CRA网络韧性法案详解

2024/2847

欧洲议会与欧盟理事会第2024/2847号条例（EU）

2024年10月23日

关于含数字元件产品的水平网络安全要求，以及对欧盟第168/2013号法规、欧盟第2019/1020号法规和欧盟第2020/ 1828号指令（《网络韧性法案》）进行的修订

 

上海郜盟提供CRA网络韧性法案详解：

《网络韧性法案》，正式名称为欧洲议会和理事会颁布的《欧盟条例（EU）2024/2847》，为欧盟范围内的网络安全提供了统一的法律框架。它解决了带有数字元素的产品中的漏洞和安全更新不一致提供的问题，从而促进透明度和用户赋能。该立法统一了网络安全标准，促进了安全的产品开发、简化合规性评估以及强有力的漏洞管理。它横向适用，确保制造商（包括中小企业）遵守基本要求，从而增强联网设备、关键基础设施和消费品的安全性。通过对高风险类别实施更严格的措施，并明确更新和支持期的义务，该法规旨在建立用户信任并巩固数字生态系统。

 

CRA于2024年12月17日生效。 关键里程碑：

• 2024年12月17日：条例生效。
• 2025年12月17日：成员国必须通知欧盟委员会合格评估机构，以便指定。
• 2026年9月17日：通过ENISA单一报告平台开始对被积极利用的漏洞和事件进行早期报告。
• 2027年12月17日：核心网络安全要求、继续教育标志义务及市场配置规则适用。

 

一 主题内容

本条例规定：

(a) 关于将含有数字元素的产品投放市场所适用的规则，旨在保障此类产品的网络安全；

(b) 针对含有数字元素的产品在设计、开发及生产过程中所必需的网络安全要求；以及经济主体在涉及此类产品的网络安全方面应承担的义务；

(c) 制造商为确保含数字元件的产品在预期使用期间具备网络安全保障而制定的漏洞处理流程所涉及的基本网络安全要求，以及经济运营主体在上述流程中应承担的义务；

(d) 市场监督规则，包括对本条所涉规则及要求的监测与执行

 

 

二 范围

1. 上海郜盟提示：本法规适用于已投放市场的含数字元素的产品，其预期用途或可合理预见的用途包含与设备或网络之间直接或间接的逻辑或物理数据连接。

2. 本法规不适用于含有数字元素的产品，对于此类产品，适用下列欧盟法律文件：

(a) 欧盟第 2017/745 号法 规；

(b) 欧盟第 2017/746 号条例；

(c) 欧盟第 2019/2144 号法规。

3. 本法规不适用于已根据欧盟第 2018/1139 号法规完成认证的含数字元素的产品。

4. 本法规不适用于属于欧洲议会和欧盟理事会第 2014/90/EU 号指令( 36 )所涵盖范围内的设备。

5. 当满足下列情形时，本条例对受其他欧盟法规管辖的、且这些法规所规定的各项要求涵盖了附件I所列基

本网络安全要求所涉及的全部或部分风险的产品所适用的情形，可予以限制或排除：

(a) 该限制或排除规定与适用于这些产品的整体监管框架相一致；且

(b) 各行业具体规则所提供的保护水平与本法规所规定的保护水平相同或更高。

欧盟委员会有权根据第61条通过授权法案对本条例进行补充；在必要时，可通过明确说明该限制或排除措施是 否必要、涉及的产品与规则以及限制措施的范围（如适用）来实现这一补充。

6.本法规不适用于在市场上销售、用于替换含有数字元件的产品中相同组件的备件；此类备件应按照与其 所替换组件相同的规格制造。

7. 本法规不适用于为国家安全或国防目的专门开发或修改的含数字元件的产品，亦不适用于专为处理涉密 信息而设计的产品。

8. 本条例所规定的义务，不包括提供任何其披露将与成员国国家安全、公共安全或国防之基本利益相抵触 的信息。

 

