2024年12月10日，欧盟《网络弹性法案》（Cyber Resilience Act，简称CRA，Regulation EU 2024/2847）正式生效。这部被业界称为"网络安全领域GDPR"的法规，要求所有向欧盟市场投放的含数字元素产品（Products with Digital Elements，PDEs）须在设计、开发、生产到退出市场的全生命周期满足强制性网络安全要求。违反者将面临最高全球年营业额2.5%的行政罚款，不合规产品将被禁止进入欧盟市场或被强制召回。
一、关键时间节点
CRA采取分阶段实施策略，出海企业须重点关注以下三个日期：
⚠ 2026年9月11日是首个实质性"硬期限"。漏洞通报义务覆盖此前已投放市场的全部存量产品，无论产品何时上市，企业须在此之前建立完整的24小时应急上报机制。
二、适用范围与产品风险分级
CRA适用于所有"具有数字元素的产品"，包括硬件（智能家居设备、物联网终端、路由器与交换机）、软件（操作系统、应用软件、移动App、SaaS服务）以及固件与嵌入式系统。医疗器械（MDR/IVDR）、机动车辆、航空器材、军用及国家安全产品等已有专门法规覆盖的领域被明确排除。
CRA根据产品核心功能对网络安全的风险程度，建立了四级分类体系。分类结果直接决定合规路径和评估成本，是合规工作的首要前提：
需特别注意，产品分类依据的是核心功能而非制造商自我声明。例如，具备远程开锁功能的智能门锁可能归为I类重要产品而非默认类，分类错误将导致合规路径失当。
三、制造商的八大核心义务
CRA对制造商设定了覆盖产品全生命周期的八项法定义务：
(1)安全设计与默认安全——产品不得含有已知可被利用的漏洞，禁止使用默认弱密码，出厂即须采用最小权限配置；
(2)漏洞管理流程——持续监测并修复产品中的已知漏洞，范围须覆盖全部第三方组件和开源软件；
(3)漏洞与事件上报义务——2026年9月起实行24小时预警、72小时详细通报、14天最终报告的三阶段上报机制，向ENISA提交；
(4)软件物料清单（SBOM）——以SPDX或CycloneDX机器可读格式维护完整软件成分清单，随版本更新，保存至少10年；
(5)安全更新支持——产品投放后至少5年内持续提供免费安全更新，停止支持前须提前12个月通知用户；
(6)技术文档——包含安全风险评估、架构设计、SBOM等，保存10年供市场监管机构检查；
(7)CE标志与EU符合性声明——合规产品须加贴CE标志并签署符合性声明方可上市；
(8)供应链尽职调查——制造商对第三方组件和开源软件的最终安全承担全部责任，无法向开源社区追偿。
四、处罚机制
CRA罚款以全球年营业额为计算基数，处罚力度与GDPR相当：
对于依赖欧盟市场的出海企业而言，产品禁售的后果通常比罚款本身更为严重。
五、结语
CRA标志着全球数字产品安全监管从自愿遵从进入刚性执行阶段。其核心要求——安全设计、全生命周期责任、供应链穿透、24小时上报——正在重塑全球数字产品市场的基本规则。对出海企业而言，2026年9月的通报义务是首道实质性防线，2027年12月的全面实施是最终大限。尽早启动产品分类、PSIRT建设和SBOM自动化部署，将有效降低合规风险，并将合规能力转化为差异化的市场竞争优势。
更多文章：
实力认证！领世达实验室顺利通过 EN 18031-1 能力验证，软件安全测试技术获国家级认可！
高效开案！PSTI测试开案全流程指南
高效开案！EN 18031测试开案全流程指南
欧盟CRA漏洞披露，2026年强制生效
公司简介
深圳市领世达检测技术有限公司专注第三方检测认证与技术咨询，主营各国的产品网络安全、国际市场准入及产品可靠性测试服务。核心覆盖 EN 18031、PSTI、CRA、CE、FCC、UKCA 、JC-Star、CSA 2024、SB-327、NIST 8259A等认证，提供网络安全测试、无线产品RF测试、以及环境可靠性检测等一站式解决方案。公司依托集团技术实力，遵循 ISO/IEC 17025 体系，为消费电子、物联网、通讯电子等企业提供专业高效的合规入市服务，助力客户突破全球贸易技术壁垒。
···
探索 · 专注 · 领先工匠精神 从始至终 探索之途 一往无前