欧盟网络弹性法案（CRA）：2026 年 9 月起报告义务，2027 年起 CE 要求

适用范围与合格评定

CRA 适用于在欧盟市场上提供的具有数字元素的硬件和软件产品，当其预期用途或可合理预见的用途包括直接或间接的数据连接时，也涵盖远程数据处理解决方案和单独投放市场的组件。非商业活动提供的产品不在范围内，受其他欧盟立法管辖的部分产品也被排除。

大多数产品可以采用自我评估（内部生产控制，module A）。重要产品 I 类只有在采用了协调标准、通用规范或欧洲网络安全认证方案时才能自我评估；否则需要公告机构。重要产品 II 类和关键产品需要第三方评估或认证方案。采用协调标准可获得符合性推定。

制造商的义务

• 开展网络安全风险评估，并满足附件 I 中的基本要求，包括在支持期内处理漏洞。
• 对集成的第三方组件履行尽职调查。
• 保存技术文件，供市场监督当局查阅。
• 按附件 II 提供标识和联系信息以及用户信息，其中包括购买时说明的支持期结束日期（月份和年份）。
• 在产品投放市场之前，起草欧盟符合性声明并加贴 CE 标志。
• 报告被积极利用的漏洞和严重事件：24 小时内预警，72 小时内通报；最终报告在提供修复后 14 天内（漏洞）或 1 个月内（严重事件）提交。

进口商、分销商与时间表

进口商必须核查制造商已完成合格评定、技术文件已存在、产品已加贴 CE 标志，且不得将不合规的产品投放市场。分销商必须核查 CE 标志以及制造商和进口商的信息，包括支持期。两者都必须就漏洞通知制造商，并与当局合作。制造商可以通过书面委托指定授权代表。

报告义务自 2026 年 9 月 11 日起适用，已在市场上的产品同样适用。主要条款自 2027 年 12 月 11 日起适用；已在市场上的产品只有在该日期之后发生重大修改时才受其约束。欧盟现有的网络安全型式检验证书将于 2028 年 6 月 11 日到期，除非更早失效。处罚由各成员国规定，微型和小型企业未能遵守 24 小时期限时可能不会被罚款。