先判断适用范围与产品类别
CRA 面向在欧盟市场提供的含数字元素产品，但不能仅凭“联网”或产品名称判断分类。上市前应确认硬件、软件、独立组件、相关远程数据处理、预期用途和企业角色，再依据 Annex III、Annex IV 及适用的技术描述判断 Default、Class I、Class II 或 Critical 类别。分类结果将影响后续符合性评定路径。
模块一：网络安全风险评估与 Annex I 映射
以资产、数据流、信任边界、接口、预期使用环境和可合理预见的误用为基础开展风险评估，将 Annex I 的适用要求映射到设计控制和验证证据。风险评估应贯穿规划、设计、开发、生产、交付和维护，而不是送检前临时补写。
模块二：产品安全机制验证
根据风险选择身份鉴别、访问控制、默认安全配置、通信与存储保护、攻击面缩减、安全更新、日志、韧性、输入处理、固件、APP、Web/API 和云端等测试。CRA 要求产品具备与风险相称的安全能力，但并未把某一种固定形式的渗透测试规定为所有产品一律适用的单独法定项目；测试深度应由产品风险、适用要求和评定路径共同决定。
模块三：SBOM 与第三方组件治理
建立可追溯的软件物料清单，识别开源和商业组件、版本、来源及已知漏洞，并把组件监测、风险处置、升级替换和发布控制纳入研发流程。SBOM 本身不是终点，关键是证明企业能够持续识别和处理产品所含组件的网络安全风险。
模块四：漏洞处理、更新与报告演练
建立协调漏洞披露、内部 PSIRT/CVD、漏洞接收、分级、修复、复测、用户通知和安全更新流程。自 2026 年 9 月 11 日起，相关报告义务开始适用，企业应提前演练知悉后 24 小时早期预警、72 小时完整通知及后续最终报告的内部审批和信息汇总，并通过 CRA Single Reporting Platform 按要求报送。
模块五：技术文档与符合性评定准备
整理产品说明、风险评估、架构和设计记录、要求矩阵、测试报告、SBOM、漏洞处理流程、支持期、用户安全信息及版本变更记录。Default 类产品通常可采用内部生产控制；Class I 是否可自评取决于协调标准等条件是否满足，Class II 与 Critical 产品通常需要第三方介入。具体路线应以产品分类和届时有效要求为准。
上市前检查结论
高质量 CRA 准备不是追求固定的“必测清单”，而是形成一条能解释产品边界、风险判断、设计措施、测试结果、整改状态和上市后维护责任的证据链。检测报告可以支持合规决策，但不自动等同于公告机构认证或最终法规符合性结论。