图片名称

欧盟对出海设备的网络与数据合规全景解读(RED/CRA/GDPR)

作者:

立讯检测集团

来源:

发布时间:

2026-04-28

 

欧洲监管框架正经历一次深层结构性的升级。新体系由无线设备合规“入口保护” RED、覆盖全生命周期的网络韧性法案 CRA,以及数据治理的核心法规 GDPR 三大支柱构成,覆盖范围广、要求更系统化。


 

01


 

关键法规梳理


 

RED(无线设备指令)及其扩展

作用重点:尽管RED本身历史悠久,但最新的委托规章(Delegated Regulation EU 2022/30)把网络安全职责细化成为跨层次的合规要求。

适用对象:所有直接或间接连接到互联网的无线设备。包括智能家居、可穿戴设备、联网玩具等。单纯的软件产品或不具备联网功能的设备不在核心管控范围之内。

时间进度:最终强制日期定在2025年8月1日。

技术侧重点:3.3(d)关注网络层面的安全风险,3.3(e)覆盖对个人数据与隐私的保护(实际控制)以及3.3(f)对抵御欺诈的能力。

工业对标:行业常以 ETSI EN 303 645 作为实现 RED 3.3要点的落地模板。


 

CRA(网络韧性法案)

范畴定位:一种横跨硬件与软件的底层法案,面向所有带有数字元素的产品(PDE),不再区分设备类型。

重要时间点:法案在2024年底正式通过并进入实施阶段。未来还将有分阶段的强制执行:

生效后约21个月:对漏洞披露承诺与上报(发现被利用的漏洞需在24小时内提交给 ENISA)等义务强制化。

约36个月后:全面强制执行落地。

核心设计原则:以安全设计为出发点(Secure by Design),要求提供清单化的软件组成(SBOM),并在产品生命周期内(约5年)提供免费 OTA 安全更新。


 

GDPR(通用数据保护条例)

定位与作用:并非硬件技术标准,而是关于数据治理的最高法律框架,决定数据在系统架构中的收集、处理和传输方式。

适用范围:覆盖在欧盟境内收集、处理或存储个人数据的任何系统、应用或云服务。即便设备本身不联网,只要配套应用或后端服务涉及个人数据,GDPR 就适用。

实施时间:自2018年5月25日起全面执行,执法力度持续增强。

技术要点:强调最小权限原则、数据去标识化/化名化,以及在数据传输与静态存储阶段的强加密要求。

 


 

02


 

企业应对思路

 

架构层面

• 以“安全设计”为出发点,将 CRA 的SBOM管理、漏洞披露与更新机制嵌入产品开发流程,确保新旧版本切换顺畅。

• 对无线设备,评估并落实 RED 3.3 的网络防护与隐私保护控制,确保硬件与固件具备可验证的安全特性。

 

数据治理层面

• 根据 GDPR 要求,设计数据最小化收集、端到端加密、以及在数据传输与静态状态下的保护机制,建立清晰的数据处理记录与溯源能力。

 

生命周期管理

• 制定从上市前测试、上市后监控到持续维护的全流程计划,确保在产品生命周期内持续提供安全更新与合规证明。

 

流程与证据链

• 强化对合规证据的系统化管理,包括技术文档、SBOM、漏洞日志、更新记录、以及对外披露与报告的流程化处理。

 

跨区域协调

• 针对不同市场的监管节奏,建立统一的跨地区合规沟通模板,降低多地区认证与变更带来的成本与时间风险。