第一篇文章我们梳理了 SBOM——制造商进入 CRA 合规体系的第一道门槛。当企业理清产品的软件组成后，紧接着面临一个更实际的问题：我的产品到底属于哪个合规等级？
CRA（EU 2024/2847）没有采用"一刀切"模式。立法者认识到，智能灯泡和心脏起搏器的网络安全风险不在同一量级。因此，CRA 建立了四级产品分类体系，产品分级直接决定其合规路径——是自评即可，还是必须引入公告机构进行第三方审核。
默认类（Default） 根据欧盟立法影响评估，大部分联网产品将落入默认类，涵盖智能灯泡、普通传感器、简单联网终端设备等不涉及安全功能、不处理敏感数据、不具网络管理能力的产品。此类产品由制造商自我评估符合性，无需第三方介入。
重要 I 类（Important Class I） 适用于以下产品：具备安全关键功能且失效可能造成间接人身安全风险（如智能门锁、安防摄像头）；主要处理敏感数据（如健康监测设备、典型儿童智能手表等涉及儿童数据处理的产品）；具备网络管理或安全策略执行功能（如企业防火墙、VPN 网关）。在满足协调标准或通用规范适用条件时，可通过内部符合性评估完成合规声明。
重要 II 类（Important Class II） 在重要 I 类基础上增加了后果严重性维度：安全功能失效可能直接导致人身伤害或死亡（如工业机器人控制系统）；或大规模部署且被利用可造成系统性风险（如智能电表操作系统）。此类产品须由欧盟公告机构进行第三方符合性评估（EU-Type Examination）。
关键类（Critical） 以正面清单方式由法律枚举，目前主要包括带有安全功能的智能卡及少数由欧委会授权法案指定的高敏感品类，须接受公告机构最严格的审核流程。
企业自评实操可归纳为四步：
第一步，功能枚举——列出产品全部功能，特别注意带"认证"、"加密"、"控制"、"监测"、"支付"、"健康"、"儿童"等关键词的功能；
第二步，三问判断——逐功能回答是否涉及安全关键功能、是否处理敏感数据、是否具备网络管理能力，任一答案为"是"即可能超出默认类；
第三步，严重性评估——若三问有"是"，进一步判断失效后果是间接风险还是直接伤害；
第四步，确定分级——最终分级由制造商依据法规要求确定并留存备查；必要时寻求法律及合规专家支持。
分级制度的隐性成本值得关注。智能摄像头因具备安防监测及敏感数据处理功能，需重点评估是否落入 Important I 类，其认证及合规成本可能远高于默认类产品。在产品路线图阶段做分级预判，比临近上市时被动调整经济得多。
欧盟 CRA 法规项下全部核心主要义务全面适用日期为 2027 年 12 月 11 日，漏洞报告义务于 2026 年 9 月 11 日生效。默认类产品的合规准备建议在 2027 年 Q1 前完成，重要 I/II 类产品应至少提前 6-12 个月启动，以预留公告机构审核周期。
从 SBOM 到产品分级，是从"知道有什么"迈向"知道怎么管"的关键一步。下一篇将深入 CRA 的漏洞报告机制——从预警到报告的分阶段要求。
更多文章：
实力认证！领世达实验室顺利通过 EN 18031-1 能力验证，软件安全测试技术获国家级认可！
高效开案！PSTI测试开案全流程指南
高效开案！EN 18031测试开案全流程指南
欧盟CRA漏洞披露，2026年强制生效
公司简介
深圳市领世达检测技术有限公司专注第三方检测认证与技术咨询，主营各国的产品网络安全、国际市场准入及产品可靠性测试服务。核心覆盖 EN 18031、PSTI、CRA、CE、FCC、UKCA 、JC-Star、CSA 2024、SB-327、NIST 8259A等认证，提供网络安全测试、无线产品RF测试、以及环境可靠性检测等一站式解决方案。公司依托集团技术实力，遵循 ISO/IEC 17025 体系，为消费电子、物联网、通讯电子等企业提供专业高效的合规入市服务，助力客户突破全球贸易技术壁垒。
···
探索 · 专注 · 领先工匠精神 从始至终 探索之途 一往无前