三 制造商的义务

1. 上海郜盟提示：当制造商将含有数字元素的产品投放市场时，应确保该产品的设计、开发及生产均符合附件I第I部分所规定的基本网络安全要求。

2. 为符合第1款的规定，制造商应对含有数字元件的产品所涉及的网络安全风险进行评估，并在该产品的规划、设计、开发、生产、交付及维护等各阶段中充分考虑此项评估结果，旨在最大限度降低网络安全风险、预防网络安全事件并减轻其影响——包括对用户健康与安全方面的影响。

3. 网络安全风险评估应予以书面记录，并在根据本条第8款确定的支持期内酌情进行更新。该网络安全风险评估应至少包含一项基于产品预期用途及可合理预见的使用方式，以及含数字元件产品的使用条件（例如运行环境或需保护的资产）对网络安全风险进行的分析，并应考虑产品预期使用时长。网络安全风险评估应说明附 件I第I部分第(2)项所规定的安全要求是否适用于相关含数字元件的产品，若适用，则应说明该等要求是通过何种方式落实的；同时，应说明制造商应如何落实附件I第I部分第(1)项以及附件I第II部分所规定的漏洞处理要求。

4. 当将含有数字元素的产品投放市场时，制造商应将本条第3款所述的网络安全风险评估内容纳入根据第31条及附件VII要求提交的技术文件中。对于第12条所指的、同时受其他欧盟法律文件约束的含数字元素的产品，该网络安全风险评估可作为上述欧盟法律文件所要求的风险评估组成部分。若某些基本网络安全要求不适用于含数字元素的产品，则制造商应于该技术文件中对此作出明确说明。

5. 为符合第1款的规定，制造商在集成来自第三方的组件时应履行应有的审慎义务，以确保这些组件不会对包含数字元素的产品的网络安全构成威胁；包括在集成尚未在商业活动中投放市场的自由及开源软件组件时亦应如此。

6. 制造商在发现产品中集成的组件（包括开源组件）存在漏洞时，应将该漏洞报告给负责该组件制造或维护的个人或实体，并根据附件I第II部分所规定的漏洞处理要求对所述漏洞进行修复和补救。若制造商已通过开发软件或硬件修改方案来修复该组件中的漏洞，则应在适当情况下，以机器可读格式向负责该组件制造或维护的个人或实体共享相关的代码或文档。

7. 制造商应根据产品性质及网络安全风险的轻重程度，对含有数字元素的产品所涉及的相关网络安全方面（包括其已知的漏洞以及第三方提供的任何相关信息）进行系统性记录；并在适用情况下，对相关产品的网络安全风险评估进行更新。

8. 制造商在将含有数字元素的产品投放市场或在产品支持期内，应确保对该产品（包括其各组件）存在的安全漏洞进行有效且符合附件I第II部分所规定的基本网络安全要求的处理。

制造商应确定支持期，以反映产品预期使用的时长；在确定该支持期时，应特别考虑合理的用户预期、产品的性质（包括其预期用途），以及适用于确定含数字元件产品的使用寿命的相关欧盟法律。在确定支持期时，制造商还可参考其他制造商投放市场、功能相似的含数字元件产品的支持期、运行环境的可用性、由第三方提供的、承担核心功能的集成组件的支持期，以及根据第52条第(15)款设立的专门行政合作小组（ADCO）及欧盟委员会所提供的相关指导文件。在确定支持期时需考虑的各项因素，应以确保比例性的原则进行考量。

在不影响第二款规定的情况下，支持期应不少于五年；若含有数字元素的产品预期使用期限不足五年，则支持期应与该预期使用期限相一致。

根据第52条第(16)款所载的 ADCO 建议，欧盟委员会可依照第61条通过颁布授权法案对本法规进行补充；在市场监测数据表明特定产品类别的最低支持期不足的情况下，该等法案可明确规定此类产品的最低支持期。

