新！欧盟CRA认证法案是什么？

欧盟《网络弹性法案》（Cyber Resilience Act，简称CRA，法规编号EU 2024/2847）是欧盟针对适用范围内“带数字元素产品”的横向网络安全强制法规。权检认证结合欧盟最新发布的官方文件，为出口欧盟的电子电器、智能硬件和软件企业整理了CRA的关键要求。先抓住下面四点： CRA法规正文；欧盟委员会适用范围说明。

• 已经开始执行：2026年9月11日起，产品一旦出现漏洞被黑客利用或严重安全事件，制造商须在规定时限内上报；2027年12月11日前已投放市场的产品同样适用（具体见下方提示）。
• 全面实施日期：2027年12月11日起，新投放欧盟市场的产品须满足CRA基本网络安全要求，完成合格评定并加贴CE标志。
• 覆盖面很广：凡是能直接或间接联网、连接其他设备的软硬件，原则上都在范围内，不只是路由器和摄像头。
• 不只是一次测试：CRA要求管理产品生命周期内的网络安全，包括原则上不少于5年的支持期、漏洞处理流程和SBOM（软件物料清单）；预期使用不足5年的产品适用法定例外。

上报义务已经执行：出事才报，但要提前准备好

2026年9月11日起，在欧盟销售的联网产品（包括2027年12月11日前已投放市场的老产品），只要出现下面两种情况，制造商就要在24小时内通过ENISA单一报告平台上报：

• 漏洞被黑客实际利用了（自己测试发现、还没有被利用的漏洞不用报，但要修复）
• 发生严重安全事件，例如升级服务器被入侵、推送给用户的更新包被植入恶意代码

没发生就不用报，也没有定期报告。但平时要准备好三件事：对外的漏洞报告邮箱、负责判断和提交的人、在ENISA平台上完成注册。 欧盟委员会：报告义务；ENISA：SRP已上线。

一、CRA是什么，管哪些产品？

CRA管的是在欧盟销售的“带数字元素的产品”。这是法规里的专用说法，简单理解就是：里面有芯片、跑着程序的电子产品，以及软件本身（第3条）。普通的电水壶、机械台灯不算；带主控芯片和固件的智能水壶、能用App调光的台灯就算。 CRA第2、3条。

但不是所有带芯片的产品都要管，还要满足一个条件：能和其他设备或网络传数据（第2条第1款）。连接方式不限，Wi-Fi、蓝牙、4G、网线、USB、串口都算；直接连网的算，通过电脑、手机、网关间接连上的也算。

两个问题，自查是否受CRA管

• 产品里有没有芯片和程序（固件、操作系统、App）？
• 产品能不能和手机、电脑、其他设备或互联网交换数据？

这两个问题可用于初步筛查；纯软件也可能适用，最终还需核对商业活动、预期或合理可预见用途，以及法定排除条款。

另外，厂家自己做的、产品离不开的云端服务（法规叫“远程数据处理”）和配套App，也算产品的一部分。比如一个必须用厂家App和云端才能远程控制的智能插座，插座、App、云端要一起满足CRA要求。单独销售的芯片模组、软件组件同样在范围内。

常见在范围内的产品包括：

• 智能家居：智能音箱、摄像头、门锁、扫地机器人、智能插座
• 通信与网络：路由器、交换机、调制解调器、网卡
• 消费电子：带蓝牙或Wi-Fi的耳机、手表、玩具、可穿戴设备
• 工业与商用：带通信接口的控制器、网关、数据采集终端
• 软件：操作系统、浏览器、单独销售的应用软件、固件

法定排除需按具体范围判断，包括受MDR/IVDR覆盖的医疗器械、受相应车辆型式批准法规覆盖的产品、依法认证的特定民航产品、船用设备，以及专用国防、国家安全或涉密产品。特定同规格备件还须满足替换和风险不增加等条件，不能仅凭“汽车零部件”或“备件”名称排除。部分L类车辆另适用（EU）2025/1535的排除和例外。 欧盟官方适用范围与排除说明。

实务中，最容易被忽视的是“间接连接”。一个本身不联网、但通过USB或串口接入电脑的设备，同样可能落入范围。判断时建议看产品说明书、宣传资料里写明的使用方式，而不是只看有没有无线模块。

