欧盟《网络弹性法》（CRA）：联网产品与软件进入欧盟的新门槛

它管什么

CRA 适用于带数字元素的产品：其预期用途包括与设备或网络进行数据连接的硬件和软件产品，例如智能音箱、摄像头、路由器、可穿戴设备、智能家居、工业控制设备，以及可单独销售的软件和 App。医疗器械、汽车、航空等已有专门法规的产品除外。

类别	例子	符合性评估
默认类	大多数消费类联网产品	制造商自我评估
重要产品 I 类	身份管理系统、浏览器、密码管理器、VPN、路由器与调制解调器、操作系统、带安全功能的智能家居产品（门锁、摄像头、婴儿监视器、报警系统）、具社交互动或定位功能的联网玩具、健康监测或面向儿童的个人可穿戴设备等	使用协调标准可自评，否则需第三方
重要产品 II 类	虚拟机管理程序与容器运行时、防火墙、入侵检测与防御系统、防篡改微处理器与微控制器	第三方评估
关键产品	带安全盒的硬件设备、智能电表网关、智能卡与安全元件	可能要求欧盟网络安全认证

违反基本要求最高可处 1500 万欧元或全球年营业额 2.5%。

常见问题

纯 SaaS 也受 CRA 约束吗？

一般不受。CRA 针对的是“带数字元素的产品”，远程数据处理解决方案只有在作为产品功能必需组成部分时才纳入。纯云服务主要受 NIS2 等其他法规影响。

2026 年 9 月之前就在卖的产品也要报告漏洞吗？

要。报告义务适用于在欧盟市场提供的所有范围内产品，包括 2027 年 12 月全面适用前已上市的产品。

开源组件出了漏洞怎么办？

制造商对产品中集成的第三方组件（包括开源）负有尽职调查义务，发现组件漏洞要处理并向维护者报告。这也是 CRA 要求编制 SBOM 的原因。

本页为一般性信息，不构成法律、审计或认证意见。具体适用性、项目范围与专业责任须结合企业实际情况确认。