最近，面向欧盟市场的硬件、软件及智能设备出海企业，都在高频关注一部重磅法规 —— CRA。它被称为欧盟数字产品的 “网络安全准入宪法”，直接决定产品能否进入欧洲市场。

CRA是什么？

CRA的全称是《网络安全弹性法案》（Cyber Resilience Act，Regulation (EU) 2024/2847），是欧盟首个针对“含数字元素产品”的强制性网络安全法规，于2024年12月10日正式生效。

CRA的关键时间轴

CRA实行分阶段落地，给企业预留了过渡期，但核心“硬节点”已近在眼前，尤其是2026年9月份这个关键时间点：

2024年12月10日：CRA正式生效，合规倒计时全面启动。

2026年6月11日：合规评估机构（Notified Bodies）的指定规则开始适用，企业可从此时起对接公告机构，开展预评估、准备认证相关工作（目前公告机构尚未公布）。

2026年9月11日：第一个“硬性”合规截止日！制造商必须履行漏洞与严重安全事件报告义务，违者将面临处罚。

2027年12月11日：过渡期全面结束，CRA所有条款强制实施！此后，欧盟市场销售的所有适用产品，必须完全合规并加贴CE标志，未合规产品将被禁止销售、召回，甚至强制退出市场。

CRA的监管范围

CRA的管辖范围极其广泛，在欧盟市场上提供带有数字元素的产品，其预期用途或合理可预见的使用方式包括直接或间接的逻辑/物理数据连接至设备或者网络的环节。

l 含数字元素的产品：指软件或硬件产品及其远程数据处理解决方案，包括单独在市场商销售的软件或硬件组件。

l 远程数据处理：指由制造商设计并开发、或由制造商负责实施的远距离数据处理操作，若缺少此类功能，则带有数字元素的产品将无法实现其某项功能。

覆盖品类：

- 消费电子：可穿戴设备、智能冰箱、智能音箱、智能摄像头等

- 工业设备：PLC、智能传感器、工业软件等

- 通信设备：路由器、交换机、网关等

- 软件 / 固件：操作系统、安全软件、云端服务软件等（只要远程数据处理对产品功能至关重要）

- 硬件组件：CPU、SOC、微处理器、数字信号处理器等

豁免范围

l 已受专项法规监管产品（医疗、汽车、航空、船舶、铁路）

l 涉及国家安全、国防及涉密类数字产品

l 非商用免费开源软件

l 用于替换原产品同型号、不改变安全属性的备用零部件

l 不直接支撑特定数字元件产品功能的纯服务（如普通的商业网站）或软件即服务的云服务、SaaS等

制造商四大核心义务

核心义务1：漏洞报告义务

针对数字元素产品的主动被利用漏洞及严重安全事件，制造商应通过ENISA设立的单一报告平台上报给CSIRT和ENISA。

重点提醒：2026年9月11日的漏洞报告义务，是企业的“生死线”——即便未到 CE 强制日期，未按要求上报漏洞仍可能触发巨额罚款。

核心义务2：产品网络安全以及漏洞处理

制造商应确保产品设计、开发和生产符合AnnexⅠ的基本网络安全要求以及漏洞处理要求。

核心义务3：用户文档

制造商应确保产品附带AnnexⅡ中所列信息和用户说明（纸质 / 电子均可）。

核心义务4：技术文档

在产品上市前，制造商应编制符合AnnexⅦ的技术文档。

违规处罚（三档阶梯式罚款）

      若您的产品正面临 CRA 合规难题，可直接联系邮箱 info@uttlab.com或dojn.dong@uttlab.com 咨询，我们将为你提供专业服务。