网络弹性法案CRA认证

欧盟网络弹性法案CRA法规简介

---

在CRA法案之前，欧盟层面的网络安全立法分成两条线：一条是 NIS2 指令（Directive (EU) 2022/2555），管关键与重要实体自身的网络安全治理；另一条是 网络安全法案（Regulation (EU) 2019/881）建立的欧盟网络安全认证体系，属自愿性质。两者都没有解决「流入市场的联网产品本身不安全」这个源头问题 —— 制造商既不承担强制修补漏洞的义务，也没有义务告知用户支持期何时结束。

CRA认证补的正是这一环：把产品安全（product safety）的立法技术（基本要求 + 合格评定 + CE + 市场监管）搬到网络安全领域。因此它的条文结构和机械指令、无线电设备指令（RED）这类「新方法」法规高度同构——熟悉CE体系的企业会很快上手，纯软件企业则需要从头建立这套语言。

CRA认证覆盖几乎所有带数字元素的产品品类，与行业专门法（医疗器械、机动车、航空、船用设备）通过「除外 + 衔接」方式协调。

CRA认证关键时间点

---

2024 年 12 月 10 日 · 生效
法规生效，进入实施倒计时。此时尚无立即强制的义务，但新产品设计已需按 CRA 要求布局。同日起，委员会须在 2025 年 12 月 11 日前通过第 7(4) 条实施法案，明确附件 III、IV 各类产品的技术描述。
2026 年 6 月 11 日 · 第四章适用
合格评定机构的通知制度开始运转，成员国可指定公告机构。这是支撑 2027 年全面适用的基础设施。
2026 年 9 月 11 日 · 第 14 条报告义务适用 ← 已生效
制造商必须通过 ENISA 单一报告平台，向主营业地所在成员国的协调 CSIRT 与 ENISA 报告「被主动利用的漏洞」和「影响产品安全的严重事件」。该义务覆盖 2027 年 12 月 11 日之前已投放市场的全部在范围内的产品（第 69(3) 条）。
2027 年 12 月 11 日 · 全面适用
附件 I 基本要求、合格评定、技术文档、EU 符合性声明、CE 标志全部生效。自此日起，未完成合格评定、未加贴 CE 的产品不得投放欧盟市场。
2028 年 6 月 11 日 · 过渡期结束

依据其他欧盟协调立法就网络安全要求签发的 EU 型式检验证书与批准决定，最迟有效至此日（除非更早到期）。

CRA认证的范围

---

范围判定的核心是「数据连接」这一功能特征，而非产品形态：
产品 = 硬件或软件产品 + 其远程数据处理方案，且包含单独投放市场的软硬件组件。
「连接」被定义得很宽：直接或间接、逻辑或物理连接。第 3 条专门定义了 logical connection（软件接口实现的虚拟数据连接）、physical connection（电气、光学、机械接口、线缆、无线电）、indirect connection（作为更大系统的一部分间接接入）。

远程数据处理（remote data processing）也是产品的一部分：若某云服务由制造商设计/开发或在其责任下运行，且缺少它产品就无法实现某项功能，则该服务被并入「产品」一并规制。这也解释了为什么 CRA 并不覆盖纯 SaaS（那属于 NIS2 的地盘），却覆盖「产品绑定型」云功能。

CRA认证的产品分类与合格评定路径

---

1.一般产品：未落入附件 III / IV 第 32(1) 条

认证模式：模式A自我评估，或模式 B+C，或模式 H，或可用的欧盟网络安全认证方案

2.重要 I 类：附件 III 第 I 类（19 个品类） 第 32(2) 条

若完整适用协调标准 / 通用规范 / 「实质性」以上等级的欧盟网络安全认证，可用自我评估模式A，否则须走模式 B+C 或模式 H

产品包括：身份管理与特权访问管理软硬件（含认证/访问控制读取器、生物识别读取器）；独立与嵌入式浏览器；密码管理器；恶意软件搜索/清除/隔离软件；VPN 功能产品；网络管理系统；SIEM 系统；引导管理器（boot manager）；PKI 与数字证书签发软件；物理与虚拟网络接口；操作系统；路由器、用于联网的调制解调器与交换机；具备安全相关功能的微处理器；具备安全相关功能的微控制器；具备安全相关功能的 ASIC 与 FPGA；智能家居通用虚拟助手；带安全功能的智能家居产品（智能门锁、安防摄像头、婴儿监护、报警系统）；具备社交互动或位置追踪功能的联网玩具（Directive 2009/48/EC 范围）；个人可穿戴健康监测产品（且不属于医疗器械法规范围）或面向儿童的可穿戴产品。

3.重要 II 类： 附件 III 第 II 类（4 个品类）第 32(3) 条

认证模式：模式 B+C，或模式 H，或「实质性」以上等级的欧盟网络安全认证 
产品包括：支持操作系统等虚拟化执行的虚拟机监视器（hypervisor）与容器运行时系统；防火墙、入侵检测与防御系统；防篡改微处理器；防篡改微控制器。

