《网络复原力法》和欧盟协调委员会互换：主要差异、重叠和遵守路径。

2026年1月16日

理解《网络复原力法》(CRA)

CRA 想要实现的

正如我们在文章中所强调的，“CRA作为欧盟网络安全生态系统的基石”，网络弹性法案（Cyber Resilience Act）主要旨在确保欧洲的数字主权并提升欧洲公司的网络弹性。该法规建立了一个全面的框架，以确保具有数字元素的产品在其生命周期中满足基本的安全要求。CRA追求两个基本目标。首先，通过为在欧盟市场销售的硬件和软件建立横向要求，以增强具有数字元素产品的网络安全性。其次，通过要求提供关于安全功能的透明信息，创造使用户能够做出明智选择的条件。此外，CRA通过要求制造商识别和修正安全风险来促进责任。这种方法增强了消费者信任并为安全产品开发提供了市场激励。

哪些产品属于CRA的范围？

该条例适用于一个叫做 的广泛类别“具有数字元素的产品”。 定义为任何直接或间接连接到设备或网络的软件或硬件产品(及其远程数据处理解决方案)。为了便于理解，CRA包含了我们每天使用的各种物品：

消费设备： 智能家居产品、连接玩具、穿戴器具和IOT 设备。
网络设备： 路由器、调制解调器、开关和VPN。
安全产品： 密码管理员、恶意删除工具和防火墙。
计算部件： 微处理器、微控制器和操作系统。

正如我们在本条中所解释的那样， “2025年之后：为什么RED 是CRA 成功的蓝图”其中很大一部分产品，尤其是无线装置，已经通过《无线电设备指令》受到严格的网络安全条例的约束。由于减少发展中国家毁林和森林退化所致排放量的要求和减少发展中国家毁林和森林退化所致排放量的要求在战略上是一致的。筹备2025年RED-DA最后期限的工作不仅仅是一项过渡性任务，而且也是遵守CRA的基石。

CRA没有采用“一刀切”的办法。相反，它按风险水平对产品进行分类，以确保安全义务与脆弱性的潜在影响相称。该条例特别指明了 "重要" 和 "关键" 产品与标准消费者软件相比，义务要严格得多。这些类别在条例的技术附件中作了正式界定：

默认产品(非临界性)： 这包括绝大多数数字产品(约90%) 它必须遵守标准的安全要求，并常常依赖制造商自我评估。
重要产品(附件三)： 划分为 I类和II类这些包括具有关键安全功能的产品，如浏览器、密码管理器和网络接口。
关键产品(附件四)： 这个类别保留给高风险组件，如硬件安全模块 (HSMs) 和智能卡。要求进行最高级别的审查。

参照 附件三和附件四制造商可以确定其产品的准确位置，并确定它们是否必须进行强制性第三方评估。

专业提示：随着数字领域的发展，欧盟委员会有权更新附件III和附件IV中的列表。制造商应定期查看这些附件，并跟踪即将于2026年9月11日开始的报告义务，以确保其产品分类在新的授权法案通过时保持合规。

需要遵守的人：制造商、进口商、经销商

CRA对所有参与数字产品供应链的经济运营商施加了合规义务：

制造商承担最重的责任，包括进行网络安全风险评估、实施基本安全要求、准备技术文档、张贴CE标志，并在产品支持期内维护其产品。
进口商必须在将产品投放欧盟市场之前，验证制造商对CRA要求的合规性。这包括检查是否完成适当的符合性评估以及技术文档是否可用。
经销商必须保持谨慎，核实CE标志和适当的文档。在发现漏洞时，必须立即通知制造商，并在必要时通知市场监管机构。

Cyber Resilience Act & EUCC Explained: Key Differences, Overlaps and Compliance Pathways

目标是建立一个全面和统一的框架，提高网络安全标准。资料来源： Canva

EUCC是什么，为什么它关系到

欧洲联盟网络安全证书 ENISA (欧洲联盟网络安全局) 这是认证 信息和通信技术产品 在欧洲地貌和欧盟一级取得的巨大飞跃。

根据2019年颁布的欧盟网络安全法构思，这一开创性计划旨在革新广泛的ICT产品的网络安全认证过程，涵盖硬件、软件和服务。其总体目标是建立综合的统一框架，以提高网络安全标准，为消费者创造更安全的数字环境，并促进整个欧盟的贸易畅通。

