2024年12月，欧盟《网络弹性法案》（Cyber Resilience Act, CRA，Regulation (EU) 2024/2847）正式生效，作为全球首个覆盖硬件与软件全生命周期的强制性网络安全法规，其合规要求直接决定了所有含“数字元素”的产品能否进入欧盟市场。其中，测试环节作为法案落地的核心载体，贯穿产品设计、上市、维护全流程，是制造商履行合规义务、规避监管处罚的关键抓手。本文将从法律依据、核心要求、实操要点三个维度，解读CRA法案中测试部分的核心内容。
测试是合规的“核心举证环节”
CRA法案并未强制指定具体的测试工具或方法，而是以“风险为导向、结果为导向”，将测试义务与风险评估、漏洞管理、文档合规深度绑定，明确要求制造商通过全生命周期的测试与验证，确保产品满足附件I规定的核心安全要求，并形成可追溯的合规证据链。
核心法律依据
（一）核心条款定位
CRA法案中与测试直接相关的条款的核心逻辑的是“以测试验证合规，以文档留存证据”，对应关键条款如下：
1.第10条（风险评估与测试绑定）：强制要求产品设计、开发、生产必须基于书面网络安全风险评估，而测试是风险评估落地的核心手段，需覆盖产品全生命周期（规划→设计→开发→生产→交付→维护），确保风险识别全面、防控措施有效。
2.附件I（测试的结果性要求）：第一部分明确产品上市前需满足“无已知可利用漏洞”“默认安全配置”“访问控制合规”等核心要求，测试需逐一验证这些要求的达标情况；第二部分则要求制造商通过定期、有效的测试，作为漏洞管理、修复、披露的前置环节。
3.第14条（测试与通报义务衔接）：漏洞与安全事件通报义务明确要求，测试数据需作为漏洞溯源、整改、上报的重要依据，尤其是已利用漏洞和严重事件，需在法定时限内提交相关测试与处置记录。
（二）测试原则
CRA法案的测试要求遵循“分级适配、技术中立、全周期覆盖、证据留存”四大原则，避免“一刀切”的合规压力，同时确保测试的有效性和可追溯性：
1.风险分级差异化：根据产品风险等级（默认/低风险、重要I类、重要II类、关键类），测试要求差异显著。普通产品可由制造商自我评估测试，重要/关键产品则需第三方机构介入审核或全程见证，测试严格程度随风险等级提升而提高。
2.技术中立：法案不强制要求采用渗透测试、模糊测试等具体方法，仅要求测试流程“有效、合规、可追溯”，制造商可结合产品特性选择适配的测试方式，灵活兼顾合规与产品特性。
3.全生命周期覆盖：测试义务贯穿产品全生命周期，不仅包括上市前的一次性测试，还涵盖上市后维护期（至少5年，产品寿命更短则按实际）的持续测试，确保产品在整个使用周期内持续满足安全要求。
4.证据留存：所有测试相关文档（测试计划、用例、记录、报告等）需保存至少10年，欧盟境内授权代表需能随时向监管机构提供，这是合规核查的核心依据，也是企业规避处罚的关键。
测试核心范围：上市前后，产品周期全覆盖无死角
CRA法案的测试要求分为“上市前核心测试”和“全生命周期持续测试”两部分，二者缺一不可，共同构成产品合规的完整测试体系，也是企业容易遗漏的合规重点。
（一）上市前核心测试：市场准入的“必过关卡”
上市前测试是产品加贴CE标志、签署《符合性声明》（DoC）的核心法定依据，需在产品功能冻结、发布候选版本（RC版）阶段完成，核心测试模块及验证内容如下，覆盖附件I全部核心要求：
测试模块
核心验证内容
合规依据
风险评估符合性测试
风险评估文档完整、覆盖产品全组件、风险识别全面、适配产品预期寿命，测试流程与风险评估结论一致
第10条、附件I第一部分
默认安全配置测试
出厂关闭非必要服务/端口、无弱口令、可重置为安全出厂状态、禁用不安全协议，实现“默认安全”原则
附件I第一部分(a)
漏洞清零测试
无已知可利用漏洞（含高/中危CVE），第三方组件（开源/供应商）无未修复漏洞，完成0day漏洞挖掘与验证
附件I第一部分(2)
访问控制与认证测试
强身份认证、最小权限管控、会话安全、越权防护、远程管理安全，杜绝权限绕过、未授权访问隐患
附件I第一部分(b)
数据安全测试
传输/存储加密合规、数据最小化、完整性保护、防篡改、数据损坏上报，加密算法符合欧盟相关要求
附件I第一部分(c)(d)(e)
韧性与可用性测试
抗拒绝服务攻击、故障恢复、基本功能可用、攻击面最小化，验证极端场景下的安全稳定性
