随着“智能”设备、物联网终端、嵌入式软件和远程数据处理系统急速普及，普通家用设备如智能摄像头、冰箱、玩具、可穿戴设备，甚至工业控制系统都可能通过网络连接、交互数据，从而成为攻击目标。因此，《网络弹性法案》（Cyber Resilience Act，简称CRA）的制定基于数字产品极度普及、安全风险急剧上升、现有法规覆盖不足，以及欧盟希望通过统一市场规则提升消费者与企业的信任。

二、网络安全基本要求

首先什么是“含数字元素的产品”？

一种软件或硬件产品，以及与其相关的远程数据处理解决方案；包括那些单独投放市场的软件或硬件组件。简单来说只要产品里有软件、固件、芯片，或者需要连接后台系统处理数据，就算数字产品。即使是单独卖的通信模块、软件组件也算。

产品自身的安全要求

CRA 要求所有带有数字元素的产品从设计、开发到生产全过程都必须“默认安全”。产品上市时不得含已知漏洞，出厂配置必须是安全配置；数据传输与存储需加密、防篡改；要防止未授权访问、减少攻击面，并在遭受攻击时保证核心功能可持续运行。同时，产品需具备安全日志记录能力，以及支持数据彻底、安全删除与迁移。

制造商的漏洞管理责任

制造商必须建立完善的漏洞管理体系，包括：制作软件物料清单（SBOM）、持续开展安全测试、及时发布补丁、确保安全更新可自动推送；并在修复漏洞后提供公开透明的漏洞信息（必要时可延迟）；建立漏洞披露政策和报告渠道，保证用户能快速、安全地收到补丁。总体目标是确保产品在整个生命周期内保持持续安全。

三、适用范围

只要产品的用途是与设备或网络进行数据连接。几乎都适用于CRA。

具体可分为重要产品和关键产品

重要产品：网络管理系统、独立/嵌入式浏览器、密码管理器、网络管理系统、启动管理器、操作系统、各种软件产品、具有安全相关的微处理器/控制器、路由器、交换机、防火墙、入侵检测和防御系统等。

关键产品：带安全盒的硬件设备、智能电表网关、智能卡或类似设备、安全元件、其他用于高级安全目的的设备，包括用于安全加密处理的设备。

四、处罚

网络安全弹性法案中规定，对于违规企业，最高可处以上一财政年度全球年营业额总额的 2.5%，或1500万欧元行政罚款。向公告机构和市场监督机构提供不正确、不完整或误导性的信息，最高可处以上一财政年度全球年营业额总额的 1%，或500万欧元行政罚款等。

五、生效时间

合格评估机构的通知义务将于2026年6月11日起生效。

制造商的安全事件报告义务将于2026年9月11日起实施：制造商在发现其产品存在被积极利用的漏洞或严重安全事件时的报告义务。制造商需要在特定的时间内（如24小时、72小时、14天等）向CSIRT和ENISA报告漏洞或安全事件，并提供详细的事件信息、影响评估、修复措施等。

其他所有规定则将从2027年12月11日起开始执行。

六、网络弹性法案（CRA）和EN 18031标准的区别：

CRA：针对所有带有数字元素的产品，包括硬件、软件、嵌入式系统、物联网设备等。它的目的是确保这些产品从设计到生命周期管理中的网络安全性，要求制造商在产品设计和生产过程中考虑网络安全，并对已知的漏洞提供修复措施。

EN 18031：是针对特定领域的一项欧洲标准，主要集中在为联网的无线电设备（如智能家居设备、无线通信设备等）制定网络安全要求。

立即咨询获取报价

知识课堂 | 欧盟持久性有机污染物法规（EU）2019/1021

资讯 | 家用电器和电玩具新国标版本于2026年开始强制实施

媒体中心

检测服务