艾体宝干货 | "150天"倒计时：CRA合规之路（一）

随着网络攻击、数据泄露及数字化转型衍生风险对全球经济与安全的威胁日益加深，各国正不断完善网络安全法规，欧盟 2022 年出台的《网络安全弹性法案（CRA）》，重点针对 5G、物联网等新兴技术潜在风险，全面提升网络安全防御能力。

作为欧盟强制性门槛法规，CRA 规定：自2026 年 9 月 11 日起，制造商严格遵守漏洞报告规定，逾期不合规将面临重罚。随着合规期限临近，企业若未提前筹备，极易因无法达标面临法律风险与品牌声誉损失，合规工作刻不容缓。
为帮助出海企业高效实现 CRA 合规，艾体宝特别推出 CRA 合规之路系列文章，结合 CRA “十问十答”系列视频，详细解读 CRA 法规，为企业提供切实可行的合规指南。第一期将聚焦 CRA 法规管辖的产品范围以及对企业运营的影响。

一、CRA 法规的适用范围

CRA 的适用范围涵盖所有含有数字元素（PDE）的产品，只要这类产品被投放市场后，其预期用途或合理可预见的用途包含直接或间接的逻辑/物理数据连接到设备或网络。参考如下：

• 包含软件的硬件产品（例如笔记本电脑、智能家电、手机、网络设备、中央处理器等）
• 软件产品（例如操作系统、文字处理、游戏或移动应用、软件库等）
• 针对上述任一的远程数据处理解决方案，只要这些解决方案对产品运行其功能是必要的（例如基于云的服务，允许远程控制智能锁，支持用户偏好的远程数据库等）

但是以下情况除外：

• 医疗设备：《(EU) 2017/745 医疗器械法规》《体外诊断医疗器械法规（EU）2017/746》调整规范的数字产品。
• 汽车行业：UNR 155/156
• 航空产品：受《民用航空条例通用规则（EU）2018/1139》认证的数字产品。
• 国家安全或军事目的：专为国家安全或军事目的开发的数字产品不在该法案的规范范围内。
• 关键或重要实体 的网络服务：当 SaaS 适用《高度共同网络安全指令》（NIS 2 指令）规定的关键或重要实体所属企业的网络安全管理义务时，不适用《网络弹性法案》。
• 非商用产品：非商用产品不适用于《网络弹性法案》

二、CRA 与其他欧盟法规的关系

CRA 与其他欧盟网络安全法规，如 GDPR 和 NIS2，形成了一个综合的合规体系。GDPR 关注数据保护，CRA 则侧重于产品安全，而 NIS2 主要关注关键基础设施的运营安全。三者共同构建了欧盟的网络安全监管框架。

三、CRA 对企业运营的影响

CRA 将对企业的研发、产品生命周期管理和供应链管理产生深远影响：

1.安全开发流程：CRA 要求企业在产品开发阶段落实安全设计原则，并加强 DevSecOps 理念。

2.产品生命周期安全管理：企业需在产品发布后持续监控漏洞，并提供安全更新。

3.供应链安全：CRA 要求企业加强对第三方组件和开源软件的安全管理。

4.合规文档：企业需提供包括安全技术文档、风险评估报告等合规证明。

四、企业面临的法律与财务后果

企业若未遵守 CRA 要求，可能面临：

1.行政处罚与罚款：罚款可高达1000万欧元或年营业额的2%。

2.产品下架与禁售：严重安全风险可能导致产品暂时下架或市场禁售。

3.法律责任与诉讼风险：因产品漏洞导致用户损失可能面临诉讼和赔偿责任。

4.品牌与市场信誉损害：安全事件可能导致客户信任下降、投资者信心受损及市场竞争力下降。

五、结语

CRA 法案的实施为欧盟在数字产品安全监管方面树立了新的标准。对于企业而言，CRA 不仅是合规挑战，也是一项提升安全能力和市场竞争力的机会。通过加强安全开发流程、供应链管理和漏洞治理，企业可以在满足监管要求的同时，构建更为安全可靠的产品体系，确保在全球数字经济环境中的竞争力。

艾体宝ONEKEY 是全球领先的物联网与运营技术（OT）安全与合规分析平台，通过自动化固件分析、SBOM 生成和漏洞检测，帮助制造商和企业高效应对欧盟 CRA、RED 等法规要求。无需源代码或设备访问，ONEKEY 即可实现全生命周期的安全合规管理，已广泛服务于 Swisscom、Trimble 等国际头部客户，成为智能设备安全领域的行业标杆。