制造商应将用于确定含数字元件产品的支持周期所依据的信息，载入如附件 VII 所列的技术文档中。

制造商应制定适当的政策与程序（包括第II部分第(5)项所载的协调性漏洞披露政策），用于处理和修复从内部或外部渠道获悉的产品中存在潜在漏洞的情况。

9. 制造商应确保：在支持期内向用户提供的、如附件I第II部分第(8)项所述的每项安全更新，在发布后至少持续提供10年，或直至支持期届满为止（以时间较长者为准）。
10. 了解更多制造商义务，联系上海郜盟认证工程师021-34122669

 

四、核心网络安全要求

上海郜盟：涉及含数字元件产品的特性相关的网络安全要求

(1) 含有数字元素的产品在设计、开发和生产过程中，应确保根据所面临的风险实现适当的网络安全水平。

(2) 根据第13条第(2)款所规定的网络安全风险评估结果，如适用，含有数字元素的产品应：

(a) 在未发现任何可利用漏洞的情况下投放市场；

(b) 产品应默认采用安全配置后上市销售；除非制造商与企业用户就包含数字元素的定制化产品另行达成协议，包括允许将产品恢复至原始状态；

(c) 确保漏洞可通过安全更新得到修复；在适用情况下，还可通过默认启用的、在适当时间范围内自动安装的安全更新来实现——该机制应配备清晰且易于使用的退出选项；通过向用户通知可用更新，并提供临时推迟安装更新的选项；

(d) 通过适当的控制机制（包括但不限于身份验证、身份或访问管理系统）确保防范未经授权的访问，并

对可能发生的未经授权访问事件进行报告；

(e) 保护存储、传输或以其他方式处理的数据（包括个人数据或其他数据）的机密性；例如，通过采用先进技术对静态或传输中的相关数据进行加密，或运用其他技术手段；

(f) 保护存储、传输或以其他方式处理的数据、个人或其他指令、程序及配置文件免受用户未授权的任何篡改或修改，并对数据损坏情况进行报告；

(g) 仅处理充分、相关且限于实现含数字元素的产品之预期用途所必需的个人或其他数据（数据最小化）；

(h) 保障关键及基础功能的可用性（即使在发生安全事件后亦然），包括通过实施针对拒绝服务攻击的恢复力与缓解措施；

(i) 最大限度降低产品本身或其连接设备对其他设备或网络所提供服务的可用性所造成的负面影响；

(j) 应进行设计、开发和制造，以减少攻击面（包括外部接口）；

(k) 通过采用适当的漏洞利用缓解机制与技术，对系统进行设计、开发和生产，以减轻事件带来的影响；

(l) 通过记录和监控相关的内部活动（包括对数据、服务或功能的访问或修改）来提供安全相关信息，并为用户设置可选择退出的机制；

(m) 为用户提供安全、便捷地永久删除所有数据及设置的功能；若这些数据可迁移至其他产品或系统，则确保该迁移过程以安全的方式完成。

(2) 针对含有数字元素的产品所面临的风险，应及时识别并修复安全漏洞（包括提供安全更新）；在技术上可行的情况下，新安全更新应与功能更新分开发布；

(3) 对含有数字元素的产品开展有效且定期的安全性测试与审查；

(4) 一旦安全更新发布，制造商应共享并公开有关已修复漏洞的信息，包括：漏洞描述、使用户能够识别受影响的数字元素所对应的产品、漏洞的影响程度及严重性，以及为用户修复该漏洞提供的清晰易懂的信息；

在理由充分的情况下，若制造商认为公开该漏洞信息所带来的安全风险大于其带来的安全收益，则可延迟公开有关已修复漏洞的信息，直至为用户提供了应用相关补丁的机会之后；

(5) 制定并落实一项关于协同漏洞披露的政策；

(6) 采取相应措施，便利其与包含数字元件的产品以及该产品所含第三方组件中潜在漏洞相关信息的共享；例如，提供一个用于报告在含数字元件的产品中发现的漏洞的联系地址；

(7) 建立相应机制，用于安全分发包含数字元素的产品的更新内容，以确保漏洞能够得到及时修复或缓解；对于安全更新，应支持自动分发功能；

(8) 确保当存在可用于修复已识别安全漏洞的安全更新时，应立即分发这些更新；除非制造商与企业用户就包含数字元素的定制化产品另有约定，否则应免费分发这些更新，并附带提供给用户相关信息（包括可采取的潜在应对措施）的咨询消息。

