CRA合规三大卡点，艾体宝ONEKEY在CRACoWi项目上给出了解法

欧盟资助项目 CRACoWi（Cyber Resilience Act Compliance Wizard，网络弹性法案合规向导） 联盟在卢布尔雅那举办 Cyber Day 2026 活动，以 “From Compliance to Action”（从合规要求走向实际行动） 为主题，围绕网络安全法规、事件证据、合规工具与企业网络韧性展开讨论。作为 CRACoWi 项目合作伙伴之一，ONEKEY 在 Tools Demonstration 环节展示了其如何为 CRA 合规提供实际支持。

CRA 的漏洞与事件报告义务已于 2026 年 9 月 11 日开始适用，全部要求将于 2027 年 12 月 11 日全面适用。本场活动释放出一个值得关注的关键信号：在 CRA 法规逐步落地的背景下，企业所需要的不仅是对法规条文的理解，更是能支撑实际执行合规的技术能力与工作机制。对于面向欧盟市场销售带有数字元素产品的制造商而言，真正的挑战在于，当漏洞信息出现时，企业能否迅速确认哪些产品受到影响，并为后续风险评估与处置提供可靠依据？

一、从欧洲行业活动看 CRA 落地：CRACoWi 要解决什么问题？

CRACoWi 由欧盟“数字欧洲计划”共同资助、欧洲网络安全能力中心（ECCC）支持，于 2024 年 9 月正式启动。其目标是开发一款数字化合规向导（Wizard），引导企业“从一开始就让产品具备安全性”，帮助制造商、分销商和进口商，尤其是中小企业，更容易地理解和管理 CRA 合规。

其中，CRACoWi 重要合作伙伴 ONEKEY 正致力于利用过硬的技术能力，在项目中展示、开发及验证帮助企业落实合规要求的实用工具。

本次活动的讨论内容并未局限于法规解读，还涵盖了 CRA 对中小企业的影响、网络安全事件与证据、合规工具演示，以及企业如何提升网络韧性等主题。

从本次会议透露的方向来看，项目最后阶段的重点包括：

• 面向实际场景验证：结合用例合作伙伴，在真实的 CRA 合规场景中验证向导功能；
• 跟进法规与标准进展：将最新的监管与标准化动态纳入工具设计；
• 证据与可追溯性：围绕合规证据的形成与追溯开展工作。

这几项重点，也正对应企业落实 CRA 时普遍面临的难题。

二、企业落实 CRA 的三个现实难题

1. 要求多、条款细，难以逐条对照

CRA 对带数字元素的产品提出了覆盖设计、开发到维护全过程的网络安全要求。对于缺少专职合规团队的中小企业而言，逐条理解要求并判断自身产品是否满足，本身就是不小的工作量。

2. 合规判断需要以产品实际情况为依据

产品是否满足某项要求，最终取决于产品本身：固件中使用了哪些组件、是否存在已知漏洞、是否存在不安全的配置等。缺少对产品实际软件构成的掌握，合规判断就只能停留在问卷层面。

CRA 附件一也明确要求，产品投放市场时不得存在已知可被利用的漏洞，并需识别和记录产品所含组件。

3. 合规不是一次性工作

固件版本更新、新漏洞披露，都可能改变产品的合规状态。企业需要的不只是一次性的评估结论，而是能够随产品变化持续更新的合规证据。

三、艾体宝 ONEKEY：以固件分析结果支撑合规判断

在 CRA 合规流程中，组织层面的制度与流程需要企业自行建立，但在“产品是否满足技术要求”这一环节，自动化工具可以减少人工对照的工作量。

艾体宝 ONEKEY 平台内置的 Compliance Wizard（合规向导），可以基于固件分析结果，逐条检查固件是否符合相关网络安全规范：

• 覆盖多项法规与标准：支持包括欧盟 CRA、EN 18031-1、ETSI EN 303 645、IEC 62443-4-2 在内的 15 项网络安全规范；
• 以固件分析结果给出判定建议：针对每一项条款，平台基于固件分析结果给出判定建议，用户可以接受，也可以填写自己的声明；
• 违规项有据可查：对判定为“违规”的条款，平台会列出背后对应的 CVE 与安全问题，便于追溯与整改；
• 状态随分析更新：固件重新分析，或相关 CVE、问题的状态发生变化后，受影响条款会被标记为“已过期”，提醒用户重新确认；
• 合规材料一键导出：可将平台中的合规信息与上传的支撑文件打包为合规材料包，也可以 CSV 或 JSON 格式导出合规条目。

图：艾体宝 ONEKEY Compliance Wizard 示例，可选择不同法规与标准，按条款逐项给出判定状态（如“违规”“需人工核查”）。

需要强调的是，ONEKEY 只能基于固件中可获得的信息判断是否存在违规，部分条款仍需人工核查，组织流程类要求也需要企业自行落实。Compliance Wizard 的作用，是让合规判断建立在产品实际软件构成的基础上，并让合规证据随产品变化保持更新。

四、从“读懂法规”到“产品合规有据可依”

CRACoWi 的收尾时间（2027 年 8 月），恰好落在 CRA 全面适用之前。如今，项目已进入最后阶段，CRA 全面适用的时间也越来越近。对于面向欧盟市场的设备制造商而言，合规不仅是满足外部要求的过程，也是向客户、合作伙伴与市场证明自身能力的机会。 将产品安全管理融入研发与产品生命周期，让安全能力有据可查、持续更新，才能逐步将合规实践转化为企业信用与品牌信任的一部分。

正在评估 CRA 准备情况的企业，可以先从一款在售产品的固件开始验证：它的软件组成是否清楚？对照 CRA 要求，哪些条款已经满足，哪些还需要整改？这也是检验企业 CRA 准备程度的一个直接切入点。

如需了解艾体宝 ONEKEY 合规向导的更多信息或预约演示，欢迎联系我们。