二、CRA的三个关键时间点

2024年12月10日，CRA正式生效，但义务是分阶段适用的（第71条）： CRA第71条。

需要注意两点。第一，2027年12月11日前已投放市场的产品，原则上不必按CRA重新评估，除非之后发生“实质性修改”；但上报义务不受此限，老产品出现漏洞被利用或严重安全事件时同样要报（第69条）。第二，欧盟委员会于2025年11月28日通过实施条例（EU）2025/2392，并于12月1日在欧盟官方公报刊登，细化了“重要产品”和“关键产品”的技术描述，并于2026年7月27日发布了CRA适用指南，对远程数据处理、实质性修改、支持期等问题给出了解释。 重要及关键产品技术描述；欧盟委员会2026年7月指南。

老产品：区分过渡条件与上报义务

2027年12月11日前已投放市场的产品，原则上不用按CRA重新评估；但在此日期后发生法规定义的实质性修改时，不能继续直接套用这一过渡安排。但上报义务从2026年9月11日起就适用：这些产品一旦出现漏洞被利用或严重安全事件，同样要在24小时内报；平时不出事就不用报。 CRA第69条过渡安排。

所以老产品现在要做的，是把上报流程准备好：确定谁接收漏洞信息、谁判断是否需要上报、谁登录平台提交。之后的修改是否影响基本要求符合性或改变已评估的预期用途，应按“实质性修改”定义判断，不能把所有新增功能一律视为须重新评估。

三、产品怎么分级？合格评定走哪条路？

CRA按网络安全风险把产品分为四档，档位决定了能不能自我声明（第7、8、32条，附件III、IV）： CRA第7、8、32条及附件III、IV；欧盟委员会合格评定说明。

怎么判断自己是不是“重要产品”？看产品主要是用来干什么的。

清单里列的是产品的主要用途，而不是产品里带了哪些功能。比如防火墙在II类清单里，但一台智能电视即使内置了防火墙功能，它主要还是用来看电视的，所以仍按普通产品处理，不会因此变成II类。反过来，一台专门用来做网络防护的设备，主要用途就是防火墙，就属于II类。

拿不准时，可以对照欧盟委员会实施条例（EU）2025/2392，里面对清单上每一类产品都写了具体描述。 实施条例（EU）2025/2392。

I类产品为什么要特别留意“协调标准”？

I类产品能不能自己声明合规、不找公告机构，关键看有没有按欧盟认可的标准来做：

• 可以自己声明：完整采用覆盖所有适用要求的CRA协调标准、共同规范或符合第27条条件的欧盟网络安全认证方案。协调标准须已在欧盟官方公报引用，并只在其覆盖范围和引用条件内提供符合性推定。
• 须走公告机构路线：没有可用且完整覆盖适用要求的协调标准、共同规范或法定认证方案，或者仅部分采用。

问题在于，CRA的协调标准目前还在由欧洲标准组织（CEN、CENELEC、ETSI）编写，要等欧盟在官方公报上正式公布后才能使用。规划CRA评定时，如不能满足第32条第2款的完整覆盖条件，应安排模块B+C或模块H路线；不能把任意网络安全证书作为法定替代。CRA主体产品义务自2027年12月11日起适用，并非现在所有I类产品都必须立即取证。 CRA标准化进展。

I类产品现在就要排时间和预算

路由器、特定安防设备和联网玩具等应先按核心功能核对分类。如果届时不能以适用协调标准、共同规范或法定认证方案完整覆盖要求，就需选择B+C或H路线。可以现在做差距评估和预算准备；正式委托前核实公告机构的CRA授权范围。

四、制造商具体要做哪些事？

CRA的基本要求写在附件I，分为“产品属性”和“漏洞处理”两部分。 CRA附件I。

1. 产品本身的安全要求（附件I第一部分）

制造商须先做网络安全风险评估，再根据评估结果落实相应要求，包括：

• 投放市场时不存在已知可利用漏洞
• 默认安全配置，并可恢复出厂状态
• 能通过安全更新修补漏洞，适用时默认开启自动安全更新，并提供便捷的关闭方式
• 通过身份认证、访问控制等机制防止未授权访问
• 对存储和传输的数据进行加密等保密性保护，并保护数据与配置的完整性
• 数据最小化，只处理与预期用途相关的数据
• 保护核心功能可用性，减少攻击面
• 用户可安全、彻底地删除数据和设置

