欧盟CRA法案自生效后 36 个月全面适用，报告义务和合格评定机构通知条款分别提前至 21 个月和 18 个月适用。合格评估机构的通知义务于2026年6月11日生效。制造商的安全事件报告义务于2026年9月11日起实施。其他所有规定自 2027年12月11日起开始执行。
CRA的适用产品包括所有在欧盟市场销售或提供的、带有数字元素且预期或合理可预见的用途包括与设备或网络有直接或间接逻辑或物理数据连接的硬件或软件产品，如： ●消费电子产品：如智能手机、笔记本电脑、智能手表、智能电视、联网家用电器等。 ●物联网（IoT）设备：智能手表、联网家电、智能门锁、智能摄像头、工业物联网设备等各种连接到网络的物联网设备。 ●物网络设备：路由器、调制解调器、网络交换机等网络基础设施设备。 ●软件产品：包括操作系统、应用程序、工业控制软件等各种软件，无论其是独立销售还是与硬件产品捆绑销售。 CRA不适用的产品范围主要是其他同等级欧盟规则已经囊括的产品，如：
已受特定欧盟法规监管的产品：如医疗设备（Regulation (EU) 2017/745）、机动车（Regulation (EU) 2019/2144）、航空产品（Regulation (EU) 2018/1139）等
特殊用途产品：仅用于国家安全 / 国防的产品、专门处理涉密信息的产品。
维修备件：用于替换旧产品相同组件且符合原规格的备件。
一、CRA 法案对产品的核心要求
1.安全设计与默认安全
•产品开发初期即融入安全机制 (security-by-design)，非事后补救
•禁用硬编码密码和后门，默认采用 "最小权限原则"
•必须采用安全默认配置投放市场，防止未经授权访问
2.漏洞管理
•建立完整的漏洞发现、验证、修复和分发机制
•提供软件物料清单 (SBOM)，列明所有组件 (含开源软件) 及版本
•关键漏洞30 天内修复，高风险漏洞90 天内修复
•建立内部漏洞跟踪系统，接入协调漏洞披露 (CVD) 流程
3.安全更新与支持
•提供至少 5 年的产品安全更新支持
•更新必须具备签名验证和完整性校验，防止供应链攻击
•明确告知用户更新计划和产品终止支持 (EOL) 日期
4. 安全事件响应
•发现主动利用漏洞或重大安全事件24 小时内向 ENISA 和国家主管机构报告
•72 小时内发出详细安全事件通知并提供补救措施
5.数据安全与访问控制
•保护数据机密性和完整性，将数据收集限制在必要最低限度
•实施强加密 (静态和传输)、安全启动 (Secure Boot) 和安全固件升级
•部署身份验证、访问管理系统，防止未授权访问并报告违规
6.文档与透明度
•提供《网络安全使用说明书》和《合规声明摘要》(欧盟官方语言)产品标识清晰：标注制造商名称、联系方式和产品序列号。
···
探索 · 专注 · 领先工匠精神 从始至终 探索之途 一往无前