欧盟委员会于2025年11月28日正式通过《委员会实施条例 (EU) 2025/2392》，对《网络弹性法案》中规定的重要产品和关键产品类别作出了详细的技术描述。该条例将于公布后第二十天生效，旨在为制造商提供清晰的法律指引，明确哪些产品需要遵循更严格的网络安全合规性评估程序。

核心功能决定产品分类

条例明确指出，产品的核心功能是判定其是否属于重要或关键类别的决定性因素。如果一款产品整合了其他安全组件的功能，但其自身的核心功能不同，则整体产品不自动归入相应类别。例如，智能手机虽集成了操作系统和密码管理器，但其核心功能并非如此，因此不被视为该类别的关键产品。

制造商在进行合规性评估时，需基于产品的整体核心功能进行判断，并确保产品整体满足基本的网络安全要求，同时充分考虑其整合的各组件安全性。

重要产品覆盖广泛领域

根据条例附件一，重要产品被划分为两大等级，涵盖范围广泛。其中Class I包括身份管理系统、独立及嵌入式浏览器、密码管理器、杀毒软件、虚拟专用网、网络管理系统、操作系统、路由器与交换机、具有安全功能的微处理器和微控制器，以及智能家居虚拟助手、联网玩具、健康监测可穿戴设备等共计19类产品。

Class II则聚焦于更高安全等级的产品，包括支持虚拟化执行的虚拟机管理程序及容器运行时系统、防火墙及入侵检测防御系统，以及防篡改微处理器和微控制器。其中防篡改类产品需满足通用准则中规定的AVA_VAN 2级或3级保护标准。

关键产品设定更高门槛

附件二明确了三类关键产品的技术描述。硬件安全设备如物理支付终端和硬件安全模块，需具备物理层面的防篡改能力。智能电表网关作为智能计量系统的核心控制组件，需具备数据加密和防火墙功能。

智能卡及类似设备则设定了最高安全标准，需满足AVA_VAN 4级保护要求，涵盖可信平台模块、嵌入式通用集成电路卡、电子身份证件、支付卡等产品。这些设备通常用于存储和管理身份凭证或支付信息，面临最高的安全风险。