网络弹性法案CRA认证解析 网络弹性法案CRA认证受理公司

网络弹性法案CRA认证解析 网络弹性法案CRA认证受理公司
ETSI发布多项《网络韧性法案（CRA）》配套网络安全标准草案
欧盟已于2024年10月10日通过了《网络弹性法案》（CyberResilienceAct，简称CRA），以加强联网设备的网络安全，对进入欧盟的数字产品（软/硬件）提出强制网络安全要求，覆盖设计、开发、生产到维护的全生命周期。

2024年12月10日

法规生效

2026年9月11日

先行义务：被积极利用漏洞或重大事故须在24小时内经欧盟网络安全局（ENISA）的单一报告平台（SRP）同时通知协调相关国家CSIRT与ENISA，企业需建立漏洞处理与事件响应流程。

2027年12月11日

全面实施：欲在欧盟市场投放的“含数字元素产品”必须满足 CRA 的网络安全与漏洞处理要求，并完成相应符合性评定与CE 标志；否则可能被禁止销售，且按违规类别分级处罚，Zui高可达1500万欧元或全球年营业额的2.5%

CRA法案对“含有数字元素的产品”提出了覆盖全生命周期的网络安全要求，主要体现在以下几个方面：

 

1

覆盖全生命周期的安全管理要求

CRA要求制造商对产品整个生命周期负责，包括研发、发布、维护、更新以及停产后的支持策略。产品需提供长期安全支持（如至少5年安全维护），并确保相关安全更新与技术文档在规定周期内可获取。

2

漏洞管理与漏洞披露义务

制造商必须建立规范化的漏洞管理与漏洞披露流程，包括漏洞接收、分析、修复、发布补丁以及对外沟通机制。对于可被利用的漏洞或重大安全事件，CRA明确规定了24小时预警、72小时通知、以及在一个月内提交正式报告的义务，并通知ENISA和CSIRT。

3

产品分类与差异化合规路径

CRA根据产品的核心功能、使用场景及安全影响，将产品划分为默认类、重要类（I/II）和关键类，不同类别适用不同的合规与认证路径。但无论类别如何，所有产品均需满足CRA的基础安全要求。

4

基于风险的安全设计与开发要求

制造商需要对产品进行系统性的风险评估，并将安全目标与安全需求落实到产品架构设计、开发与验证过程中，确保产品在其使用场景下满足CRA的安全要求。

 

5

CRA基础必需要求

CRA的基础必需要求主要围绕安全设计与开发、漏洞可修复性、身份认证与访问控制、数据机密性与完整性、数据Zui小化、弹性机制、Zui小化攻击界面、日志与审计机制、默认安全配置，以及数据/配置的安全删除与转移等方面展开，构成所有产品开展CRA合规评定与认证的共同基础。
网络弹性法案CRA认证解析 网络弹性法案CRA认证受理公司