芯耀
与非AI
26
《网络弹性法案》（Cyber Resilience Act，CRA）要求联网产品的制造商在产品投放欧盟市场之前证明其符合性。EN 40000 是正在制定中的协调标准系列，将 CRA 的义务转化为具体的技术与流程要求。了解各部分的要求，以及必须提供哪些证据，现已成为合规的前提条件。
关键要点
- EN 40000 由多个部分组成，分别对应 CRA 的不同方面：EN 40000-1-1 涵盖所有具有数字元素的产品的基线安全要求，EN 40000-1-2 则针对风险较高的产品，并有更严格的证据义务。
- EN 40000-1-3 将漏洞处理与安全支持落实为可操作的要求，要求在至少五年的支持期内，提供有文档记录的软件物料清单（SBOM）和协调披露政策，并持续进行组件监控与补丁管理。
- 制造商必须维护准确、可追溯且反映实际发布二进制文件的 SBOM，主动监控新发现的漏洞，并建立可重复的风险评级与修复流程。
- 自 2026 年 9 月起，制造商必须在 24 小时内向 ENISA（欧盟网络安全局）报告被积极利用的漏洞，并需具备有文档记录的检测与升级流程。
- 对于采用第三方固件且无法获取源代码的产品，二进制分析是生成符合性证据的唯一可靠方法。
EN 40000 与 CRA 的关系
CRA 为具有数字元素的产品的制造商、进口商和分销商设定了法律义务。但该法规本身并未明确规定这些义务在技术上必须如何履行。这一空白由协调标准填补。协调标准在《欧盟官方公报》（Official Journal of the EU）上公布后，符合该标准即产生对相应 CRA 要求的符合性推定。
EN 40000 系列专为 CRA 而制定。它并非唯一相关的标准，但它是涵盖 CRA 全部安全要求（从安全设计到漏洞处理）的主要标准。对产品安全团队而言，这使其成为构建符合性论证的主要参考，该论证须能够经受公告机构或市场监督机构的审查。
该系列以 IEC 62443（工业自动化与控制系统安全标准）、ETSI EN 303 645（消费类物联网网络安全标准）和 ISO/IEC 29147（漏洞披露标准）的既有成果为基础。它并非取代这些框架，而是将 CRA 的义务对应到具体要求，并引入超出上述早期标准要求的额外证据义务。已通过 IEC 62443-4-1 认证的制造商会发现两者有显著重叠，但在漏洞生命周期文档方面仍存在差距。
EN 40000 系列的各个部分
该标准采用多部分系列的结构。每个部分针对 CRA 基本要求的不同方面，或针对特定的产品类别。截至本文发布时，该系列包含四个主要部分，各部分处于不同的制定阶段。
由于部分内容仍处于草案阶段，制造商应通过欧洲电工标准化委员会（CENELEC）跟踪标准化工作，并在作出合规声明之前，核实哪些部分已正式发布。
- EN 40000-1-1 涵盖适用于所有具有数字元素的产品的通用安全要求。它直接对应 CRA 附件 I 第 I 部分，提供所有制造商无论产品类型或风险等级均须满足的基线。
- EN 40000-1-2 针对风险较高的产品提出具体要求，对应 CRA 附件中定义的重要产品与关键产品类别。网络基础设施设备、工业控制器和联网医疗设备的制造商，应预期在此适用更严格的证据义务。
- EN 40000-1-3 仅聚焦于 CRA 附件 I 第 II 部分规定的漏洞处理与安全支持义务。该部分对运营的影响最为直接，因为它规范 SBOM 的维护、协调披露和事件报告。
- EN 40000-1-4 针对特定的产品类别或使用环境，目前仍在积极制定中。汽车和工业 OT 领域的制造商应密切关注其进展。
EN 40000-1-3 要求您证明什么
EN 40000-1-3 是多数合规团队所低估的部分。该部分将 CRA 附件 I 第 II 部分的义务转化为可操作的要求。这些并非仅属愿景的安全实践，而是有文档记录、可审计的要求，在整个产品支持期内都必须有证据支撑；CRA 将大多数产品的支持期规定为至少五年。
- 贯穿产品生命周期的 SBOM 与 HBOM： 您必须维护一份软件物料清单，该清单在产品发布时须准确无误，并在整个支持期内持续更新。对于包含带有嵌入式固件的硬件组件的产品，还应提供硬件物料清单（Hardware Bill of Materials，HBOM）。《网络弹性法案》与 SBOM 要求明确指出，SBOM 必须反映实际发布的二进制文件，而不仅仅是构建清单中声明的依赖项列表。组件标识、版本、供应商以及已知漏洞状态都必须可追溯。
- 协调漏洞披露政策： 必须有可公开访问的漏洞披露政策。该政策须规定外部研究人员如何报告漏洞、适用的响应时限，以及当漏洞源自上游时，制造商如何与组件供应商协调。EN 40000-1-3 要求该流程有文档记录，且能够证明已按其执行，而不仅仅是对外发布。
