# 欧盟《网络弹性法》（CRA）：联网产品与软件进入欧盟的新门槛

> 智能硬件、IoT 设备、App 和可单独销售的软件进入欧盟，都可能落入 CRA。2026 年 9 月起，已在欧盟销售的产品出现被积极利用的漏洞，制造商须在 24 小时内预警。

来源页面: https://assurelane.ai/frameworks/cyber-resilience-act/
更新: 2026-10-10 · 来源核验: 2026-10-10

## 要点速览

- 全称: Regulation (EU) 2024/2847（网络弹性法）
- 发布/监管方: 各成员国市场监管机构；ENISA 负责漏洞报告平台
- 成果: 法律义务；符合性评估后加贴 CE 标志，部分重要和关键产品需第三方评估
- 适用对象: 在欧盟市场提供带数字元素产品的制造商、进口商和分销商
- 地区: 欧盟
- 典型周期: 产品安全差距评估约 1–2 个月；完整合规需随产品迭代持续投入
- 有效期: 产品支持期内持续义务，支持期一般不少于 5 年

## 关键时间线

- 2024-12-10: 生效
- 2026-06-11: 符合性评估机构（公告机构）相关条款适用
- 2026-09-11: 被积极利用的漏洞与严重事件报告义务适用
- 2027-12-11: 全部义务适用

## 它管什么

CRA 适用于**带数字元素的产品**：其预期用途包括与设备或网络进行数据连接的硬件和软件产品，例如智能音箱、摄像头、路由器、可穿戴设备、智能家居、工业控制设备，以及可单独销售的软件和 App。医疗器械、汽车、航空等已有专门法规的产品除外。

## 产品分类

| 类别 | 例子 | 符合性评估 |
| --- | --- | --- |
| 默认类 | 大多数消费类联网产品 | 制造商自我评估 |
| 重要产品 I 类 | 身份管理系统、浏览器、密码管理器、VPN、路由器与调制解调器、操作系统、带安全功能的智能家居产品（门锁、摄像头、婴儿监视器、报警系统）、具社交互动或定位功能的联网玩具、健康监测或面向儿童的个人可穿戴设备等 | 使用协调标准可自评，否则需第三方 |
| 重要产品 II 类 | 虚拟机管理程序与容器运行时、防火墙、入侵检测与防御系统、防篡改微处理器与微控制器 | 第三方评估 |
| 关键产品 | 带安全盒的硬件设备、智能电表网关、智能卡与安全元件 | 可能要求欧盟网络安全认证 |

## 制造商的主要义务

- **设计安全**：按附件 I 基本要求开发，默认安全配置、无已知可利用漏洞、访问控制、数据保护、最小攻击面
- **网络安全风险评估**并纳入技术文件
- **漏洞处理**：建立漏洞披露政策，编制 SBOM，在支持期内免费提供安全更新
- **支持期**：反映产品预期使用时间，一般不少于 5 年
- **报告**：发现被积极利用的漏洞或严重安全事件后，通过 ENISA 单一报告平台在 24 小时内预警、72 小时内通报、并提交最终报告
- **符合性评估与 CE 标志**

违反基本要求最高可处 1500 万欧元或全球年营业额 2.5%。

## 中国出海硬件企业现在就要做的事

1. **确认产品是否在范围内**及其分类
2. **建立漏洞报告机制**：这项义务已经适用。明确谁负责监测、谁在 24 小时内提交，演练一次
3. **编制 SBOM** 并建立组件漏洞监控
4. **确定支持期**并写入产品信息
5. **对照 [RED 网络安全要求](https://assurelane.ai/frameworks/ce-red/)**：联网无线设备当前已须满足 EN 18031 系列标准，两者准备工作大量重叠
6. **与欧盟进口商、分销商对齐**：他们也有核查义务，会向你要文件

## 常见问题

### 纯 SaaS 也受 CRA 约束吗？

一般不受。CRA 针对的是“带数字元素的产品”，远程数据处理解决方案只有在作为产品功能必需组成部分时才纳入。纯云服务主要受 NIS2 等其他法规影响。

### 2026 年 9 月之前就在卖的产品也要报告漏洞吗？

要。报告义务适用于在欧盟市场提供的所有范围内产品，包括 2027 年 12 月全面适用前已上市的产品。

### 开源组件出了漏洞怎么办？

制造商对产品中集成的第三方组件（包括开源）负有尽职调查义务，发现组件漏洞要处理并向维护者报告。这也是 CRA 要求编制 SBOM 的原因。

## 参考来源

- [EUR-Lex — Regulation (EU) 2024/2847 (Cyber Resilience Act)](https://eur-lex.europa.eu/eli/reg/2024/2847/oj)
- [European Commission — Cyber Resilience Act](https://digital-strategy.ec.europa.eu/en/policies/cyber-resilience-act)
- [Jones Day — EU Cyber Resilience Act 24-hour reporting duties (2026)](https://www.jonesday.com/en/insights/2026/07/eu-cyber-resilience-act-24hour-reporting-duties-start-september-11-2026)

---
本页为一般性信息，不构成法律、审计或认证意见。AssureLane 不出具 SOC 2 报告或 ISO 证书。