随着全球数字化进程加速，越来越多的产品具备联网功能、远程控制能力、软件升级能力以及数据交互能力。与此同时，网络攻击、数据泄露、勒索软件、供应链漏洞等安全事件持续增加，传统产品安全要求已无法满足数字时代的监管需求。

法规背景

在此背景下，欧盟正式推出《网络弹性法案》（Cyber Resilience Act，简称 CRA），建立统一的数字产品网络安全法规体系。该法规被认为是未来欧洲市场最重要的网络安全准入门槛之一，也将深刻影响全球制造业、软件行业及智能硬件产业链。

对于中国企业而言，无论您是制造商、品牌商、进口商、OEM/ODM企业，还是软件开发商，只要产品进入欧盟市场，都应尽快开展 CRA 合规准备。

什么是 CRA（Cyber Resilience Act）

CRA 即欧盟《网络弹性法案》，是针对“带有数字元素产品（Products with Digital Elements）”制定的强制性网络安全法规。

其核心目标是：

1. 提升产品默认安全水平

要求产品上市前具备合理的网络安全设计，而不是出现漏洞后再补救。

2. 强化制造商责任

制造商需对产品全生命周期的网络安全负责，包括设计、交付、维护、漏洞修复等。

3. 统一欧盟市场规则

解决过去各成员国安全要求不一致的问题，形成统一准入体系。

4. 保护消费者与企业用户

减少因弱口令、默认密码、无更新机制、未修复漏洞带来的风险。

CRA 对企业意味着什么？

过去，企业出口欧洲主要关注：

· CE

· EMC

· LVD

· RED

· RoHS

· REACH

未来，仅满足传统 CE 指令已不足够。

如果产品具备数字功能，CRA 将成为新的强制要求。

也就是说：

产品不仅要安全使用，还要安全联网。

不仅要能卖出去，还要经得起网络攻击。

哪些产品会受到 CRA 影响？

CRA 范围非常广泛，几乎覆盖所有具备数字元素的产品。

1. 消费类电子产品

· 智能摄像头

· 智能门锁

· 智能音箱

· 路由器

· NAS 存储设备

· 智能电视盒子

· 可穿戴设备

· 智能家电

· 儿童智能玩具

2. 商业设备

· POS 收银终端

· 自助售货机

· 打印机/复印机

· 门禁系统

· 安防设备

3. 工业设备

· PLC

· HMI

· 工业网关

· 智能仪表

· 工业机器人

· SCADA 边缘设备

4. 软件产品

· 管理软件

· 云平台客户端

· APP

· 固件系统

· 网络管理工具

· IoT 平台软件

哪些产品风险最高？

欧盟将部分产品列为重要类别或关键类别，监管更严格，例如：

· 防火墙

· 身份认证系统

· 密码管理系统

· 网络管理设备

· 工控关键设备

· 安全软件

· 操作系统类产品

此类产品可能需要公告机构（Notified Body）参与评估，而非企业自我声明即可完成。

CRA 的核心技术要求有哪些？

CRA 的本质，是要求企业建立系统性的产品安全能力。

1. 安全设计（Security by Design）

产品开发阶段需考虑：

· 默认安全配置

· 禁止弱密码

· 最小权限原则

· 安全启动机制

· 身份鉴权设计

2. 数据保护

· 敏感信息加密存储

· 通信链路加密

· 用户隐私保护

· 凭据保护机制

3. 漏洞管理机制

企业需建立：

· 漏洞接收渠道

· 安全响应流程

· 修复发布机制

· CVE 跟踪机制

4. 软件更新机制

要求产品具备：

· 安全升级能力

· 更新完整性校验

· 签名验证

· 防止降级攻击

5. 文档与可追溯性

需保留：

· 技术文档

· 风险分析

· 测试记录

· 合规声明

· 生命周期维护策略

企业最容易踩的坑有哪些？

1. 默认密码问题

如：admin/admin、123456、固定密码等。

2. 固件无签名机制

攻击者可刷入恶意固件。

3. APP 接口暴露

未授权访问 API、弱鉴权等。

4. 云平台权限过大

用户越权访问数据。

5. 无安全更新机制

上市后无法修复漏洞。

6. 文档缺失

产品虽做了安全功能，但没有证据链证明。

CRA 对中国制造企业影响尤其重大

中国是欧盟智能硬件的重要供应来源，大量企业采用：

· ODM/OEM 模式

· 白牌出货

· 快速迭代开发

这类模式过去重交期、轻安全，但 CRA 落地后：

客户会要求：

· CRA 符合性声明

· 网络安全测试报告

· 漏洞管理机制证明

· 软件更新承诺

· 技术文件支持

没有准备的企业，极易被替代出局。

信息安全实验室可提供哪些专业服务？

作为专业信息安全实验室，我们可协助企业从“不会做”到“可落地”。

1. CRA 适用性判定

帮助判断：

· 产品是否在范围内

· 属于普通类还是重要类

· 是否需公告机构参与

2. CRA 差距分析（Gap Assessment）

根据现有产品设计，识别：

· 缺失功能

· 高风险项

· 合规短板

· 整改优先级

3. 网络安全测试服务

包括：

· 漏洞扫描

· 渗透测试

· 固件分析

· OTA 升级验证

· 默认密码检查

· 蓝牙/Wi-Fi 安全测试

· 云端接口安全测试

· App 安全测试

4. 技术文件辅导

协助输出：

· 风险评估报告

· 安全架构说明

· 漏洞管理流程

· 更新策略

· 合规声明 DoC

5. 欧盟市场认证路径规划

帮助企业减少试错成本，快速进入市场。

为什么建议现在开始准备？

CRA 虽有过渡期，但企业不能等到最后一天。

因为现实中：

· 产品整改周期长

· 软件开发排期长

· 客户审核提前开始

· 技术文档准备耗时长

· 第三方机构资源有限

提前一年准备，远比临近出货补救更低成本。

谁应该第一时间行动？

以下企业建议立即启动：

出口欧盟企业

亚马逊欧洲站卖家

智能家居品牌商

摄像头/门锁厂家

POS/支付终端厂商

IoT 平台企业

工业设备制造商

软件系统开发商

未来竞争，不只是价格竞争

过去客户问：

多少钱？多久交货？

未来客户会问：

是否符合 CRA？

是否有漏洞响应机制？

是否可持续更新？

是否提供测试报告？

这就是市场趋势。

抢占先机，合规即竞争力

欧盟 CRA 的到来，将重新定义全球智能产品出口规则。

谁先建立网络安全能力，谁就先获得欧洲市场通行证。

谁仍停留在传统制造思维，谁将被新法规淘汰。

北测信息安全实验室

专注全球网络安全法规与认证服务

服务范围：

· 欧盟 CRA

· RED EN 18031

· UK PSTI

· IEC 62443

· ISO 21434

· Data Act

· 渗透测试

· 安全评估

· 合规咨询

如您的产品计划进入欧洲市场，欢迎联系北测信息安全实验室，获取 CRA 产品预评估 + 整改路线图 + 测试认证方案。