洞报告平台主动上报已确认的产品安全漏洞。
• 2027年12月11日：核心合规义务全面实施。此后，未完成合格评定并加贴CE标志的产品，将禁止在欧盟市场投放。

二、 产品风险分类与合规路径

CRA根据产品的网络安全风险影响，将其分为三类，合规要求逐级增强：

1. 默认产品：未列入重要或关键类别的产品。制造商可通过内部控制程序（自我声明） 证明符合要求。
2. 重要产品：列于法案附件III，如防火墙、密码管理器、智能门锁等。其合格评定要求更严格：
   • I类产品：若存在协调标准，可基于标准自我评估；若无，则需公告机构进行第三方评估。
   • II类产品：通常需公告机构进行第三方评估（如EU-type examination）。
3. 关键产品：列于法案附件IV，如智能卡、智能电表网关、安全芯片等。必须通过公告机构的第三方评估，或在未来满足条件时，凭有效的欧盟网络安全认证（如EUCC）来证明合规。

重要提示：制造商需对产品整体安全负责。即使产品中集成了已获CE标志的组件，也不能免除对最终产品进行整体网络安全风险评估和确保其符合CRA要求的义务。

三、 核心制造商义务概览

• 安全设计：将网络安全纳入产品设计与开发全过程。
• 漏洞管理：在明示的支持期内（不得短于产品预期使用寿命与法规规定的期限（通常为5年）），提供免费安全更新，并建立漏洞处理流程。
• 技术文档：创建并维护包含软件物料清单、风险评估报告等在内的技术文档，在最后一件产品投放市场后保存10年。
• 合格评定与CE标志：根据产品类别完成相应的合格评定程序，并加贴CE标志。
• 信息透明：向用户清晰地告知支持期限、安全更新政策及产品安全属性。

四、 与现有法规的协同（以无线设备为例）

《无线电设备指令》（RED）3.3(d)(e)(f) 网络安全授权条例《EU 2022/30》将会在2027年12月11日被CRA《网络韧性法案》正式替代。对于已按《无线电设备指令》（RED）完成网络安全评估（如依据EN 18031-1/2/3标准）的产品：

• 在2025年8月1日至2027年12月10日期间投放市场的无线电设备，仍需遵守RED 3.3(d)(e)(f) 的要求，欧盟市场监管机构仍可对其是否符合进行监督。
• 2027年12月11日起，必须符合CRA法案要求，已有结果可借鉴：前期的安全测试和评估可作为CRA合规技术证据的一部分，但需进行整合与补充，以满足CRA对产品整体生命周期的特定要求（如SBOM、明确的漏洞处理流程、支持期承诺等）。
• 避免误区：RED合规不自动等同于CRA合规。制造商必须对照CRA的具体要求进行差距分析，确保全面履行新义务。

五、 违规后果

违规将面临严厉的行政处罚，包括：

• 对严重违规（如不符合基本安全要求），罚款最高可达1500万欧元，或全球年营业额的2.5%，以较高者为准。
• 对其他义务违规（如未及时报告漏洞），罚款最高可达1000万欧元，或全球年营业额的2%，以较高者为准。

行动建议

距离核心义务强制执行已不足两年，时间紧迫。建议企业立即采取以下行动：

1. 产品分类：确定所有在售及在研产品在CRA下的风险类别。
2. 差距分析：对照CRA基本要求和具体义务，评估现有流程与产品的差距。
3. 体系搭建：建立或升级内部的漏洞管理、SBOM管理及合规监控体系。
4. 寻求指导：密切关注欧盟委员会、ENISA及本国市场监管机构发布的协调标准、实施指南及常见问题解答。

CRA标志着欧盟对产品网络安全监管进入了新时代。主动规划、系统应对，不仅是合规必需，更是构建产品市场信任、提升竞争力的战略举措。