一、什么是 EN 40000-1-2？
如果说prEN 40000-1-1:2025是CRA合规的“统一词典”，prEN 40000-1-2:2025就是合规落地的行动纲领。该标准基于1-1统一术语，明确网络弹性设计原则、风控方法与全生命周期合规要求，是从概念定义到实操落地的核心衔接标准。
标准覆盖产品研发、交付、运维、退市全流程，明确各阶段安全原则与合规动作，是1-3漏洞管理、1-4技术规范的前置框架，也是欧盟CRA合规推定的核心依据。
二、为什么1-2是CRA合规的重中之重？
多数企业CRA合规流于文档形式、缺少落地流程，导致审核踩坑。prEN 40000-1-2:2025的核心价值，是将CRA法定合规义务，转化为研发、品控、运维可落地的常态化工作。
标准贯彻安全左移、全周期管控理念，要求产品安全前置在设计阶段，通过常态化风控，保障产品遭遇漏洞、攻击、故障时，具备防御、耐受、恢复的网络弹性，契合CRA核心合规要求。
三、标准核心内容（原则+生命周期场景表）
标准核心分为两大模块：网络弹性核心原则与全生命周期风控规范。下表整理了可直接用于合规备案、制度搭建的核心原则、落地要求及业务场景。
四、和EN40000系列其他分册的联动关系
EN40000系列合规体系分工明确，1-2起到关键承上启下作用：向上统一1-1术语口径，向下为1-3漏洞处置、1-4技术要求、1-5威胁建模提供核心准则。简言之，1-1定定义、1-2定规则、其余分册落地执行，所有合规细节均需遵循1-2的弹性风控原则。
五、标准化闭环风险管理体系
prEN 40000-1-2:2025强制要求所有欧盟在售数字产品，搭建可归档、可审核、可追溯的闭环风控体系，是CRA核心审核要点。标准明确7步标准化风控流程，全程闭环留痕，适配企业合规落地与资料归档：
1. 界定产品边界：梳理产品使用场景、交互接口、对接系统与用户群体，明确安全风控范围。
2. 明确风险准则：成文制定风险分级标准，划分可接受、需整改、不可接受风险等级，统一处置判定依据。
3. 全盘资产梳理：排查软硬件、数据、权限、业务功能等核心资产，建立标准化资产台账。
4. 风险分析评级：梳理攻击源与攻击路径，评估漏洞对产品保密性、完整性、可用性的影响，完成风险评级。
5. 落地风险处置：通过规避、降低、转移、接受四种方式处置风险，针对中高风险落实专项整改措施。
6. 残余风险评审：整改完成后复核剩余风险，确保全部处于可接受范围，留存评审归档记录。
7. 动态周期管控：产品上市后持续监控新型漏洞与网络风险，定期迭代评估，实现全周期动态风险闭环。
六、产品全生命周期安全合规细则
该标准将CRA网络弹性要求融入产品七大生命周期，明确各阶段强制合规动作，是企业搭建SDL安全开发体系的核心依据，各阶段精简合规要求如下：
1. 规划需求阶段：明确产品CRA合规分类与安全义务，梳理安全需求，完成前期风险摸底与团队合规培训。
2. 架构设计阶段：开展威胁建模收敛攻击面，落实纵深防御、最小权限设计，严控供应链组件安全，输出安全架构文档。
3. 开发编码阶段：执行安全编码规范，扫描代码与依赖漏洞，清理调试接口、测试账号，同步完善SBOM清单。
4. 测试验证阶段：开展漏洞扫描、渗透测试，校验出厂安全配置，复测风险整改项，归档全套测试资料。
5. 生产交付阶段：校验固件完整性、防止篡改，固化安全出厂配置，配套安全手册，建立产品批次追溯机制。
6. 上市运维阶段：搭建PSIRT漏洞响应机制，持续监控漏洞情报，定期推送安全补丁，落实CRA强制漏洞报送义务。
7. 产品退市阶段：公示服务终止时间，闭环收尾存量漏洞，完成数据安全清除与设备销毁，归档退市合规文档。
七、企业落地的直接收益
落地1-2标准可实现企业合规体系标准化、常态化。对内规范全流程研发运维安全，减少产品原生漏洞；对外满足CRA网络弹性合规要求，获取合规推定效力，有效降低抽检与召回风险。同时标准化流程可直接用于认证审核、合规报告，避免反复整改返工。
八、核心总结
prEN 40000-1-2:2025是CRA合规从理论走向实操的核心标准，确立了产品全生命周期安全设计、风险管控与弹性防护规则。企业合规不能仅堆砌文档，需以该标准为核心框架，贯穿产品全生命周期，才能实现长效合规，保障产品顺利出海欧盟市场。
更多文章：
实力认证！领世达实验室顺利通过 EN 18031-1 能力验证，软件安全测试技术获国家级认可！
高效开案！PSTI测试开案全流程指南
高效开案！EN 18031测试开案全流程指南
欧盟CRA漏洞披露，2026年强制生效
公司简介
深圳市领世达检测技术有限公司专注第三方检测认证与技术咨询，主营各国的产品网络安全、国际市场准入及产品可靠性测试服务。核心覆盖 EN 18031、PSTI、CRA、CE、FCC、UKCA 、JC-Star、CSA 2024、SB-327、NIST 8259A等认证，提供网络安全测试、无线产品RF测试、以及环境可靠性检测等一站式解决方案。公司依托集团技术实力，遵循 ISO/IEC 17025 体系，为消费电子、物联网、通讯电子等企业提供专业高效的合规入市服务，助力客户突破全球贸易技术壁垒。
···
探索 · 专注 · 领先工匠精神 从始至终 探索之途 一往无前