近年来，欧盟不断加强数字产品网络安全监管。

继GDPR、NIS2之后，《网络弹性法案（Cyber Resilience Act，CRA）》成为制造业、消费电子、工业控制和软件行业最关注的新法规之一。

企业问题和法规背景

许多企业在接触CRA时都会提出类似问题：

·我的产品是否属于CRA监管范围？

·不联网的产品是否适用CRA？

·芯片是否属于CRA产品？

·软件是否属于CRA产品？

·工业设备是否属于CRA产品？

·CRA中的默认类、重要类和关键类有什么区别？

事实上，CRA的适用范围远比很多企业想象得更广。

本文将从产品定义、适用范围、豁免范围和产品分类四个方面，全面解析CRA的产品范围。

CRA到底管什么？

CRA是一部针对“带有数字元素产品（Products with Digital Elements）”的网络安全法规。

法规核心目标是：

在产品整个生命周期内建立统一的网络安全要求，确保制造商从设计、开发、交付到漏洞管理全过程承担网络安全责任。

与传统产品安全法规不同，CRA关注的是：

产品是否存在数字功能以及由此产生的网络安全风险。

什么是“带有数字元素的产品”？

CRA对产品的定义非常广泛。

法规指出：

带有数字元素的产品，是指软件或硬件产品及其远程数据处理解决方案，包括单独投放市场的软件或硬件组件，其预定用途或合理可预见用途包含与设备或网络之间直接或间接的逻辑或物理数据连接。