 

 

五、含数字元件的重要产品

I类

1. 身份管理系统及特权访问管理软件与硬件（包括身份验证与访问控制读卡器，含生物识别读卡器）

2. 独立式与嵌入式浏览器

3. 密码管理器

4. 用于搜索、移除或隔离恶意软件的软件

5. 具备虚拟专用网络（VPN）功能的含数字元素的产品

6. 网络管理系统

7. 安全信息与事件管理（SIEM）系统

8. 引导管理程序

9. 公钥基础设施与数字证书颁发软件

10. 物理与虚拟网络接口

11. 操作系统

12. 路由器、用于连接互联网的调制解调器以及交换机

13. 具备安全相关功能的微处理器

14. 具备安全相关功能的微控制器

15. 具备安全相关功能的应用专用集成电路（ASIC）与现场可编程门阵列（FPGA）

16. 智能家居通用型虚拟助手

17. 具备安防功能的智能家居产品，包括智能门锁、安防摄像头、婴儿监护系统及报警系统

18. 受欧盟议会与欧盟理事会第 2009/48/EC 号指令( 1 )规管的、具备社交互动功能（例如语音或视频功能）或具备位置追踪功能的联网玩具

19. 用于佩戴或置于人体上的、具有健康监测（如追踪）功能且不受欧盟法规 (EU) 2017/745 或 (EU) No 2017/746 适用范围的个人可穿戴产品；或专为儿童使用设计的个人可穿戴产品。

II类

1. 支持操作系统及类似环境虚拟化执行的超级管理程序与容器运行时系统

2. 防火墙、入侵检测与防御系统

3. 防篡改微处理器

4. 防篡改微控制器

 

 

六 含数字元件的关键产品

1. 配备安全箱的硬件设备

2. 根据欧洲议会和欧盟理事会第 (EU) 2019/944 号指令( 1 )第 2 条第 (23) 款所定义的智能电表计量系统中的智能电表网关，以及其他用于高级安全目的的设备（包括用于安全密码处理的设备）

3. 智能卡或类似设备（包括安全元件）

 

七 符合性评估程序（CRA认证程序）上海郜盟-CRA认证咨询021-34122669

第一部分：基于内部控制的符合性评估程序（基于模块A）

1. 内部控制是指制造商履行本部分第2、第3及第4条所规定的义务，并在自身责任范围内确保并声明：含有数字元素的产品符合附件I第一部分所列的所有基本网络安全要求，且制造商满足附件I第二部分所列的基本网络安全要求的符合性评估程序。

2. 制造商应编制附件 VII 所列的技术文件。

3. 含数字元素产品的设计、开发、生产及漏洞处理制造商应采取一切必要措施，确保其设计、开发、生产及漏洞处理流程及其监控机制能够保证所制造或开发的产品符合数字元素相关要求，且制造商所实施的各项流程均符合附件I第I部分与第II部分中规定的关键网络安全要求。

4. 符合性标志与符合性声明

4.1. 制造商应将 CE 标志粘贴于每件产品上，且所使用的数字标识应符合本法规中规定的适用要求。

4.2. 制造商应根据第28条之规定，为每件含有数字元件的产品编制一份书面欧盟符合性声明，并将该声明与技术文件一并保存，供国家主管机关查阅；该保存期限自含数字元件的产品投放市场之日起算，或至产品支持期届满为止——以较长者为准。欧盟符合性声明中应明确标注其所针对的具体含数字元件的产品。应相关主管部门的要求，应提供该欧盟符合性声明的副本。

5. 授权代表

制造商在第4点中规定的义务可由其授权代表代表制造商并承担相应责任的方式履行；但前提是相关义务已在授权书中有明确规定。

 

