围绕欧盟 CRA 漏洞上报开展项目准备时，法规范围、产品实现与测试证据需要相互对应。本期查阅ETSI 官方资讯的公开资料，从三个工程环节梳理可执行的验证方法。下述内容属于检测准备建议，不把通用实践表述为该制度的逐条强制要求；产品适用范围、正式条款及申报程序应以来源页面和现行原文为准。
1、产品边界与测试对象怎么确定
拿到一台样机，并不等于已经确定完整测试对象。建议从用户实际完成的业务出发，画出设备、移动应用、网关、远程接口和必要云服务之间的数据流，再逐项标出由谁实现认证、授权、数据存储和更新。即使某个服务由供应商运营，也应说明它失效时产品会受到什么影响。
实际操作时，可选择首次配网、远程控制和恢复出厂三个场景，记录每一步调用的接口与身份。对照正常联网、断网重连和服务不可用的结果，检查是否出现绕过身份检查、残留绑定或异常开放端口。送检资料宜同时列明纳入与排除的组件、排除理由及责任人；如果接口或依赖发生变化，应更新边界记录，而不是直接沿用上一型号的结论。这样得到的证据才与实际销售配置对应。
2、法规适用性与技术测试为什么要分开确认
同一款联网设备进入不同市场，可能面对不同的适用范围、排除情形和经营主体责任。建议先按实际销售用途、连接能力、数据处理和配套服务描述产品，再对照官方法规及实施指引判断适用性。技术功能相近，不代表不同制度的符合性声明、标签申请或证据留存要求可以直接互换；测试结论也不应扩大为对所有市场的准入承诺。
实际准备时，可建立“产品特征—适用依据—待核实问题”的清单，将法律范围判断与工程测试任务分别分配负责人。涉及草案或标准修订时，应记录资料版本、查询日期及当前状态，避免把征求意见稿当作已经生效的统一要求。对暂不能确定的边界，宜取得主管机构或专业人员的明确意见，再锁定测试计划。这样的流程有助于减少因范围判断错误导致的重复送检和材料返工。
3、安全支持期限与用户告知怎样保持一致
产品支持期限既涉及公开承诺，也依赖供应链和运维能力。建议先确认固件、应用、云服务及关键组件分别由谁维护，再核对官网、说明书、包装和客户合同中的安全更新信息是否一致。对于同平台不同型号，不能仅根据硬件相似就假定支持截止时间和维护方式相同，应明确各型号使用的版本及外部依赖。
测试准备时可建立一张“型号—版本—维护主体—公开信息位置”的对照表，检查用户在购买前后能否找到必要信息，相关链接在移动端是否可访问，联系方式是否有效。还可以模拟组件停止维护或云服务迁移，评估补丁获取、替代方案和用户通知如何衔接。支持终止不应只表现为后台停止更新；企业需要形成可执行的产品处置计划，并保存变更审批和通知证据。
送检前的资料核对
建议将上述检查结果纳入同一份项目问题清单，明确责任人、待补充证据和复测条件。对无法复现或仍依赖外部条件的结论，应保留其限制，不用一次工具扫描结果替代完整判断。技术、质量与产品负责人可据此确认下一步安排，减少样机、资料与实际交付版本不一致造成的返工。
联系我们
深圳市领世达检测技术有限公司提供产品网络安全检测与合规技术支持。客服热线：400-661-8031；联系电话：185-9801-0056。地址：广东省深圳市宝安区福永街道智美汇志科技园。