《网络弹性法案》（Cyber Resilience Act，简称CRA）是欧盟在2024年正式通过的里程碑式网络安全立法，也是全球首部针对全品类带数字元素产品制定统一强制安全要求的专项法规。在此之前，欧盟市场长期缺乏覆盖消费级、工业级数字产品的通用网络安全规则，每年因产品漏洞引发的数据泄露造成的经济损失超过100亿欧元，2022年软件供应链攻击数量更是同比激增两倍。为填补这一监管空白，欧盟正式推出CRA，从产品设计源头到退市全生命周期建立安全管控体系，全面提升欧盟境内数字产品的整体网络安全水平。
一、核心立法目标是什么
CRA的出台瞄准两大行业痛点：一是市面上大量联网产品原生安全能力不足、厂商停止安全更新速度过快；二是普通消费者和企业用户很难直观判断一款数字产品的安全等级。法案明确四大核心目标：
倒逼厂商将安全能力融入产品全生命周期，从“事后打补丁”转向“设计即安全”
建立全欧盟统一的合规框架，消除不同成员国之间的网络安全监管壁垒
提升数字产品安全属性的透明度，让用户清晰知晓产品的安全支持周期
补充NIS2指令等现有网络安全法规的覆盖盲区，形成更完整的欧盟网络安全治理体系
二、适用范围与豁免规则是什么
1.CRA的覆盖边界清晰划定为所有在欧盟市场销售、带有数字元素的产品——只要产品可以直接或间接连接到其他设备或网络，无论硬件还是软件，都属于监管范畴。小到几块钱的联网智能玩具，大到复杂的工业控制系统、B2B商用软件，全部纳入监管清单，具体包含智能手机、智能家居设备、智能手表、微处理器、防火墙、智能电表网关等品类。 同时法案也明确了豁免范围：已有专项行业法规覆盖的医疗设备、民用航空器、机动车辆，以及专为安全和国防用途开发的产品，不受CRA约束。
2.非商业用途的开源软件，以及非营利组织运营、收益全部反哺公益的开源项目，也可享受合规豁免。
三、产品分级与差异化合规要求
为平衡安全管控与行业成本，CRA按照产品的网络安全风险等级，将所有监管对象划分为四个层级：
默认类产品：普通消费级联网设备，满足基础安全要求即可完成合规
I类重要产品：包含身份管理系统、浏览器、密码管理器、VPN、家用安防摄像头等，需完成更严格的文档审核
II类重要产品：包含虚拟机管理程序、容器运行时、入侵防御系统等，必须通过第三方机构的符合性评估
关键产品：包含支付终端、智能电表网关、TPM安全模块等带物理防护能力的硬件，未来将强制要求通过欧盟统一网络安全认证
四、分阶段落地时间表
法案于2024年12月10日正式生效，设置了长达3年的过渡期，给企业预留充足的适配时间：
2026年6月11日：合规评定的公告机构正式启动资质认定工作
2026年9月11日：厂商的漏洞上报、安全事件上报义务正式生效，发现被利用的高危漏洞后必须在24小时内同步给欧盟成员国CSIRT和ENISA
2027年12月11日：所有核心条款全面落地，新进入欧盟市场的带数字元素产品必须全部符合CRA要求，加贴合规CE标志
五、全链条市场主体责任
CRA打破了过往“用户为产品安全负责”的旧逻辑，将核心责任完全转移给供给侧厂商，同时覆盖全流通环节：
制造商：责任主体，必须完成产品全生命周期安全设计，公开不短于5年的安全支持周期，在支持期内免费推送安全更新，编制符合标准的软件物料清单（SBOM）
进口商：必须核验进入欧盟市场的产品是否具备完整合规文档和CE标志，杜绝不合规产品流入市场
分销商与零售商：有义务排查在售产品的合规状态，配合市场监管部门完成召回工作
六、处罚与执法机制
欧盟各成员国指定的市场监管机构负责本地执法，设置了分级处罚规则：
严重违规（未满足基础安全要求、逾期上报漏洞）：更高处以1500万欧元，或企业上一财年全球年营业额2.5%的罚款
一般违规：更高处以1000万欧元，或全球年营业额2%的罚款
提供虚假合规材料：更高处以500万欧元，或全球年营业额1%的罚款 所有不合规产品将被要求强制下架、召回，相关违规信息会在全欧盟市场同步通报。
七、出海企业合规行动指南
针对布局欧盟市场的中国企业，当前阶段可以从四个维度快速推进合规准备：
全面梳理现有产品线，对照CRA的产品分级清单完成归类，排查当前产品与法案要求的差距
升级内部研发流程，将安全开发、漏洞测试环节嵌入产品全生命周期，建立标准化的漏洞响应和披露机制
提前搭建SBOM管理体系，采用SPDX、CycloneDX等通用标准格式完成产品组件梳理
提前规划产品安全支持周期，预留足够的技术资源保障后续5年的安全更新推送
八、全球网络安全监管新趋势
CRA并非孤立的区域法规，它和澳大利亚《2025年智能设备网络安全规则》等全球新规形成呼应，标志着全球数字产品监管正式进入“全生命周期安全管控”的新阶段。出海企业需要建立全球化的合规视野，将网络安全能力和产品设计、质量管理体系深度融合，才能在全球市场规避合规风险，构建长期竞争力。
以上资料由环测威检测整理发布，如果对产品判定、数据整理有疑问，可以联系专业合规CTB环测威检测机构直接沟通（4008-707-283）协助梳理，深圳CTB检测机构拥有自建实验室，为广大客户提供各行各业的检测认证服务，深受广大客户信赖。