2. 漏洞处理要求（附件I第二部分）

• 编制SBOM，至少覆盖顶层依赖，格式应常用且机器可读
• 及时修复漏洞，技术可行时安全更新与功能更新分开发布
• 定期开展安全测试和审查
• 发布安全更新后，公开已修复漏洞的信息
• 建立并执行协调漏洞披露（CVD）政策，提供漏洞报告联系地址
• 安全更新免费推送，并附带用户提示信息

3. 支持期原则上不少于5年

制造商要按产品预期使用时间确定支持期，原则上不少于5年；预期使用不足5年的，按实际预期使用时间（第13条第8款）。支持期结束日期至少要写明年月，在购买时清楚告知用户。每个安全更新发布后至少保留10年，或保留至支持期结束，以较长者为准。 CRA第13条支持期与更新要求。

4. 上报义务（第14条，2026年9月11日起已执行）

上报是“出事才报”：只有漏洞被黑客实际利用，或发生严重安全事件时才需要报，平时不用报，也没有定期报告。一旦发生，按下表时限分阶段提交： 第14条及官方上报时限说明。

上报统一通过ENISA的单一报告平台（SRP）提交，由制造商在欧盟主要营业地所在国的CSIRT接收，并同步给ENISA。没有欧盟营业地的我国制造商，按第14条第7款，依授权代表、主要进口商、主要分销商等连接点及法定顺序确定接收CSIRT；前述连接点均不适用时，再按产品用户数量最多的成员国判断。同时，制造商还要及时告知受影响的用户。 ENISA单一报告平台说明；CRA第14条。

24小时从“知道”那一刻算起

上报时限从企业得知漏洞被利用时开始计算，不是从修好漏洞开始算。在欧盟没有公司的我国工厂，要提前确定向哪个国家的CSIRT报送，并先在ENISA单一报告平台完成注册，避免出事时临时找不到入口。

5. 技术文件、DoC和CE标志

技术文件须包括产品描述、设计开发与生产说明、漏洞处理流程、网络安全风险评估、支持期确定依据、所用标准、测试报告和EU符合性声明（附件VII）。技术文件和DoC须保存至少10年，或保存至支持期结束，以较长者为准。产品还需随附附件II规定的用户信息，例如漏洞报告的单一联络点、支持期结束日期、安全使用和停用说明等。 CRA附件II、V、VII。

五、四类产品分别怎么做？

下面按四个类别，各选一个常见产品，说明从准备到上市要走哪些步骤、要准备哪些资料。

5.1　默认类：以带App的蓝牙音箱为例

大多数消费电子都在这一类，企业可以自己完成评估并声明合规，不需要公告机构参与（附件VIII第一部分，模块A）。 CRA附件VIII模块A。

办理流程

第1步　确认范围和分类：以不具备通用虚拟助手等附件III核心功能的音箱为例：有蓝牙芯片和固件，能连手机，在CRA范围内；经确认不属于附件III、IV所列产品后，按默认类处理。

第2步　网络安全风险评估：默认类最核心的一份文件

默认类不用找公告机构，说到底就是“自己做风险评估、自己声明合规”。风险评估要写清三件事：

• 要保护什么：用户手机数据、App账号、固件
• 可能怎样被攻击：蓝牙配对被劫持、固件被篡改、App接口被滥用
• 用什么措施防住：逐条对应附件I的要求，不适用的写明理由

市场监管机构抽查时，首先要看的就是这份文件。按什么标准写、怎么排版，见第六节。

第3步　按附件I逐条落实：例如取消统一默认密码、配对需要确认、固件升级包签名校验、App与云端通信加密、可恢复出厂设置并清除数据。

第4步　做安全测试：漏洞扫描、固件和App安全测试，用SBOM比对第三方组件有没有已公开漏洞，形成测试报告。

第5步　建立漏洞处理机制：设立漏洞报告邮箱，制定协调漏洞披露政策，安排安全更新的发布方式；同时准备好上报流程（谁判断、谁提交、平台注册），以便出事时能在24小时内上报。

