欧盟《网络弹性法案》（Cyber Resilience Act, CRA）已于2024年正式生效，距离2027年12月11日全条款强制落地已进入倒计时。最近收到大量厂商的提问：
● 我的智能手表出口欧盟，要找机构做认证吗？
● 听说CRA可以自我声明，是不是随便写个声明就行？
● 那么多评定模式有啥区别？我家产品该选哪一种？
很多厂商一听到“认证”就头大，怕花冤枉钱，又怕不合规被罚款。今天这篇，我们用专业+ 通俗的方式，把CRA合格评定方式讲透，看完就能直接对号入座。
核心原则：风险等级决定评定方式
CRA的合格评定从来不是“一刀切”，核心逻辑非常简单：产品风险越高，监管要求越严，第三方机构介入的程度就越深。
CRA把所有带数字元素的产品划分为4个类别：默认类、重要Ⅰ类、重要Ⅱ类、关键类。等级越高，合规门槛越高。
01 Module A：自我声明
一句话概括：自己检测、自己举证、自己担责，不需要找欧盟公告机构（NB）介入。
✅ 哪些产品可以走这条路？
1、所有默认类数字产品：这是CRA 风险分级里门槛最低的基础类别，覆盖绝大多数普通消费级数字产品，比如智能音箱、智能灯泡等。
2、属于「重要Ⅰ类」的产品，但全程按照欧盟官方发布的协调标准完成全部检测，也可以走自我声明。
✅ 要做哪些事？千万别误会：自我声明≠ 随便写个声明就行，该做的合规工作一样都不能少：
● 安全测试与漏洞管理体系建设
● 网络安全风险评估
● 编制全套合规技术文档并妥善留存
● 签署《欧盟符合性声明》（DoC）
● 产品粘贴CE 标志
⚠️ 重要提醒：自我声明只是免除了第三方的事前审核，但不免除制造商的法律责任。欧盟监管部门会开展事后市场抽查，一旦查出不合规，罚款、产品召回、市场禁售，全部责任由制造商自行承担。
02 Module B+C（基础第三方评定）
一句话概括：先过“样品考试”，再保证量产一致性。
整个流程分为两步：
把产品样品送到具备资质的NB 机构，机构会全面检测产品的设计、功能、安全能力，确认完全符合 CRA 要求后，颁发型式检验证书。
企业自行管控生产过程，保证批量生产的产品和通过检验的样品完全一致，无需机构逐批审核。
✅ 适用产品：未采用协调标准的重要Ⅰ类、重要Ⅱ类产品。
03 Module H（高阶全体系评定）
一句话概括：从研发设计、生产制造到售后运维，产品全生命周期都要接受机构的体系审核，不局限于单次样品检测。
这种模式是所有评定方式里要求最严、合规成本最高的，但覆盖维度最全面，是高风险产品的主流选择。
✅ 适用产品：重要Ⅱ类、关键类高风险产品（比如工业安全设备、金融支付终端、关键网络设备等）
04 EUCC（欧洲网络安全）认证
一句话概括：如果你的产品已经拿到欧盟官方认可的 EUCC 认证，且认证范围覆盖了 CRA 对应要求，可以直接用来证明合规，不用重复开展评定，避免重复投入。
EUCC 是欧盟网络安全法案下的官方高等级产品认证，也是全球认可度最高的网络安全认证体系之一。
✅ 适用产品：关键类等高安全等级产品
一图看懂：4 种模式怎么选
《网络弹性法案》原文链接：https://eur-lex.europa.eu/eli/reg/2024/2847/oj/eng
常见疑问解答
01 自我声明是不是不用做测试，随便写个声明就行？
绝对不是！自我声明只是免除了 NB 机构的事前审核，但是安全测试、漏洞管理、技术文档编制等所有合规要求一项都不能少。相当于 “先上市、后抽查”，一旦被查到不合规，处罚力度和第三方认证产品完全一致。
02 国内检测机构能做 CRA 的第三方评定吗？
A：不行。Module B、Module H 这类第三方合格评定，必须由欧盟委员会官方授权、具备 CRA 对应资质的公告机构（NB） 执行。国内机构可以做预测试、整改辅导、技术文档编制，但没有资格颁发 NB 级别的评定证书。
03 怎么判断我的产品属于哪个类别？
CRA 法规附件有明确的产品分类清单，普通消费级智能家居大多属于普通类；工业自动化设备、网络设备、操作系统等可能属于重要类甚至关键类。拿不准的可以找专业合规机构协助判定，避免错估风险。
******合规路上，一信泰助您少走弯路******
CRA 合规是个系统工程，从产品分类、风险分析、安全测试、漏洞管理体系搭建到全套技术文档编制，每一步都不能掉链子。
一信泰 UnionTrust 拥有专业的网络安全合规团队，深耕欧盟市场准入认证，熟悉 CRA 全流程要求，可提供一站式服务：
产品类别精准判定
合规路径规划与模式选型
产品安全预测试与整改辅导
协助全套技术文档编制
欧盟公告机构对接与全流程跟进
助您低成本、高效率完成 CRA 合规，顺利打通欧盟市场。