更详细地概述欧盟协调委员会的框架。参见我们的博客帖子 “EUCC：评价和认证欧洲产品的新网络安全计划”。

CRA和EUCC之间的关键差异和重叠

CRA的运作是 横向管制 ，适用于欧盟市场上所有具有数码元素的产品。而欧盟委员会则是基于共同标准的 自愿认证计划 。此外，CRA将产品归入 “重要”和“关键” 需遵守更严格义务的分类。然而，欧盟委员会对安全认证实行了自己的 “实质性”和“高” 保证水平。

这两个框架都涉及 脆弱性管理、补丁部署和安全评估。从本质上讲，欧盟委员会的许多安全功能要求自然地与协调委员会的基本网络安全要求保持一致，从而为两个系统之间的兼容性奠定基础。

尽管有重叠的目标，CRA具有法律约束力并可能面临处罚，而EUCC仍为自愿性质。CRA要求的符合性评估流程根据产品的关键性而异，尽管EUCC认证提供了一种证明这种符合性的途径。

EUCC认证确定了 “推定符合” 符合《CRA》的要求。因此， ENISA启动了试点项目 测试这种互动，目的是：

验证在 CRA 基本安全要求和 EUCCC 安全功能之间的技术映射
找出差距 需要额外的遵约方法
为寻求通过EUCC认证遵守《CRA》的制造商提出 建议

遵守路径和战略考虑因素

面临CRA安装的制造商有多种合规途径来证明产品合规性。

使用EUCC来演示CRA是否符合

重要产品的制造商可在很大程度上利用欧盟委员会的认证来展示遵守客户关系协定的情况。 EUCC计划的 安全功能要求 (SFRs) 和 安全保证要求 (SARs) 与许多CRA 要求相匹配。创建一个宝贵的遵约途径。通过各种框架之间的既定对等关系，欧共体委员会的认证可提供 符合必要的客户关系评估要求的。

替代路径：统一标准和评估

符合 统一标准 的产品自动受益于符合《CRA 基本要求》的推定。欧洲联盟委员会已经通过了标准化请求M/606，其中包括41项支持执行《CRA》的标准。这种系统的调整进一步说明了我们为什么认为 RED 是CRA 成功的蓝图，目前保障无线设备安全的技术基础和标准化努力正在直接为这些更广泛的CRA规范铺平道路。这些标准包括 横向标准 (提供共同框架)和 纵向标准 (提供针对具体产品的指导)。

选择合适的合规途径对于市场准入至关重要。关于CRA下的符合性程序和技术文档的综合概述，请参阅我们欧盟网络弹性法案信息图。

CRA 遵守和报告义务的时间线

主要最后期限包括：

2026 积极利用的脆弱性和严重事件的报告义务生效。
2026年12月11日： 成员国必须确保有足够的通知机构进行符合性评估。
2027年12月11日： 全面应用CRA 要求

结论

随着欧洲网络安全条例的不断发展，各组织现在面临遵守CRA规定的关键期限。 2026 标志着强制性脆弱性报告的开始，随后在2027年12月全面实施。今天准备而不是等到最后一刻的公司将获得 相当大的竞争优势，即 同时加强其总体安全态势。

CRA和EUCC之间的关系为制造商带来了挑战和机遇。尽管这些框架在范围和执行上有所不同，CRA为强制性而EUCC仍为自愿性质，但它们共享基础的网络安全目标。因此，组织可以战略性地使用EUCC认证作为证明CRA符合性的可行途径，特别是对于需要第三方评估的关键产品。

无论组织选择哪种合规途径，某些行动都需要立即关注。首先，制造商应根据CRA风险分类对产品进行分类。随后，他们必须开发健全的漏洞管理流程，以满足对正在利用的漏洞的24小时通知要求。此外，审查适用的协调标准将为实施策略提供更明确的方向。

这些管理框架的汇合最终达到了更大的目的，在整个欧洲创造了一个 更安全的数字生态系统 。通过建立一致的网络安全要求和认证途径，客户关系评估和欧盟协调委员会共同努力保护消费者。加强市场信心，提高带有数字元件的所有产品的安全基线。现在接受这些要求的企业无疑会发现自己 在明天日益受管制的数字市场中，更能够成功。