第6步　确定支持期：结合预期使用时间、用户合理预期及法规条件确定，不能机械地统一定为5年；把结束年月写进说明书和销售页面。

第7步　编制技术文件和DoC，加贴CE标志，产品随附附件II要求的用户信息。

第8步　上市后持续维护：支持期内持续修漏洞、推更新；知悉已被利用漏洞或影响产品安全的严重事件后，不得无故拖延，并按24小时、72小时等法定时限上报。

需要准备的资料

风险评估按什么标准写、怎么排版，见第六节。

5.2　重要产品 I类：以家用Wi-Fi路由器为例

路由器属于附件III I类。它的流程取决于协调标准有没有正式公布，有两条路：

路线一：完整采用已公布的协调标准，企业自我声明

流程和资料与5.1相同，但风险评估、测试报告要逐条对照协调标准，证明每一项都按标准做到了。只要有一项没按协调标准做，这条路就走不通。

路线二：找公告机构评估（协调标准未公布，或只用了一部分）

可选两种方式： CRA附件VIII模块B、C、H。

• 型式检验+生产控制（模块B+C）：企业向一家公告机构提交申请、技术文件和样品；公告机构审查设计文件、测试样品，审查漏洞处理流程，合格后颁发EU型式检验证书；此后企业保证批量生产的产品与认证样品一致，公告机构还会定期审核漏洞处理流程是否落实。
• 全面质量保证（模块H）：公告机构审核企业的质量体系，覆盖设计、开发、生产和漏洞处理全过程，通过后定期监督审核。适合型号多、研发体系成熟的企业。走这条路的，CE标志后面要加上公告机构编号。

在5.1资料基础上需要增加

5.3　重要产品 II类：以企业级防火墙为例

防火墙属于附件III II类。不论有没有采用协调标准，都必须有第三方参与（第32条第3款），可选： CRA第32条第3款。

• 模块B+C或模块H，流程与5.2路线二相同；
• 取得至少“实质级”的欧盟网络安全认证。这条路要等欧盟委员会明确哪些认证方案可用于CRA，目前适用面很窄，实务中以公告机构评估为主。

资料要求与5.2路线二相同。II类产品的风险评估和测试通常会做得更深入，例如渗透测试、源代码层面的安全审查，评估周期和费用也会相应增加，建议预留更长的准备时间。

5.4　关键产品：以智能卡安全芯片为例

附件IV只列了三类：带安全盒的硬件设备、智能电表网关、智能卡和安全元件。它们的规则分两种情况（第8条）： CRA第8条与附件IV。

• 欧盟委员会通过授权法案要求认证的：必须取得至少“实质级”的欧盟网络安全认证。这类认证基于欧盟网络安全认证框架，例如基于通用准则（Common Criteria）的EUCC方案。
• 尚未发布授权法案的：按II类产品的路径办理，即公告机构评估或欧盟网络安全认证。

整机厂注意：用了别人的芯片和模组，也要核查

关键产品多是芯片、模组厂商的产品。整机里用了这类芯片，整机不会因此变成关键产品；但CRA要求整机厂对采购的芯片、模组、开源软件做好核查（第13条第5款），按组件风险开展适当尽职调查：适用时核查符合性资料，也可结合安全更新记录、公开漏洞信息和补充测试，保留判断依据。非商业开源组件或过渡期组件，不能一律要求供应商提供CRA证书。 CRA第13条第5款及序言第34、35段。

六、网络安全风险评估按什么标准写？

风险评估是CRA所有资料里最核心的一份。默认类产品自己声明合规，主要靠它；找公告机构的I类、II类产品，公告机构也首先审它。

风险评估没有规定格式，但内容有硬性要求

CRA没有指定必须按哪个标准、用什么模板写风险评估，排版由企业自己定。但法规规定了必须写到的内容（第13条第3款、附件VII）： CRA第13条第3款与附件VII。

• 结合产品用途、使用环境和预期使用年限，分析会遇到哪些网络安全风险、要保护哪些资产
• 附件I的13项安全要求逐条说明：是否适用、怎么做到；不适用的写明理由
• 说明漏洞处理要求怎么落实
• 支持期内根据情况更新

建议附一张“附件I逐条对照表”，审查时最先看的就是它。

可以参照的标准

现阶段可根据产品选用适合的技术参考，并以CRA附件I和第13条为要求主线。EN 40000-1-2仍应区分草案、正式发布和欧盟官方公报引用状态；EN 18031或EN 303 645也不能直接视为CRA协调标准。I类产品采用模块A，应满足第32条第2款对协调标准、共同规范或法定认证方案完整覆盖适用要求的条件。本文未取得付费标准全文，不据项目页推断具体测试条款。

