欧盟 CRA 合规：出海企业必看

欧盟《网络弹性法案》（CRA）作为全球zui具影响力的网络安全强制法规之一，已于 2024 年 12 月正式生效，并将在2027 年 12 月实现全义务落地。

这一法规彻底重塑欧盟数字产品市场准入规则，凡是向欧盟出口软硬件、物联网、工控系统、SaaS服务的企业，均需严格履行合规义务，CRA 已成为出海欧盟不可绕过的硬性门槛。

CRA的核心目标，是通过立法提升联网产品原生安全能力、减少安全漏洞、强化供应链安全防护，构建统一、高效、高韧性的欧盟网络安全体系。

法案采用分阶段落地模式：2025 年 2 月 EUCC 认证进入转换期，2026 年 2 月 EUCC 正式替代 SOGISCC，2026 年 8 月发布认证框架与漏洞披露标准，2026 年 9 月启动强制漏洞上报，2026年 10 月发布重要与关键产品标准，2027 年 10 月出台通用技术要求，2027 年 11 月法案正式执行，2027 年 12月全部义务生效。清晰的时间线，为企业预留了合规筹备窗口，也意味着拖延即面临市场禁入风险。

在适用范围上，CRA 监管所有带数字元素的产品，即具备直接或间接逻辑、物理数据连接能力的软硬件产品，同时覆盖SaaS 远程数据处理服务，涵盖智能手机、智能家居、IoT设备、工业控制系统、网络设备、防火墙、身份管理系统、智能玩具、可穿戴设备、POS 机、智能电表等全品类。

法案明确豁免三类产品：欧盟医疗器械法规管辖产品、通过型式认证的车辆、已获欧盟认证的航空产品，绝大多数企业均在监管范围内。

CRA 创新性构建产品安全+ 漏洞管理双重责任体系，对制造商提出 11 项产品安全要求与 8 项漏洞管理要求，并明确制造商为第一责任人，绑定三大核心义务。

第一，安全始于设计，将安全措施融入产品规划、研发、生产全流程，产品必须以安全默认配置交付，从源头消除安全隐患。

第二，全生命周期维护，产品默认支持期不少于5 年，支持期内免费提供安全更新，且单次更新有效期限不低于 10 年，保障产品长期抵御新型网络威胁。

第三，供应链透明化，建立机器可读格式的SBOM 软件物料清单，清晰梳理所有软件组件与依赖关系，实现供应链风险可识别、可追溯、可管控。

为实现精准监管，CRA 按风险等级将产品分为四大类，实施差异化认证。

低风险产品采用 CE 自我宣称；Class I 重要产品（19 类）需欧盟公告机构 NB 认证；Class II 重要产品（4类）需 NB 全面质量保证认证；

关键产品（3 类）强制 EUCC 欧盟统一认证，证书在欧盟 27 国互通互认，是高端产品入市的核心凭证。

漏洞披露是 CRA 的刚性红线，企业必须严格遵守时效：

知晓漏洞或安全事件后24小时内发布预警，72小时内提交漏洞通知，1 个月内完成根因分析与zui终整改报告，迟报、瞒报将面临高额罚款与产品下架。

在技术落地层面，CRA 协调标准预计 2026 年 8 月后陆续发布，企业可提前参考 IEC 62443、ETSI TS 103701、EN 18031、EN 303 645 等标准。

其中IEC62443工控安全标准与 CRA高度契合，在安全设计、供应链管控、全生命周期维护、漏洞响应等方面完全匹配，是企业快速合规的zui优技术路径。

CRA 是企业进入欧盟市场的安全通行证。提前布局合规，既能规避监管风险，又能提升产品安全能力与品牌竞争力。

当下正是合规筹备黄金期，企业应尽快梳理产品范围、搭建安全开发体系、完善漏洞响应机制、对接认证流程，以合规实力抢占欧盟市场先机，实现全球化稳健发展。