CRA网络法案

   2026年9月11日，欧盟《网络弹性法案》（CRA）第14条制造商漏洞报告义务将正式强制生效，这标志着全球最严数字产品网络安全监管正式进入“即时执行”阶段。不少出口企业仍存在“2027年才需要合规”的认知误区，忽略了本次无缓冲、无豁免的上报红线，极有可能在新规落地后触发更高1500万欧元或全球年营业额2.5%的高额罚款。

一、CRA核心生效节点：别等2027，9月就是道合规红线

很多企业对CRA的时间节奏存在严重误判，实际上法规落地分为三个明确阶段，每个阶段的合规要求完全不同：

1. 2024年12月10日：CRA法案正式生效，企业可提前启动产品安全架构调整与合规体系搭建；

2. 2026年9月11日：第14条制造商报告义务强制执行，所有在欧盟市场在售的带数字元素产品，一旦发现被主动利用的漏洞或严重安全事件，必须严格遵守24小时预警、72小时完整通报的硬性时效要求，无任何过渡期缓冲；

3. 2027年12月11日：CRA所有条款全面适用，新投放欧盟市场的产品必须完成全流程合规，加贴CE标识后方可上市。

特别提醒：若企业当前存在未修复的高风险漏洞，且修复计划跨越9月11日，即便漏洞是新规生效前发现的，9月11日后也必须依法向ENISA和成员国CSIRT机构上报，违规同样会触发处罚。

二、哪些产品必须合规

CRA的适用范围远超多数企业的预期，只要产品包含软件、硬件数字元素，能够直接或间接连接设备或网络，就属于监管范畴，核心覆盖品类包括：

• 全品类联网消费电子：智能家电、可穿戴设备、智能玩具、摄像头等；

• 网络通信设备：路由器、防火墙、网关、交换机等；

• IoT智能硬件：智能家居终端、智能电表、共享设备等；

• 工业设备：工控终端、嵌入式固件、带数字芯片的工业组件；

• 商用软件与独立芯片：商用办公软件、安全芯片、TEE可信执行环境等。

仅整车、专业医疗设备、航空航海装备等已有专项欧盟法规覆盖的产品，可结合行业规则个案判断，其余绝大多数数字出海产品均无豁免空间。

三、不同产品认证怎么做

CRA没有采用“一刀切”的认证模式，而是根据产品风险等级划分三类合规路径，企业可对照自身产品快速定位：

1. 默认类产品（Default Class）：占市场90%的普通消费级数字产品，可通过制造商自我符合性评估完成合规，需整理完整技术文档、签署欧盟符合性声明；

2. 重要类产品（Important Class）：涉及网络通信、安全功能的网关、操作系统、安全软件等，必须由欧盟公告机构（NB）完成第三方符合性评估；

3. 关键类产品（Critical Class）：安全芯片、VPN网关、智能电表等关键基础设施相关产品，强制要求通过EUCC欧盟网络安全认证，至少达到substantial保障等级，高风险产品需满足high等级对应的高强度脆弱性分析要求。

企业可依托IEC 62443、ETSI TS 103 701等成熟标准快速对齐CRA要求，大幅降低合规成本与周期。

四、企业紧急行动清单

距离9月11日强制上报仅剩十几天，出海企业需立刻启动前置准备，规避突发漏洞无法及时上报的合规风险：

1. 完成EU Login账号实名注册并开启2FA二次验证，提前规避全球企业集中注册导致的审核拥堵，后续还需在SRP单一上报平台完成企业备案、绑定欧盟授权代表；

2. 全面梳理欧盟在售产品清单，划分管控与豁免品类，建立产品漏洞台账；

3. 搭建内部24小时应急响应机制，明确漏洞发现、评估、上报的全流程责任人；

4. 提前整理SBOM软件物料清单，完成固件版本、组件来源的全链路追溯；

5. 对接专业合规服务机构，完成产品预评估，提前排查高风险未公开漏洞。

CRA合规不是一次性认证，而是覆盖产品全生命周期的持续安全义务，提前布局不仅能规避巨额罚款，更能成为企业在欧盟市场的核心竞争优势。