培训结论一：先确认产品边界
CRA 面向在欧盟市场提供的含数字元素产品。硬件、软件、固件、独立组件以及对产品功能必要的远程数据处理方案，都可能进入分析边界。
培训结论二：产品等级决定评定路径
默认类、Class I、Class II 和 Critical 的判断应基于 Annex III/IV 以及 Implementing Regulation (EU) 2025/2392 的技术描述。Class II 和 Critical 的第三方介入要求更高。
培训结论三：Annex I 需要工程证据
安全设计、默认安全、攻击面控制、数据保护、更新、韧性和漏洞处理不能只靠声明。企业需要风险评估、设计记录、测试报告、SBOM、漏洞台账、更新记录和上市后流程共同举证。
培训结论四：报告机制必须提前演练
2026 年 9 月 11 日起，相关漏洞与严重事件报告义务适用。企业应在生效前明确 PSIRT/CVD 责任、24/72 小时审批链、技术信息汇总和用户沟通机制。
培训结论五：不要等待全部协调标准
标准仍在分批形成，但法规义务具有独立效力。可先以 CRA Annex I 为主线，结合 EN 18031、ETSI EN 303 645、IEC 62443 等适用标准形成过渡证据，并持续跟踪差异。
资料来源