關(guān)于歐盟網(wǎng)絡(luò)彈性法案的合規(guī)解讀

一、法規(guī)背景

從嬰兒監(jiān)視器到智能手表，從應(yīng)用程序到計算機軟件，可連接的硬件和軟件產(chǎn)品已廣泛融入日常生活。然而，這類產(chǎn)品可能帶來的網(wǎng)絡(luò)安全風(fēng)險往往容易被用戶忽視。

歐盟《網(wǎng)絡(luò)彈性法案》(Cyber Resilience Act)對硬件和軟件產(chǎn)品引入了強制性的網(wǎng)絡(luò)安全要求，旨在應(yīng)對當(dāng)前產(chǎn)品普遍存在的網(wǎng)絡(luò)安全水平不足及安全更新不及時等問題，并確保相關(guān)產(chǎn)品在其整個生命周期內(nèi)維持較高的網(wǎng)絡(luò)安全水平。

該法案已于2024年12月10日起生效，并將自2027年12月11日起全面適用。其中，關(guān)于漏洞利用和嚴(yán)重事件的報告義務(wù)，將于2026年9月11日起適用。

二、適用產(chǎn)品范圍

CRA適用于含數(shù)字元素的產(chǎn)品，包括直接或間接連接到其他設(shè)備或網(wǎng)絡(luò)的產(chǎn)品。

主要包括但不限于：

1、硬件產(chǎn)品，可連接到互聯(lián)網(wǎng)或其他網(wǎng)絡(luò)的設(shè)備，例如：

• 智能家居產(chǎn)品：智能手機、筆記本電腦、平板電腦、智能恒溫器、智能冰箱、攝像頭、智能門鈴等；
• 可穿戴設(shè)備：健身追蹤器、智能手表等；
• 工業(yè)物聯(lián)網(wǎng)設(shè)備：傳感器、聯(lián)網(wǎng)機械設(shè)備等

2、軟件產(chǎn)品，包括可安裝在硬件上或獨立運行的應(yīng)用程序，例如消費者應(yīng)用程序、操作系統(tǒng)等。

CRA不適用于以下產(chǎn)品：

• 已由特定歐盟法規(guī)全面監(jiān)管的產(chǎn)品，如醫(yī)療器械、體外診斷設(shè)備、機動車、民航設(shè)備及海事設(shè)備等；
• 專門為國家安全或國防目的開發(fā)，或用于處理機密信息的產(chǎn)品；
• 用于替換現(xiàn)有產(chǎn)品中相同組件、且規(guī)格一致的備件。

此外，對于已受其他歐盟法規(guī)監(jiān)管且相關(guān)法規(guī)已涵蓋網(wǎng)絡(luò)安全風(fēng)險的產(chǎn)品，CRA的適用范圍可能被部分限制或排除，前提是該等法規(guī)能夠提供同等或更高水平的網(wǎng)絡(luò)安全保護。

三、漏洞與嚴(yán)重事件報告義務(wù)

自2026年9月11日起，如果具有數(shù)字元素的產(chǎn)品發(fā)生嚴(yán)重事件或存在被主動利用的漏洞，制造商須在24小時內(nèi)向歐盟網(wǎng)絡(luò)安全局 （ENISA）及國家計算機安全事件響應(yīng)小組（CSIRT）報告。

報告流程包含三個階段：

• 初步通報（24小時內(nèi)）：提供受影響產(chǎn)品的初步信息、漏洞的性質(zhì)以及潛在影響。
• 后續(xù)報告（72小時內(nèi)）：隨著更多詳細(xì)技術(shù)信息的獲取，及時予以補充通報。
• 最終報告（14天內(nèi)）：對于被實際利用的漏洞，應(yīng)在14日內(nèi)提交最終報告；對于嚴(yán)重安全事件，應(yīng)在一個月內(nèi)提交最終報告。

此外，制造商還將被要求在不無故拖延的前提下，向受影響的受規(guī)管產(chǎn)品的用戶發(fā)出通知。對于已投放市場且包含數(shù)字元素的產(chǎn)品，如果制造商仍對其提供支持，也需要從2026年9月11日起適用報告義務(wù)。

四、制造商/分銷商應(yīng)重點關(guān)注的要求

如果您是制造商，自 2027年12月11日起，必須遵守CRA的要求。包括但不限于：

1. 評估產(chǎn)品的網(wǎng)絡(luò)安全風(fēng)險，并在產(chǎn)品的設(shè)計、開發(fā)、生產(chǎn)、交付及維護等各階段采取措施降低相關(guān)風(fēng)險；

2. 確保產(chǎn)品符合CRA附件一的基本網(wǎng)絡(luò)安全要求；

3. 準(zhǔn)備相關(guān)技術(shù)文件，對產(chǎn)品進行符合性評估，并在產(chǎn)品上展示 CE 標(biāo)志。對于 “關(guān)鍵產(chǎn)品”和“重要產(chǎn)品”，適用情況下需要引入第三方機構(gòu)參與符合性評估；

4. 在產(chǎn)品支持期內(nèi)，對已識別的漏洞和/或問題采取措施予以修復(fù)；

5. 確保產(chǎn)品隨附必要的文件和使用說明等。

如果您是分銷商，請注意自2027年12月11日起，確保產(chǎn)品符合CRA的要求。包括但不限于：

• 核查產(chǎn)品已展示 CE 標(biāo)志；
• 核實制造商已履行相關(guān)義務(wù)，并已提供必要的文件和信息；
• 在產(chǎn)品投放市場后，如發(fā)現(xiàn)不合規(guī)情況，應(yīng)配合采取措施，包括必要時下架或召回產(chǎn)品；
• 如發(fā)現(xiàn)產(chǎn)品存在漏洞或重大網(wǎng)絡(luò)安全風(fēng)險，應(yīng)無不當(dāng)延遲地通知制造商及相關(guān)市場監(jiān)管機構(gòu)；
• 根據(jù)要求向市場監(jiān)管機構(gòu)提供相關(guān)信息和文件，并予以配合。