CRA 认证必须搞明白的五件事｜出口欧盟的电子企业抓紧看

布局欧盟市场的硬件、软件厂商注意！欧盟《网络韧性法案》CRA 分阶段落地，不是遥远政策，合规节点已经临近。今天用 5 个核心问题，一次性读懂 CRA，提前规避出海风险。

一、CRA 到底是什么？

CRA 全称Cyber Resilience Act，《网络韧性法案》，是欧盟出台的针对软硬件产品的强制性网络安全法规。 

法案核心逻辑：所有在欧盟市场投放、带有数字功能的产品，网络安全要求贯穿产品全生命周期。从前期安全设计、上线后的漏洞监测，到后续持续维护、安全补丁迭代，制造商都需要承担对应的主体责任，不再只看产品出厂那一刻的安全状态。

二、哪些产品需要做 CRA？

只要产品内置数字组件、支持联网或具备数据处理能力，基本都落入 CRA 管控范围。按照风险等级，分为四大类别：

 ✅ 常规产品（大部分消费类产品）：打印机、扫描仪、温控设备、各类移动端 APP 等，市场上约 90% 的数字化产品都在此列；

 ✅ 重要 I 类产品：路由器、VPN、杀毒安全软件；

 ✅ 重要 II 类产品：防火墙、PKI 基础设施、安全芯片 / 安全元素；

 ✅ 关键产品：智能电表、面向关键基础设施的操作系统。

简单判断：你的产品卖往欧盟，带软件 / 固件、可以联网处理数据，就要评估 CRA 合规义务。

三、CRA 实施时间线，两个关键节点务必记牢

法案已于 2024 年 12 月 10 日正式生效，采用分阶段落地，不是等到 2027 年才准备：

 🔹 2026 年 9 月 11 日起：漏洞上报义务率先生效。只要产品发生被恶意利用的漏洞、重大网络安全事件，企业必须履行上报义务，这条规则适用于所有在售产品；

 🔹 2027 年 12 月 11 日起：全部 CRA 强制要求落地，新投放欧盟市场的产品，需要完整满足法案全部合规条款。

四、CRA 要测什么？

企业需要准备哪些资料？

CRA 合规不只是单一测试项目，核心是搭建完整的网络韧性体系 + 技术验证，整体分为三步：

体系对标：遵循 prEN40000-1-2，规范研发流程，落地安全开发管理机制；

技术协同验证：按产品类型匹配对应标准。工业 / 基础设施产品参考 62443-4-2；消费物联网产品采用 303645；无线设备选用 18031；

资料落地：参照 EN3046XX 系列标准，搭建安全开发生命周期，准备全套技术文件，包含 SBOM 软件物料清单、风险评估报告、漏洞扫描、渗透测试、补丁管理方案，后续由公告机构出具符合性声明 / 证书。

现阶段企业最优先落地事项：建立全生命周期漏洞管理流程

发现被主动利用的漏洞，24 小时内完成上报；

零日漏洞：仅在存在真实恶意攻击利用证据时启动上报；

安全补丁：快速修复漏洞，安全补丁建议与产品功能更新分开发布。

五、不合规有什么后果？

罚款力度不容小觑

CRA 属于强制性法规，2027 年全面实施之后，产品未满足合规要求，将面临高额处罚：罚款取二者较高值：最高 1500 万欧元，或企业全球年度营收的 2.5%。同时产品会面临欧盟市场监管拦截、下架召回，对品牌出海布局造成严重冲击。

越来越多国内电子、IoT、软件企业把目光投向欧盟市场，很多企业误以为 CRA 距离尚远。实际上漏洞上报义务已经启动倒计时，CRA 考验的不只是一次测试，而是企业安全开发、漏洞响应、补丁运维的整套能力。提前开展产品分级评估、梳理资料、搭建漏洞管理体系，才能平稳应对欧盟网络安全新规，守住欧盟市场准入资格。