理解这一定义时，需要重点关注三个关键词：

数字元素（Digital Elements）

包括：

· 软件

· 固件

· 操作系统

· 芯片中的程序

· 嵌入式代码

· 云端处理功能

只要产品具有数字处理能力，就可能属于CRA监管对象。

数据连接（Data Connection）

这里并不要求产品必须连接互联网。

法规使用的是：

与设备或网络之间直接或间接的数据连接。

因此：

· Wi-Fi

· 蓝牙

· Zigbee

· Thread

· NFC

· USB

· RS232

· RS485

· CAN

· Ethernet

都属于可能的连接方式。

即使产品永远不接入互联网，只与另一台设备进行数据交换，也可能属于CRA监管范围。

合理可预见用途

CRA不仅关注制造商宣称的用途。

还关注：

用户在正常情况下可能采取的使用方式。

因此，制造商不能仅通过限制说明书描述来规避CRA要求。

哪些产品可能属于CRA范围？

从实践来看，CRA覆盖范围非常广。

消费电子产品

例如：

· 智能门锁

· 智能摄像头

· 智能门铃

· 智能插座

· 智能开关

· 智能照明设备

· 智能家电

· 智能音箱

· 智能电视

· 智能手表

· 智能手环

这些产品通常具有软件、固件以及数据通信能力，因此大多属于CRA监管对象。

软件产品

CRA并不仅针对硬件。

软件同样可能独立成为CRA产品。

例如：

· 操作系统

· 浏览器

· VPN软件

· 网络管理平台

· 移动应用程序

· 云管理软件

· 设备配置软件

· 远程控制软件

只要软件被单独投放市场，即可能构成CRA意义上的产品。

工业控制产品

工业领域是CRA重点监管对象之一。

例如：

· PLC

· DCS

· SCADA

· CNC

· 工业网关

· 工业交换机

· 工业路由器

· 边缘计算设备

这些产品往往影响工业生产连续性，因此受到重点关注。

工业物联网产品

例如：

· 工业传感器

· 工业采集终端

· 智能仪表

· 工业无线终端

· 工业监测设备

只要具备数字功能和通信能力，通常都属于CRA适用范围。

芯片与电子元器件

这是很多企业容易忽略的部分。

CRA不仅监管终端产品，也可能监管核心电子器件。

例如：

· MCU

· MPU

· FPGA

· ASIC

· Secure Element

· 安全处理器

因此半导体企业同样需要关注CRA要求。

哪些产品通常不适用CRA？

CRA并不是所有数字产品的唯一法规。

欧盟对于部分高监管行业已经建立专门法规体系。

为了避免重复监管，CRA对部分产品进行了豁免。

典型包括：

医疗器械

适用MDR和IVDR法规。

汽车及汽车电子

适用UNECE R155和R156等法规。

航空设备

适用EASA航空网络安全法规体系。

部分船舶和航空航天产品

适用行业专门法规。

因此这些行业原则上不重复适用CRA。

CRA为什么还要进行产品分类？

虽然所有CRA产品都需要满足基本网络安全要求。

但不同产品造成的网络安全影响并不相同。

例如：

智能插座被攻击，可能影响一个家庭；

工业防火墙被攻击，可能影响整个工厂；

数字证书系统被攻击，甚至可能影响整个国家级数字信任体系。

因此CRA采用风险分级管理模式。

根据产品的重要程度和潜在影响，将产品划分为：

· 默认类别（Default Category）

· 重要产品Ⅰ类（Important Products Class I）

· 重要产品Ⅱ类（Important Products Class II）

· 关键产品（Critical Products）

默认类别：CRA中最大的产品群体

很多企业误以为：

“只有重要产品才需要满足CRA。”

实际上这是错误理解。

默认类别同样受到CRA监管。

只不过其符合性评估路径相对简单。

什么是默认类别？

CRA法规并没有单独列出默认类别目录。

默认类别实际上是一种排除法定义：

属于CRA范围，但未被列入重要产品和关键产品目录的产品。

原则上都属于默认类别。

默认类别产品有哪些？

例如：

消费电子产品：

· 智能门锁

· 智能门铃

· 智能插座

· 智能灯具

· 智能摄像机

· 智能家电

工业产品：

· 工业传感器

· 数据采集终端

· 工业通信模块

· 工业边缘采集设备

软件产品：

· 配套APP

· 数据展示软件

· 本地配置软件

· 用户管理工具

芯片产品：

· 无线通信芯片

· 传感器芯片

· 音频芯片

· 显示驱动芯片

这些产品虽然具有数字功能，但不承担关键网络管理或安全功能，因此通常属于默认类别。

从市场规模来看，默认类别产品占CRA覆盖产品总量的绝大多数。

重要产品与关键产品

对于网络安全影响更大的产品，CRA建立了专门目录。

其中：

重要Ⅰ类

主要包括：

· 浏览器

· 密码管理器

· VPN产品

· 网络管理系统

· 防火墙

· 路由器

· MCU

· PLC

· SCADA

· 工业物联网设备等。

重要Ⅱ类

主要包括：

· 操作系统

· PKI系统

· 工业防火墙

· 通用CPU

· HSM

· Secure Element

· 智能卡

· 智能电表

· 机器人控制器等。

关键产品

主要包括：

· 防篡改硬件安全设备

· 智能计量网关

· 高安全加密设备

· 智能卡及同类安全产品

这些产品承担关键安全功能，因此适用更严格的符合性评估要求。

企业应该如何判断自己的产品？

建议按照以下顺序进行分析：

第一步：

确认产品是否属于带有数字元素的产品。

第二步：

确认是否属于CRA豁免行业。

第三步：

确认是否列入重要产品目录。

第四步：

确认是否列入关键产品目录。

第五步：

确定适用的符合性评估路径。

CRA并不是一部针对“联网设备”的法规，而是一部针对“带有数字元素产品”的网络安全法规。

从消费电子、工业控制设备，到软件平台、芯片器件，越来越多产品将被纳入统一的网络安全监管框架。

对于企业而言，开展CRA合规工作的第一步并不是认证，而是准确识别产品是否属于CRA范围，以及属于默认类、重要类还是关键类产品。

只有完成正确的产品分类，后续的风险评估、安全设计、测试验证和符合性评估工作才能顺利开展。