第二部分：欧盟型式检验（基于模块B）

1. 欧盟型式试验是符合性评估程序的一个组成部分；在此程序中，经认可的机构会对含有数字元件的产品的技术设计与开发，以及制造商所建立的漏洞处理流程进行审查，并确认该含有数字元件的产品符合附件I第 I部分所规定的基本网络安全要求，且该制造商符合附件I第II部分所规定的基本网络安全要求。

2. 欧盟型式试验应通过以下方式对含有数字元件的产品的技术设计与开发充分性进行评估：一是对第3款所列的技术文件及支持性证据进行审查；二是对产品中一个或多个关键部件（生产型式与设计型式相结合）的样品进行检验。

3. 制造商应向其自行选择的单一通报机构提交欧盟型式试验申请。

本应用程序应包含：

3.1. 制造商的名称及地址；若申请由授权代表提交，则还包括该授权代表的名称及地址；

3.2. 一份书面声明，证明该申请尚未向任何其他已通报的机构提交；

3.3 技术文档应便于评估产品中所含的数字元件是否符合附件I第I部分所规定的适用基本网络安全要求以及附件I第II部分所规定的制造商漏洞处理流程，并应包含对相关风险的充分分析与评估。该技术文档应明确适用的各项要求，并在对评估具有相关性的情况下，涵盖含数字元件的产品的设计、制造及运行环节。在适用情况下，该技术文档应至少包含附件VII所列的各项内容；

3.4. 用于证明技术设计与开发解决方案及漏洞处理流程充分性的支持性证据。该支持性证据应列明所使用的所有文件，尤其是在相关协调标准或技术规范未得到全面应用的情况下。在必要时，该支持性证据应包含由制造商的相应实验室，或由另一家测试实验室代表制造商并承担其责任所进行的测试结果。

 

上海郜盟提示模式B要求欧盟公告号机构：

1. 审查技术文档及支持性证据
2. 验证试样系根据技术文件要求制备或制造
3. 进行适当的检验与测试
4. 与制造商商定开展检验与测试的地点
5. 应编制一份评估报告，记录其根据以上 4 条所开展的各项活动及其结果
6. 当产品类型及漏洞处理流程符合附件I所列的基本网络安全要求时， notified body 应向制造商签发一份欧盟型式检验证书

 

制造商应将欧盟型式试验合格证书、其附件及补充材料与技术文件一并保存，供国家主管部门查阅，保存期限为：含数字元件的产品投放市场之日起10年，或产品支持期（以较长者为准）。

 

第三部分：基于内部生产控制的型式符合性（基于模块C） 

1. 基于内部生产控制进行的型式符合性评估是型式符合性评估程序的一部分；在此程序中，制造商应履行本部分第2条和第3条所规定的义务，并确保并声明：含有相关数字元素的产品符合欧盟型式检验证书中所述的型式，且满足附件I第I部分所规定的本质网络安全要求，同时制造商亦满足附件I第II部分所规定的本质网络安全要求。

2. 生产

制造商应采取一切必要措施，确保产品制造及生产过程监控能够保证所制造的产品与欧盟型式试验证书中所列经批准的型式以及附件I第I部分所规定的本质网络安全要求相符，并确保制造商满足附件I第II部分所规定的本质网络安全要求。

3. 符合性标志与符合性声明

3.1. 制造商应将 CE 标志通过符合欧盟型式试验证书中所列类型且满足本法规所规定适用要求的数字标识方式，粘贴于每件单独产品上。

3.2. 制造商应为某一产品型号编制书面符合性声明，并在含有数字元件的产品投放市场之日起10年内或在产品支持期内（以较长者为准）将该声明存放于国家主管部门处。该符合性声明应明确其所针对的产品型号。应根据相关主管部门的要求，提供该符合性声明的副本。

4. 授权代表

制造商在第3点中规定的义务，可由其授权代表代表制造商并承担相应责任的方式履行；但相关义务须在授权书中有明确规定。

 

