图片名称

CRA 适用判断速览:什么管,什么不管

作者:

立讯检测集团

来源:

发布时间:

2026-10-19

重要提醒:9·11 义务已经生效,制造商需要立刻履行9.11义务


 

2026 年 9 月 11 日,CRA 第 14 条强制报告义务正式生效。只要你的产品在 CRA 适用范围内,发现"被在野利用的漏洞"或"严重安全事件"后,必须按三重时限上报:

24 小时内:通过 ENISA 单一报告平台(SRP)提交早期预警;

72 小时内:提交事件通报;

14 天 / 30 天:提交中期报告与最终报告。


 

下一步节点是 2027 年 12 月 11 日,CRA 基本网络安全要求全面适用。


 

所以当下最要紧的一件事,是先答对一个问题:你的产品到底在不在 CRA 的适用范围?


 

一、适用判断原则:三条同时成立才适用

依据 CRA 第 2 条第 1 款,三个条件缺一不可:

1.是"含数字元素的产品"(PDE)——软件或硬件产品及其远程数据处理方案,包括单独投放市场的软硬件组件;

2.已投放欧盟市场——在商业活动过程中供应,收费或免费都算;

3.具备数据连接——预期用途或可合理预见的用途中,包含直接或间接的逻辑或物理数据连接。

一句话概括:不看"有没有芯片、有没有电",只看"会不会交换数字信息"。 凡在产品预期用途或合理可预见的用途中,存在与设备、网络之间直接或间接的数据交互,即纳入管辖。


 

重点强调:连接形式不限于无线,管控形态不限于硬件。

有线产品、无线产品都包括——网线、串口、USB 等有线连接与 Wi-Fi、蓝牙、NFC 等无线连接,同样构成"数据连接";

硬件产品、软件产品都包括——整机、纯软件、零部件组件,三类形态无一豁免。


 

1."直接"和"间接"怎么判



 

两条判定要点:

间接也算。 网络威胁会经过多个产品才抵达最终目标,"我的产品本身不联网"不等于出范围。

命中一种即可。 一个产品可以同时存在多种连接形式,只要占上一条就适用。


 

2.五种容易漏判的连接场景

1.经 USB 连接电脑,间接联网升级固件——设备自己没网口也算"间接连接";

2.调用 API、SDK 与外部服务器交换数据——纯逻辑连接,无需任何线缆;

3.通过 USB-C、网口、串口等物理端口传输数据——单纯充电功能除外(仅供电、不承载数字编码信息的,不构成数据连接);

4.通过 U 盘、SD 卡导入导出本地文件——存储介质作为数据载体接入,同样构成连接预期;

5.NFC、RFID 等近场通信——即使断网状态下的数据交换,也视作法规定义的"连接"。

二、适用 CRA 的常见产品举例

1.产品形态速查



 

CRA 管控的"含数字元素产品"覆盖三大类形态——硬件设备、纯软件产品、组件产品,全部包括。


 

2.常见类别速查



 

以上均在 CRA 适用范围内——有线或无线、直接或间接,只要存在数据连接即纳入管辖。

三、不适用 CRA 的场景举例

以下产品因不具备数据连接能力(数据“孤岛”),不在 CRA 范围内:

只能按内置程序洗碗、无法连接任何设备或网络的洗碗机;

只做四则运算、无连接能力的基础计算器;

播放预录声光效果、无连接能力的电子玩具;

只能通过控制面板设定浓度、无连接能力的咖啡机;

带无线充电座、但无数据连接能力的电动牙刷。

仅输出开关信号、仅用于供电或触发、不承载数字编码信息的器件,不构成数据连接,不适用 CRA。

仅仅只有光电信号的USB鼠标(要区分智能鼠标,智能鼠标在管控范围内)

四、CRA豁免的产品

 

五、排除范围里的六个坑

“命中排除清单”不等于“安全”,以下情形仍然适用 CRA:

1.未获认证的航空产品——开放类无人机等未取得 (EU) 2018/1139 认证的产品,仍适用;

2.用于集成的零部件——拟集成到航空 / 船舶产品中、但本身不在那些法规范围内的零部件,仍适用;

3.备件改了安全特性——若替换件的加密算法、安全启动机制等安全相关特性与原部件不同,视为新产品,不享受豁免;

4.军民两用产品——只有"专为国防 / 国家安全"才排除,投放市场的两用产品仍适用;

5.自用工具外供——自研自用的开发 / 配置工具一旦对外供应,即构成投放市场;

6.存量产品被重大修改——2027-12-11 前投放的产品,一旦发生"重大修改"即全面适用;但报告义务自 2026-09-11 起已经生效,存量产品同样要报。


 

如果想要进一步了解CRA,请联系我们,我们会给出专业的评估。