4.关键产品：附件 IV（3 个品类） 第 32(4) 条

认证模式：优先走第 8(1) 条授权法案指定的欧盟网络安全认证方案；条件不满足时退回到第 32(3) 条路径

产品包括：带安全盒的硬件设备（Hardware Devices with Security Boxes）；智能计量系统中的智能电表网关及其他用于高级安全目的（含安全密码处理）的设备；智能卡及类似设备（含安全元件）。

CRA认证的基本网络安全要求

---

Part I：产品属性要求（13 项）
1.基于风险确保适当水平的网络安全（总体要求）。
2.基于第 13(2) 条的风险评估，并在适用时满足下列 a–m 项具体要求。
13条具体属性：
(a) 投放市场时不含已知的可利用漏洞
(b) 默认安全配置（safe default），含可恢复到原始状态的能力（定制产品可由制造商与企业用户另行约定）
(c) 可通过安全更新修补漏洞；适用时默认开启自动安装并在适当时间内完成，同时提供清晰易用的退出机制、更新通知与临时推迟选项
(d) 通过认证、身份与访问管理等适当控制机制防止未授权访问，并报告可能的未授权访问
(e) 保护存储、传输或以其他方式处理的个人及其他数据的机密性，例如以最先进机制对静态与传输中数据加密
(f) 保护数据、指令、程序与配置的完整性，防止未授权操纵或修改，并报告损坏
(g) 数据最小化：仅处理与预期用途相称、相关且必要的数据
(h) 保护基本与核心功能的可用性（含事件后），包括针对拒绝服务攻击的韧性与缓解措施
(i) 最小化产品自身或所连设备对其他设备/网络服务可用性的负面影响
(j) 设计上限制攻击面，包括外部接口
(k) 通过适当的利用缓解机制与技术降低事件影响
(l) 记录并监测相关内部活动（含对数据、服务、功能的访问或修改）以提供安全相关信息，并为用户提供退出机制
(m) 允许用户安全、便捷地永久删除全部数据与设置；数据可迁移时以安全方式完成迁移

Part II：漏洞处理要求（8 项）
1.识别并记录产品中的漏洞与组件，包括以常用且机器可读格式编制软件物料清单（SBOM），至少覆盖顶层依赖。
2.针对风险及时处理与修复漏洞，包括提供安全更新；技术上可行时安全更新应与功能更新分离。
3.对产品安全性实施有效且定期的测试与评审。
4.安全更新发布后，共享并公开披露已修复漏洞的信息（漏洞描述、受影响产品的识别信息、影响、严重程度、面向用户的补救指引）；有正当理由认为公开风险大于收益时，可推迟至用户有机会安装补丁之后。
5.制定并执行协调漏洞披露（CVD）政策。
6.采取措施便利漏洞信息共享，包括提供漏洞报告联系地址。
7.建立安全分发更新机制，确保漏洞被及时修复或缓解；适用时安全更新可自动进行。
8.安全更新须及时分发，且除与企业用户的定制产品另有约定外免费提供，并附带包含用户应采取行动的建议信息。

CRA认证的漏洞与严重事件报告

---

报告对象与渠道
通过 ENISA 建立的单一报告平台（第 16 条）提交，使用电子通知端点。
须同时送达制造商在欧盟主营业地所在成员国的协调 CSIRT 与 ENISA。

「主营业地」定义为产品网络安全相关决策主要作出地；无法确定时取雇员最多的成员国。若在欧盟无主营业地，按以下顺序确定：代表产品数量最多的授权代表所在国 → 进口商所在国 → 分销商所在国 → 用户最多所在国。

CRA认证的两条报告链条与时限

阶段	被主动利用的漏洞（第 14(1)(2) 条）	严重事件（第 14(3)(4) 条）
早期预警	知悉后24 小时内，不迟延；适用时说明产品已投放的成员国	知悉后24 小时内；至少包括是否疑为非法或恶意行为所致
正式通知	知悉后72 小时内：产品一般信息、漏洞与利用的一般性质、已采取的矫正/缓解措施、用户可采取的措施、信息的敏感程度	知悉后72 小时内：事件性质、初步评估、已采取的矫正/缓解措施、用户可采取的措施、信息敏感程度
最终报告	矫正或缓解措施可用后不迟于 14 天：漏洞描述（含严重程度与影响）、已知恶意行为方信息（如可得）、安全更新或矫正措施细节	提交事件通知后1 个月内：事件详细描述（含严重程度与影响）、可能的威胁类型或根因、已实施与进行中的缓解措施

此外，CSIRT 可要求提供中间进展报告（第 14(6) 款）；制造商还须及时告知受影响用户（适用时全部用户）漏洞或事件及可采取的缓解措施，适当情况下以结构化、机器可读、便于自动处理的格式提供（第 14(8) 款）；若制造商未及时告知，协调 CSIRT 可在必要且相称时为防止或缓解影响而直接告知用户。

CRA认证合规

---

上海沃证机电技术服务有限公司是欧盟公告机构EUROCERT（NB 1128）的中国区技术服务中心，专注于欧盟合规领域，可帮助您的产品符合欧盟网络弹性法规CRA和CE认证的要求，欢迎咨询交流。