EU Cyber Resilience Act (CRA) · 联网产品合规指南
文件编号: 03-016
对应章节: 03_product_compliance
更新: 2026-06-12（首次编写，参考Tina-对话 0009）
背景: EU CRA (Cyber Resilience Act) 2024年通过，2025-2027分段生效
状态: 初版
一、法规概要
EU CRA是欧盟首部专门针对联网硬件和软件产品的网络安全法规。核心目标：确保产品在生命周期内具备基本网络安全防护能力。
适用对象：
- 任何直接或间接连接互联网/网络的产品
- 硬件 + 固件 + 软件
- 包括智能家居、可穿戴设备、IoT产品、带蓝牙/WiFi的消费品
不适用：
- 医疗设备（受MDR规范）
- 航空/车辆（行业法规优先）
- 开源软件（非商业提供）
二、对卖家的影响
2.1 哪些跨境产品受影响
| 产品类型 | 示例 | 风险等级 |
|---|---|---|
| 智能家居 | WiFi摄像头/智能插座/智能灯 | 🔴 高 |
| 可穿戴 | 蓝牙手表/运动手环/智能戒指 | 🔴 高 |
| 儿童联网玩具 | 带APP或WiFi的玩具 | 🔴 极高 |
| 带APP的消费电子 | 蓝牙音箱/智能秤 | 🟡 中 |
| 纯机械/无联网产品 | 衣物/家具/厨具 | 🟢 无影响 |
2.2 核心合规义务
- 安全设计原则（Security by Design）
- 产品出厂时需有合理安全配置（无默认弱密码）
- 定期安全更新义务（生命周期内）
- 漏洞报告义务
- 发现漏洞后24小时内通知EU监管机构
- 72小时内提交详细报告
- CE标志扩展
- CRA合规将成为CE标志的组成部分
- 需要**公告机构（Notified Body）**评估（特定高风险类别）
- 技术文件
- 网络安全风险评估
- 软件物料清单（SBOM）
- 安全更新策略文件
三、合规时间线
| 时间 | 要求 |
|---|---|
| 2025-2026 | 过渡期，制造商和进口商开始准备技术文件 |
| 2026年底 | 部分条款开始执行 |
| 2027年 | 全面强制实施 |
| 2027年后 | 不合规产品不得投放EU市场 |
⚠️ 建议：2026年现在就是行动时间窗口，不要等到2027年。
四、实操步骤
Step 1：产品分类
确认您的产品是否属于CRA管辖范围。
- 有WiFi/BLE/Zigbee/NFC/4G/5G → 是
- 有配套APP（APP可联网）→ 是
- 纯离线产品 → 否
Step 2：网络安全评估
- 识别产品的攻击面
- 评估默认安全配置
- 检查是否存在已知漏洞（CVE）
Step 3：准备技术文件
- 起草网络安全风险评估报告
- 编制软件物料清单（SBOM）
- 制定安全更新策略文档
- 准备CE合规声明（含CRA部分）
Step 4：选择公告机构（如需要）
- 高风险类别产品需指定公告机构进行符合性评估
- 可联系TUV莱茵/SGS等机构确认
Step 5：上市后义务
- 建立漏洞接收和响应流程
- 准备用户安全更新推送机制
- 保留合规文件至少10年
五、风险与处罚
| 违规类型 | 处罚 |
|---|---|
| 不合规产品上市 | 最高€15,000,000 或 全球年营业额2.5%（取其高者） |
| 未报告漏洞 | 最高€10,000,000 或 全球年营业额2% |
| 未提供安全更新 | 逐日罚款 + 强制召回 |
六、与其他法规交叉
| 法规 | 交叉点 |
|---|---|
| RED 2014/53/EU | 无线电设备指令与CRA部分重叠，未来将协调 |
| GPSR（General Product Safety Regulation） | GPSR一般安全要求 + CRA网络安全补充 |
| EU AI Act | AI功能产品需同时满足AI Act和CRA |
| GDPR | 联网产品收集个人数据需同时合规 |
七、建议
- 立即盘点：梳理您所有销往EU的联网产品清单
- 早期评估：找认证机构（如TUV莱茵）做CRA预评估
- 设计升级：在2026年正在进行的产品迭代中加入CRA安全设计
- SBOM准备：要求代工厂/方案商提供软件物料清单