第四部分：基于全面质量保证的符合性（基于模块H）

1. 基于全面质量保证的符合性评估程序是指：制造商履行本部分第2条和第5条所规定的义务，并以其单独责任确保并声明，含有数字元素的产品或相关产品类别符合附件I第I部分所规定的本质网络安全要求，且制造商所建立的漏洞处理流程符合附件I第II部分所规定的要求。

2. 含数字元素产品的设计、开发、生产及漏洞处理

制造商应按照第3条的规定，对涉及数字元件的产品进行设计、开发、最终产品检验与测试，并对产品存在的安全漏洞进行处理；应确保其质量体系在整个支持期内持续有效运行；且该质量体系应接受第4条所规定的监督。

3. 质量管理体系

3.1. 制造商应就其涉及数字元件的产品，向其自行选择的合格评定机构提交质量体系评估申请。

本应用程序应包含：

(a) 制造商的名称及地址；若申请由授权代表提交，则应注明该授权代表的名称及地址；

(b) 针对每类含有数字元素、拟制造或开发的产品型号所编制的技术文档；在适用情况下，该技术文档应至少包含附件 VII 中列出的各项内容；

(c) 有关质量管理体系的文件；

(d) 一份书面声明，证明该申请尚未向任何其他已通报的机构提交。

3.2. 质量体系应确保产品中涉及的数字元素符合附件I第I部分所规定的 essential cybersecurity 要求，同时确保制造商制定的漏洞处理流程符合附件I第II部分所规定的相关要求。

制造商所采用的所有要素、要求及条款均应以书面政策、程序和指令的形式，以系统化、有条理的方式予以记录；该质量体系文件应确保对质量计划、方案、手册及记录进行一致的解读。

该文件应特别包含对以下内容的充分描述：

(a) 质量目标；以及管理层在设计、开发、产品质量和脆弱性处理方面的组织架构、职责与权限；

(b) 适用于本文件的技术设计与开发规范（包括相关标准）；若相关协调标准或技术规范无法得到全面适用，则应规定确保满足适用于含数字元件产品的附件I第I部分所列基本网络安全要求的相应措施；

(c) 适用的程序性规范（包括标准）；若相关协调标准或技术规范无法全面适用，则应说明用于确保制造商满足附件I第II部分所规定的基本网络安全要求的措施；

(d) 在设计和开发包含与所涉产品类别相关的数字元素的产品时，所采用的设计与开发控制措施，以及设计与开发验证技术、流程和系统性行动；

(e) 所采用的相应的生产、质量控制与质量保证技术、流程及系统性措施；

(f) 在生产前、生产过程中及生产后需进行的各项检验与测试，以及这些检验与测试的实施频率；

(g) 质量记录，例如检验报告与试验数据、校准数据以及有关人员的资格认证报告；

(h) 用于监控所需设计与产品质量的实现情况以及质量体系有效运行的手段。

3.3. notified body 应对质量体系进行评估，以确定其是否符合第 3.2 条所述的要求。

4. 由 notified body 负责实施的监督活动

5. 符合性标志与符合性声明

5.1. 制造商应为每件产品加贴 CE 标志；在第 3.1 条所述通报机构的负责下，该通报机构应为其产品标注其识别号；上述产品所采用的数字标识应符合附件 I 第一部分所规定的要求。

5.2. 制造商应为每款产品型号编制书面符合性声明，并在含数字元件的产品投放市场后或在支持期内（以较长者为准）将该声明存放于国家主管部门处备查。该符合性声明应明确标注其所针对的产品型号。

应相关主管部门要求，可提供符合性声明的副本。

6. 制造商应至少在含数字元件的产品投放市场之日起10年内，或在产品支持期内（以较长者为准），将相关资料置于国家主管部门可调阅的状态：

(a) 第3.1款所指的技术文档；

(b) 第3.1款所指的质量管理体系相关文件；

(c) 第3.5条所述之变更（经批准）；

(d) 第3.5款与第4.3款中提及的 notified body 所作出的决定及提交的报告。

 

 

📞 CRA认证咨询热线：021-34122669 021-34126062  

📩 **扫码获取免费CRA认证评估方案**