CRA软件合规路径：欧盟网络韧性法案实操指南
Tina · 资深法务首席 · 2026-07-29
一、CRA适用范围判断
欧盟网络韧性法案（Cyber Resilience Act, CRA）(EU) 2024/2847 于2025年生效，过渡期至2027年。但针对"数字元素产品"（Products with Digital Elements）的分类分级合规义务已从2026年起逐步启动。
1.1 哪些跨境电商卖家的产品被覆盖？
| 产品类型 | 是否适用 | 说明 |
|---|---|---|
| 智能家居设备（WiFi/蓝牙连接） | ✅ 是 | 核心覆盖品类 |
| 可穿戴设备（智能手表/健身追踪器） | ✅ 是 | 含固件的数字元素产品 |
| 儿童智能玩具（联网型） | ✅ 是 | 高风险类别 |
| 智能摄像头/门铃 | ✅ 是 | 关键基础设施关联 |
| 仅含简单固件（无联网）的设备 | ⚠️ 部分 | 若固件可更新或含App则适用 |
| 纯机械/非电子类产品 | ❌ 否 | 不在范围 |
| FBA包装箱/耗材 | ❌ 否 | 非数字元素产品 |
判断标准（三步法）：
- 产品是否含有数字元素（固件/软件/App/云连接）？
- 是否有网络连接能力（有线/WiFi/蓝牙/NFC/Zigbee等）？
- 数据是否可从设备传出或被外部访问？
三项中任一项为「是」→ CRA适用。
1.2 豁免与边界
- 开源软件：若由非商业主体开发和分发，CRA不直接适用；但若商品化嵌入产品中，适用
- 汽车/医疗/航空：已有行业特定法规的，不重复适用CRA
- 仅作为配件（不含电子功能）：不适用
二、安全等级分类与对应义务
2.1 三级分类
| 等级 | 定义 | 影响范围 | 合规成本预估 |
|---|---|---|---|
| 默认级 | 标准数字元素产品 | 多数智能家居、可穿戴 | €5,000-15,000/产品线 |
| 重要级（I类） | 身份认证/安全功能/支付相关 | 智能门锁、生物识别设备 | €20,000-50,000/产品线 |
| 重要级（II类） | 防火墙/VPN/关键基础设施关联 | 路由器、工业IoT网关 | €50,000-150,000/产品线 |
| 关键级 | 极高风险（国家安全层面） | 智能电网组件、医疗IoT | 独立第三方评估 |
大多数跨境电商卖家集中在"默认级"，少数智能门锁/安防产品涉及"重要级"。
2.2 默认级核心义务
- 安全设计义务：产品开发阶段须纳入安全设计原则（secure by design）
- 漏洞管理义务：须建立产品生命周期内的漏洞报告和处理机制
- SBOM提供义务：软件物料清单（Software Bill of Materials）须随附产品
- 安全更新义务：产品生命周期内至少提供5年安全更新
- CE标志+EU DoC：CRA合规声明纳入CE体系
三、高危漏洞通报义务（2026年起）
3.1 24/72小时通报规则
CRA Art. 14要求：制造商（包括中国跨境电商卖家）在知悉产品中存在被积极利用的漏洞时：
| 时间窗口 | 通报对象 | 内容要求 |
|---|---|---|
| 24小时内 | CSIRT/ENISA | 初始预警（漏洞基本描述、影响范围） |
| 72小时内 | CSIRT/ENISA | 详细报告（CVSS评分、技术细节、修补ETA） |
| 完成修补后 | 全体用户 | 安全公告（修补说明、更新指引） |
3.2 卖家的实操难点与对策
难点1：缺乏内部安全响应团队
- 对策：与第三方安全厂商（如Bugcrowd/HackerOne）签订漏洞接收协议
- 对策：加入CRA统一通报平台（ENISA正在筹建，预计2026年底上线）
难点2：SBOM（软件物料清单）编制
- 对策：要求ODM/OEM供应商提供SBOM（标准格式SPDX或CycloneDX）
- 对策：若使用开源组件，用FOSSology或OWASP Dependency-Check自动生成
难点3：安全更新生命周期管理
- 对策：在Listing中明确标注"安全更新期限"（如：5年自购买日起）
- 对策：建立OTA安全更新推送通道（至少在欧盟境内支持）
四、CE标记与CRA合规声明
4.1 新增CRA合规模块
CE标记体系将增加CRA合规模块。产品须按照以下流程操作：
欧盟授权代表（EU-REP）
↓
安全设计评审（secure by design review）
↓
SBOM编制 + 漏洞管理计划
↓
符合性评估（默认级=自我声明；重要级=指定机构NB评审）
↓
EU DoC（附带CRA合规章节）
↓
CE标记（CRA模块标注）
↓
技术文档存档（至少10年）
4.2 对已获CE产品的影响
- 已获CE但未覆盖CRA的产品：须补充CRA模块，无需重新做全套CE
- 过渡期（截至2027年底）：允许新旧标准并存，但建议尽早切换
- 过渡期后（2028年起）：仅有CRA合规CE的产品方可市场投放
五、执法预期与处罚
5.1 执法节奏
| 时间 | 执法阶段 | 罚则倾向 |
|---|---|---|
| 2026 | 指南+试点执法 | 以警告/限期整改为主 |
| 2027 | 全面执法启动 | 罚款+产品下架 |
| 2028+ | 常态化执法 | 系统追加+禁令 |
5.2 罚款上限
- 默认级违规：最高€15,000,000或全球年营收2.5%（取较高者）
- 重要级违规：最高€20,000,000或全球年营收4%（取较高者）
- 未通报已利用漏洞：额外行政罚款（各成员国标准不同）
六、跨境电商卖家行动清单
6.1 2026年必须做的事
- 全面盘查：在售SKU中哪些含数字元素/联网能力
- 对CRA覆盖品类做风险等级分类（默认级/重要级）
- 要求ODM/OEM供应商提供SBOM（SPDX或CycloneDX格式）
- 注册EU-REP（若尚未注册GPSR REP，同步覆盖CRA）
- 制定产品安全更新期限表（至少5年）
6.2 2027年前必须完成
- SBOM全品类覆盖
- 漏洞通报流程建立（24h→72h→修补公告）
- CRA模块补充至EU DoC
- 安全设计评审嵌入新品开发流程
- 参加至少一次ENISA组织的CRA合规研讨会
6.3 成本控制建议
- 低风险产品（默认级）：自我声明+安全评审外包 = €5,000-10,000/产品线
- 中风险产品（重要级I类）：指定机构NB评审+漏洞管理平台 = €20,000-40,000/产品线
- 高风险产品（重要级II类）：全流程合规嵌入= €50,000+/产品线
- 建议：优先将高SKU量的默认级产品合规化，单品合规成本可降至€500/件以下（批量评估）
七、关联法规矩阵
| 法规 | 与CRA的交叉点 | 协同策略 |
|---|---|---|
| GPSR (EU) 2023/988 | EU-REP可共用 | 同一授权代表覆盖 |
| RED (EU) 2023/... | 无线电设备网络安全也适用 | 双重合规时统一测试 |
| AI Act (EU) 2024/... | AI组件产品额外适用 | 分类叠加时优先高标 |
| GDPR | 数据处理安全 | SBOM中的个人数据模块 |
| PPWR | 包装数字标签可能含软件元素 | 包装DPP与CRA-SBOM协同 |
更新记录 2026-07-29 初版 — 覆盖范围判断+三级分类+漏洞通报义务+CE/CRA合规流程+2027前行动清单