附件I第一部分(f)
安全更新机制测试
安全分发、完整性校验、自动更新、免费提供，支持期≥5年，更新包留存≥10年，验证更新全流程安全可靠
附件I第一部分(k)、附件I第二部分
日志与审计测试
安全事件日志完整、不可篡改、可追溯，适配事件溯源与监管上报要求，满足漏洞通报的证据留存需求
附件I第一部分(l)
（二）全生命周期持续测试：长期合规的“关键保障”
CRA法案的核心突破之一，是将网络安全责任延伸至产品全生命周期，上市后的持续测试是企业维持市场准入的关键，核心要求包括：
1.定期安全审查：按产品风险等级定期（建议季度/半年）开展测试，覆盖新出现的漏洞、第三方组件更新、产品配置变更等场景，及时发现潜在安全隐患。
2.漏洞修复回归测试：修复漏洞后必须开展回归测试，验证漏洞修复效果，确保无新漏洞产生、产品原有功能不受影响，形成“漏洞发现-修复-测试-闭环”的管理流程。
3.供应链组件测试：制造商作为产品安全的第一责任人，需在第三方组件（开源、硬件、软件）集成前、更新后开展测试，核查组件漏洞情况，留存组件溯源信息（SBOM），即便漏洞源于第三方组件，制造商仍需承担最终合规责任。
4.安全更新验证：每次安全更新后，需测试更新包的完整性、兼容性、修复效果，避免更新过程成为新的攻击面，同时留存更新测试记录。
5.生命周期终止（EoL）测试：验证产品退市阶段的安全处置方案，包括最终安全更新推送、用户告知机制、数据安全销毁能力等，确保退市阶段仍符合CRA合规要求。
（三）违规后果：警惕高风险处罚
CRA法案的处罚力度极强，未按要求开展测试、无合规文档、存在已知可利用漏洞等行为，将面临最高1500万欧元或全球营业额2.5%（二者取高）的罚款，同时可能被处以产品强制召回、禁止欧盟市场准入的顶格处罚；若漏洞未及时修复、未按时限通报，将加重处罚，企业还需承担用户损失、品牌声誉受损等间接风险。
测试与协调标准：降低合规风险的关键抓手
CRA法案允许制造商通过采用欧盟协调标准，推定产品符合法案核心要求，有效降低监管核查风险。目前，欧盟已发布EN IEC 62443（工业控制系统）、EN 18031系列（物联网安全）等协调标准，其中EN IEC 62443-4-1（安全开发生命周期流程）、EN IEC 62443-4-2（产品级安全要求）与CRA要求高度契合，是企业开展测试的重要参考。
需注意，目前CRA专用协调标准仍在完善中，欧盟委员会正推动CEN-CENELEC制定相关标准，在此期间，企业可依托EN IEC 62443等国际公认标准开展测试，为合规提供有力支撑。预计2027年CRA全面实施前，相关协调标准将逐步完善，进一步明确测试方法与要求。
综上，欧盟CRA法案的测试义务，核心并非“单纯完成测试”，而是通过建立全生命周期的测试体系，确保产品无已知可利用漏洞、满足默认安全、韧性、数据保护、安全更新等核心要求，同时形成完整的合规证据链。对于出海欧盟的企业而言，需摒弃“测试仅为上市准入”的片面认知，将测试融入产品设计、开发、生产、维护的每一个环节。
当前，CRA合规已进入关键准备期，企业需优先完成产品风险分级判定，梳理现有测试体系与法案要求的差距，建立闭环的测试与文档管理机制，结合协调标准优化测试流程。唯有如此，才能顺利通过欧盟监管核查，规避处罚风险，稳固欧盟市场准入资格。
更多文章：
实力认证！领世达实验室顺利通过 EN 18031-1 能力验证，软件安全测试技术获国家级认可！
高效开案！PSTI测试开案全流程指南
高效开案！EN 18031测试开案全流程指南
【JC-STAR】STAR-1及STAR-2合规标签申请流程概述
公司简介
深圳市领世达检测技术有限公司专注第三方检测认证与技术咨询，主营各国的产品网络安全、国际市场准入及产品可靠性测试服务。核心覆盖 EN 18031、PSTI、CRA、CE、FCC、UKCA 、JC-Star、CSA 2024、SB-327、NIST 8259A等认证，提供网络安全测试、无线产品RF测试、以及环境可靠性检测等一站式解决方案。公司依托集团技术实力，遵循 ISO/IEC 17025 体系，为消费电子、物联网、通讯电子等企业提供专业高效的合规入市服务，助力客户突破全球贸易技术壁垒。
···
探索 · 专注 · 领先工匠精神 从始至终 探索之途 一往无前