一份风险评估报告通常包括哪些部分

法规没有规定目录，下面是实务中常用、也便于审查的结构，供参考：

七、已经做了RED EN 18031，还要做CRA吗？

做过EN 18031，不等于满足CRA

仍需按CRA重新做适用性与差距判断，前期证据可按范围复用。RED网络安全评估不能代替CRA的完整义务；CRA还明确要求漏洞处理、SBOM、支持期和事件上报，适用对象也包括符合范围的有线产品和软件。

2025年8月1日起，欧盟授权法规（EU）2022/30已对部分无线设备适用RED第3条第3款（d）（e）（f）项，即网络防护、个人数据与隐私保护、防欺诈要求，对应的协调标准是EN 18031系列。很多做Wi-Fi、蓝牙产品的企业已经按这套要求完成了评估。

CRA的基本要求涵盖了RED这三项要求的全部内容（序言第30条），但范围更大：它不只看产品出厂时的安全状态，还要求漏洞处理流程、SBOM、支持期管理和事件上报，而且适用于有线产品和纯软件。

因此，已有EN 18031风险评估、访问控制、加密和更新机制等证据，可以作为CRA差距分析的基础，但仍须核对全部适用要求及评定路线，不是只补流程文件即可。欧盟已发布（EU）2026/339，自2027年12月11日起废止（EU）2022/30，以衔接CRA主体要求；此前适用的RED网络安全要求不能提前跳过，RED其他要求仍须分别核对。 授权条例（EU）2026/339。

八、不合规会怎样？

CRA的罚款上限由成员国按以下档次落实（第64条）： CRA第64条。

除罚款外，市场监管机构还可以要求整改、限制销售、下架或召回（第54、58条）。微型和小型企业未能遵守24小时早期预警时限的，不适用罚款，但其他义务照常执行。 CRA第64条处罚例外。

九、出口企业现在应该怎么准备？

离2027年12月11日全面实施约一年多，而上报义务已经在执行。建议按下面顺序推进：

• 确认范围和分级：逐个型号判断是否在CRA范围内，属于默认类、I类、II类还是关键产品，这决定能否自我声明。
• 先把上报流程建起来：明确谁负责接收漏洞信息、谁判断漏洞是否已被黑客利用、是否需要上报、谁在24小时内提交；确认上报应对接哪个成员国的CSIRT。
• 梳理软件组件：盘点固件、App、云端使用的第三方和开源组件，生成SBOM，并检查是否有已公开的已知漏洞。
• 做网络安全风险评估：对照附件I逐条说明是否适用、如何实现；不适用的要写明理由。
• 确定支持期：结合产品寿命和用户预期确定支持期，安排好安全更新的发布和保存机制。
• 整理技术文件：已有RED EN 18031、EN 62443等评估资料的，先做差距分析，避免重复投入。
• 关注协调标准：留意CRA协调标准在欧盟官方公报的引用情况，I类产品尤其要提前评估是否需要公告机构参与。

很多企业的难点不在测试本身，而在于把研发、软件、售后几个部门的资料整合成一套能经得起审查的文件。权检认证长期服务出口欧盟的电子电器和智能硬件企业，熟悉CE、RED等欧盟法规体系，可协助您完成CRA适用性判断、产品分级、风险评估文件、SBOM梳理、技术文件和EU DoC编制，并对接有资质的检测与评估机构。

如果您的产品正准备出口欧盟，或不确定是否受CRA约束，欢迎联系权检认证，把产品型号和功能说明发给我们，顾问会根据资料给出初步判断和办理建议。

官方参考来源

• CRA法规正文
• 重要及关键产品技术描述（EU）2025/2392
• CRA适用指南发布说明
• CRA报告义务
• CRA单一报告平台上线说明
• FprEN 40000-1-2最终草案项目
• RED与CRA衔接法规（EU）2026/339
• CRA合格评定说明
• CRA标准化进展
• CRA范围与排除规则概览

延伸阅读： 欧盟网络韧性法案概览

本文包含AI辅助创作内容。法规信息以欧盟官方发布为准。