- 组件的持续监控： 制造商必须主动监控已发布产品中的组件，以发现新披露的漏洞，这使完善的固件漏洞管理成为符合性证据集中必不可少的组成部分。被动监控（例如等待供应商发布公告）并不足够。您必须证明已建立可重复的流程，将 SBOM 中的组件标识与漏洞数据库进行比对，这些数据库包括国家漏洞数据库（National Vulnerability Database，NVD）、供应商公告以及行业专属来源。
- 带风险评级的补丁管理： 发现漏洞后，您必须采用有文档记录的风险评级方法（例如结合环境评分的 CVSS）评估其严重程度，并跟踪修复直至补丁发布。EN 40000-1-3 要求提供证据，证明严重程度评估与修复时限相互关联，且关键漏洞得到加快处理。
- 自 2026 年 9 月起的公告与报告义务： CRA 的漏洞报告义务自 2026 年 9 月起生效。自该日起，制造商必须在获知后 24 小时内，向 ENISA 报告被积极利用的漏洞。EN 40000-1-3 规定了证明报告流程按要求运行所需的文档，包括记录获知的时点、内部升级路径以及所提交报告的内容。
为无源代码的固件提供证据
在 EN 40000 CRA 框架下，最为突出的运营挑战之一，是为那些集成了第三方或供应商提供的、无法获取源代码的固件二进制文件的产品生成符合性证据。这种情况在使用嵌入式 Wi-Fi 模块、蓝牙芯片组、蜂窝调制解调器和工业通信协议栈的产品中很常见。
没有源代码，解析依赖项清单或扫描源代码树的标准软件成分分析工具便无法发挥作用。唯一在技术上可靠的方法是二进制分析：从固件镜像中提取文件系统内容，通过字符串匹配、符号表和编译期产物识别软件组件，再将识别出的组件与已知漏洞数据进行比对。该过程必须可重复且可审计，因为其产出的证据将对照 EN 40000-1-3 的 SBOM 准确性要求接受审查。
制造商应将其二进制分析方法纳入符合性文档并予以记录，而部署专用的 SBOM 管理工具，日益被视为满足 EN 40000-1-3 所要求的准确性与可审计性标准的最可靠方式。该文档应包括所使用的工具、每次扫描的范围、为每个已识别组件赋予的置信度，以及版本信息不明确时所采用的版本解析方法。若某个组件无法以足够的置信度被识别，则必须记录这一缺口并作出风险决策。在 CRA 下，对未识别的组件不予记录，并不是站得住脚的合规立场。
筹备过程中的常见错误
在业界早期的 CRA 筹备工作中，反复出现若干错误。提前识别这些错误，可以避免在符合性评估阶段出现大量返工。
- 将 SBOM 视为一次性交付物。 该标准要求在整个产品支持期内维护并更新 SBOM。在产品发布两年后审查合规情况的审核人员，不会认可产品上市时生成的静态 SBOM。制造商需要建立明确的流程，在发布新固件版本或组件漏洞状态发生变化时，触发 SBOM 的更新。
- 未能区分 EN 40000-1-1 与 EN 40000-1-3。 专注于安全设计实践的团队，有时会忽视漏洞生命周期管理所需的运营流程。两部分同时适用，各自的证据须能够独立证明。
- 假定现有认证已涵盖全部义务。 ISO 27001（信息安全管理体系标准）认证，或已完成的 ETSI EN 303 645 自评估，并不能完全涵盖 CRA 的要求。这两项标准均未涉及 EN 40000-1-3 所要求的具体报告时限、SBOM 准确性义务或二进制层面的可追溯性。
哪些协调标准属于 CRA？
EN 40000 系列是为 CRA 制定的主要协调标准。其他标准可作为辅助参考被引用，包括 IEC 62443-4-1 和 ETSI EN 303 645，但只有正式列入《欧盟官方公报》的标准才会产生符合性推定。
CRA 的漏洞报告义务何时开始？
CRA 第 14 条规定的漏洞报告义务自 2026 年 9 月起适用。产品安全与 PSIRT 团队应在该日期之前尽早使其检测、升级和报告流程投入运行，以便留出时间进行测试和完善。
哪些产品适用 EN 40000-1-1 和 EN 40000-1-2？
所有包含软件、并连接到网络或其他设备的具有数字元素的产品，均属于 CRA 的适用范围。EN 40000-1-1 适用于所有此类产品，EN 40000-1-2 适用于被归类为重要或关键的产品。工业控制器、联网医疗设备、路由器和智能家居中枢设备，属于受影响最直接的产品类型。
该标准是否具有强制性？
该协调标准系列在法律上并非强制性的，即制造商可自行采用其他方式来证明符合 CRA。但符合协调标准是获得符合性推定的最直接途径。若不采用，制造商必须自行证明其做法满足 CRA 的每一项相关要求，这需要大幅增加文档工作，且在市场监督中更难站得住脚。
EN 40000-1-3 要求提供哪些证据？
EN 40000-1-3 要求提供有文档记录的流程和记录，涵盖 SBOM 的生成与维护、协调漏洞披露程序、持续监控活动、严重程度评估与补丁管理决策，以及监管报告工作流程。证据须覆盖产品的整个支持期，而不仅限于产品投放市场的时点。希望评估自身当前就绪差距的制造商，可以从 CRA Readiness Assessment 入手，识别在符合性评估之前仍需建立哪些文档和流程。
