各位硬件、软件、模组及 OEM/ODM 供应商朋友们，
最近被客户问得最多的一句话就是："我们的成品不直接卖欧洲，只是给品牌商供货，欧盟《网络韧性法案》（CRA）跟我们有关系吗？能不能不做？"
简短答案：法律上 CRA 不直接管您"对欧出口"，但商业上几乎一定跑不掉。
一、CRA 管的是什么？ 「投放欧盟市场」是关键
欧盟《网络韧性法案》（Cyber Resilience Act, Regulation (EU) 2024/2847）管辖的是"含数字元素的产品（PDE, Products with Digital Elements）是否被投放（placed/made available）于欧盟市场"，而非企业注册地在哪。
只要以下条件同时满足，产品就在 CRA 范围内：
●✅ 含有软件/固件/可编程逻辑（几乎任何智能硬件、嵌入式软件都符合）
●✅ 可直接或间接连接网络/设备（Wi‑Fi / 蓝牙 / 通过网关上网也算）
●✅ 最终整机或集成品被销往欧盟市场
��注意：CRA 不要求"你直接出口欧洲"，只看最终产品是否出现在欧盟市场。
二、那组件/模组供应商本人要不要合规？
这里要区分法律直接义务与商业合同传导义务：
❌ 法律层面：不直接投放欧盟，无 CRA 制造商身份
如果您是纯元器件、模组、嵌入式软件组件供应商，以自己的品牌不向欧盟销售成品，您不是 CRA 定义的"制造商（Manufacturer）"，没有加贴 CE、出具 EU DoC 等直接法定义务。
✅ 现实商业层面：整机厂会向您要这些！
CRA 明确要求制造商（通常是您的下游品牌客户）对供应链组件进行尽职调查，包括：
● SBOM（软件物料清单）——标明所有开源/第三方组件及版本
● 组件无已知高危漏洞声明或漏洞扫描报告
● 安全开发/漏洞披露相关政策说明
● 支持周期承诺（影响整机最低 5 年安全支持要求）
不提供 = 客户整机无法完成 CRA 合格评定 = 丢单或遭合同追偿。
许多一线品牌已开始在采购合同中加入 CRA 供应链条款，要求供应商签署合规附件或提供上述材料。
三、还有两种"隐性风险"要留意
情形 | 风险说明 |
您以自己品牌在电商平台向欧盟销售模组/开发板（如 STM 兼容板、网关模组） | 您就是制造商，须全量履行 CRA（CE、DoC、SBOM、漏洞通报等） |
您的组件被客户做实质性修改或贴牌后视作"重要产品" | 客户可能追溯要求您提供更严格的组件安全证明，甚至第三方评估文件 |
四、供应商现在该怎么行动？（建议清单）
即使您"不直接出口欧洲"，建议立即启动以下动作：
1. 梳理产品线——确认哪些带软件/固件的模组可能被客户用于出口欧盟整机
2. 建立 SBOM 能力——用 SPDX 或 CycloneDX 格式生成并维护版本化 SBOM
3. 引入基础漏洞扫描——对自研/集成的开源组件做定期 CVE 检查并记录
4. 拟定标准回复模板——给客户的《组件网络安全信息表》（含支持周期、漏洞处理方式）
5.关注客户 RFP/合同——提前识别 CRA 供应链合规条款
五、关键时间节点提醒
●2026年9月11日——漏洞/重大安全事件强制通报义务率先适用于已投放欧盟的 CRA 产品
●2027年12月11日——CRA 全条款强制执行，未合规产品禁止进入欧盟市场
一句话总结：CRA 不直接惩罚"不出口欧洲的供应商"，但会通过整机厂的供应链合规要求，把压力传导到每一个数字组件提供者。能拿出 SBOM 和漏洞管理证据的供应商，将在未来招投标中明显占优。
如您需要 CRA 产品范围判定、SBOM 模板或供应链合规条款审阅，欢迎留言或私信交流。