数字时代的网络安全“紧箍咒”已正式落地欧盟——《网络韧性法案》（Cyber Resilience Act, 简称CRA）的逐步推进，正在重塑所有销往欧洲的数字产品的合规规则。
不同于欧盟以往的网络安全法规，CRA以“全生命周期韧性”为核心，实现了从“事后修补”到“事前防控”的监管范式转变，覆盖产品设计、生产、上市、维护到退市的每一个环节。
一、什么是CRA？
CRA全称《欧盟网络韧性法案》，是全球首个针对带数字元素的产品（PDE）引入强制性网络安全要求的框架性法规，于2024年12月10日正式生效，2027年12月11日全面适用，目前正处于关键的执行准备阶段——欧盟的实施条例、监管分工、官方指引已陆续落地，留给企业的准备窗口期已进入倒计时。
1. 核心定位
在CRA出台前，欧盟网络安全监管存在“产品层面真空”：GDPR聚焦个人数据隐私，NIS2指令针对关键基础设施运营商，而构成数字社会基石的软硬件产品，长期处于“先上线、后修补”的状态，安全责任多转嫁给消费者。
CRA的核心逻辑的是“责任回溯”——将网络安全责任强制转移到产品生产者身上，要求企业从产品概念阶段就融入安全设计，而非事后打补丁，本质是通过统一的市场准入标准，填补数字产品的安全赤字。
2. 适用范围
很多企业误以为CRA只针对软件厂商，实则其监管范围几乎覆盖所有带数字元素的产品，无论你是制造商、进口商还是分销商，只要产品销往欧盟，都需重点关注。主要为：
•硬件：带数字组件的家电、消费电子、物联网设备、工业传感器等；
•软件：嵌入式固件、操作系统、应用软件、云端服务（满足特定条件）；
•组合产品：硬件+软件的整体解决方案（如智能音箱、联网汽车信息娱乐系统）；
•第三方组件：供应链中的开源软件、外部库，均需纳入安全审查。
例外情况：已受欧盟特定行业法规约束的医疗器械、航空、汽车等产品，以及仅作备件且不改变功能的部件，不适用CRA。
二、重点关注
CRA的合规要求贯穿产品全生命周期，核心可概括为“四大原则+三大核心义务+产品分级”，每一项都有明确的执行标准，违规将面临高额罚款。
1. 四大安全原则：合规的“地基”
根据配套标准草案，企业必须遵循以下四大原则，构建产品网络韧性，缺一不可：
•基于风险的方法：安全措施需与产品风险成比例，企业需建立完善的风险评估和处理机制，精准识别产品可能面临的网络威胁；
•设计安全：安全不再是“补丁”，而是从概念阶段就融入产品设计，核心是“最小权限原则、攻击面最小化、纵深防御、安全编码”（如使用内存安全语言）；
•默认安全：产品交付时需处于最安全状态，比如默认禁用不必要的接口、自动安装最新安全更新，避免用户因“不会设置”而陷入安全风险；
•透明度：需向监管机构、用户等相关方，透明传达产品资产、威胁、风险及已知漏洞信息，不得隐瞒安全隐患。
2. 三大核心义务
这三项义务是CRA的“硬性指标”，尤其是SBOM和漏洞报告，已明确纳入法律义务，企业需提前布局：
•SBOM：合规的“入场券”：软件物料清单（SBOM）从以往的“技术建议”，变成了CRA强制要求的“法律义务”。它相当于产品的“零件清单”，涵盖所有三方组件及依赖，核心作用是当新漏洞（如Log4j事件）出现时，企业能快速定位受影响的组件，及时响应。企业需在CI/CD流水线上嵌入自动化SBOM生成流程，且相关文档需随时供欧盟监管机构查阅；
•漏洞报告义务：自2026年9月11日起，企业发现产品存在“被积极利用的漏洞”或“严重安全事件”，必须在24小时内提交预警，72小时内正式通报至欧盟网络安全机构（ENISA）和国家CSIRT，逾期将面临重罚；
•供应链安全管理：现代软件高度依赖开源和第三方组件，CRA明确要求企业对第三方组件进行严格的尽职调查（记录选型理由）、持续监控漏洞、发现问题后协同修复，杜绝“供应链带毒”风险。
3. 产品分级：不同等级，合规要求不同
2025年底，欧盟通过实施条例（EU）2025/2392，明确将产品分为三类，不同等级的合规路径差异较大，直接影响企业的合规成本和周期：
•一般产品：合规要求相对简单，企业自评即可；
•重要产品：需满足更严格的安全标准，部分可能需要第三方评估；
•关键产品：合规要求最严格，必须引入第三方评估，且需接受更频繁的监管检查。
企业需立即对照实施条例，梳理自身产品线，预判产品所属等级，避免因“分级误判”导致合规滞后。
三、法案时间轴
CRA采用“分阶段落地”模式，核心时间节点已明确，尤其是2026年9月11日的漏洞报告义务，是企业首个“硬门槛”：
•2024年12月10日：CRA正式生效，进入过渡期，企业可开始准备合规工作；
•2026年6月11日：合格评定机构规则适用，成员国完成合格评定机构指定，企业可开始对接机构进行预评估；
•2026年9月11日：漏洞报告义务正式执行，企业需搭建完善的漏洞响应机制，确保按时通报；
•2027年12月11日：CRA全面适用，所有销往欧盟的数字产品必须符合全部合规要求（含技术文档、SBOM、CE标志），不合规产品将被禁止进入欧盟市场，旧证书可能失效或需要更新。
五、合规不是负担，而是长期竞争力
CRA的落地，标志着全球网络安全治理进入“产品硬监管”时代，欧盟通过这部法规，重新定义了数字产品的安全底线，也重塑了中欧数字贸易的规则体系。对于中国出海企业而言，与其被动应对，不如主动布局——CRA的合规要求，本质是推动企业提升产品安全质量，优化供应链管理，而这恰恰是企业在全球市场立足的核心竞争力。
目前，CRA的合规窗口期仍在，但已快速缩短。对于计划深耕欧盟市场的企业，现在正是启动合规工作的最佳时机：提前盘点、优化流程、搭建机制，既能规避高额罚款，也能凭借合规优势，赢得欧盟市场的信任，在激烈的竞争中抢占先机。
···
探索 · 专注 · 领先工匠精神 从始至终 探索之途 一往无前