欧盟《网络韧性法案》（CRA）

客户适用范围与合规实施计划

逐页图文版：法规解读、客户筛查与完整PPT页面映射

本文件将完整PPT的每一页渲染为图片，并插入到相应章节。读者无需切换文件即可同时审阅法规解释、客户适用判断、实施建议与演示页面。文末仍保留可点击的完整PPT嵌入对象。

对应PPT第 1 页｜封面与关键时间线

02. 管理层结论：先识别适用客户，再按角色建设能力

CRA项目应先解决“谁是责任主体”和“哪些产品进入范围”的问题。企业是否设在欧盟不是唯一判断标准。只要产品以商业活动方式投放欧盟市场，且产品属于含数字元素产品，相关经济运营者就应进入评估范围。[1] [6]

管理层需要同时启动两条工作线。第一条是报告能力，因为第14条的报告义务已自2026年9月11日适用。第二条是2027年12月11日的上市合规能力，包括风险评估、支持期、技术文档、符合性评定、欧盟符合性声明与CE标志。

对应PPT第 2 页｜管理层结论：先识别适用客户，再按角色建设能力

03. 哪些客户必须纳入 CRA：六类优先对象

制造商是CRA的主要义务承担者。制造商不仅是自行生产硬件的企业，也包括以自身名称或商标投放产品的品牌方。收费与否并不自动改变制造商身份。[1] [2]

软件开发商、固件提供方、组件供应商和平台企业也需要逐项判断。只要软件、组件或必要远程处理作为产品的一部分或单独产品提供至欧盟市场，通常就不应被排除在初筛之外。

非欧盟企业经由进口商、分销商、电商或代理进入欧盟市场时，需要同步梳理欧盟授权代表、进口商、经销商和制造商之间的分工。

对应PPT第 3 页｜哪些客户必须纳入 CRA：六类优先对象

04. 哪些产品通常适用：从终端设备到必要远程处理

CRA覆盖含数字元素产品，包括硬件、软件、单独投放的组件，以及特定远程数据处理。远程数据处理由制造商设计、开发或负责，并且缺失会使产品无法实现一项功能时，通常是产品定义的一部分。[1] [6]

因此，工业网关、连接型控制设备、路由器、操作系统、嵌入式软件、应用、通信组件和安全组件均应纳入筛查。对于纯粹独立的云服务、平台功能或数据分析服务，需要根据对产品功能的必要性和控制权做专项判断。

对应PPT第 4 页｜哪些产品通常适用：从终端设备到必要远程处理

05. 谁承担什么责任：客户角色决定义务深度

经济运营者角色决定义务深度。制造商负责设计、开发、生产、脆弱性处理、风险评估、评定和市场准入。进口商、经销商及授权代表不承担全部制造商义务，但不能将自身法定义务完全转移给上游。

白牌、贴牌、实质性改造和再投放是最容易发生责任重新分配的情形。企业应从产品控制、商标、版本控制和市场投放行为出发，而不是只依据合同标题判断角色。[1]

对应PPT第 5 页｜谁承担什么责任：客户角色决定义务深度

06. 客户快速筛查：绿、黄、灰三类行动路径

绿类项目应立即启动CRA工作。典型情形包括自有品牌的联网硬件、软件或组件投放欧盟，以及境外企业通过欧盟渠道、电商或进口商销售这些产品。

黄类项目需要专项范围判断。常见问题是远程处理是否为产品功能所必需、开源项目是否存在商业活动，以及平台或白牌交易中谁掌握产品控制权。

灰类并不表示“无任何合规义务”。产品即使通常不直接适用CRA，仍可能涉及NIS2、GDPR或特定行业网络安全要求。

对应PPT第 6 页｜客户快速筛查：绿、黄、灰三类行动路径

07. 适用范围：先判断产品、市场投放与例外情形

适用判断宜按顺序完成。首先确认是否为含数字元素产品；其次确认是否在欧盟市场以商业活动方式首次投放或提供；再确认预期用途或合理可预见使用是否涉及与设备或网络的直接或间接数据连接。满足这些条件后，才进入分类、支持期与符合性评定。

CRA第2条包含排除情形及与特定欧盟行业法规的衔接。医疗器械、体外诊断、机动车、航空及海事相关产品尤其需要法律和产品团队共同确认适用制度。

对应PPT第 7 页｜适用范围：先判断产品、市场投放与例外情形

08. 客户最关注的五项决策

范围、分类、支持期、供应链与事件能力是客户项目的五个核心决策。它们彼此关联：范围决定哪些版本进入管理；分类影响评定路径；支持期影响维护资源；供应链决定SBOM和漏洞协同的深度；事件能力决定是否能够履行已适用的报告义务。

建议建立“产品组合—版本—欧盟市场—责任主体”主数据台账，并让所有合规决定挂接到该台账。这样，产品更新、责任主体变化或新进入欧盟国家时都可以触发重评。

对应PPT第 8 页｜客户最关注的五项决策

09. 合规目标：安全设计、脆弱性治理与可审计证据

制造商应基于网络安全风险评估，将安全控制贯穿产品规划、设计、开发、生产、交付和维护。仅有政策文件或一次渗透测试不足以证明全生命周期履职。

产品团队应形成至少三类可审计工件：安全设计和默认安全的工程证据；组件、漏洞与更新的处置记录；技术文档、支持期、使用说明、符合性评定和CE相关市场准入文件。[1] [4]

对应PPT第 9 页｜合规目标：安全设计、脆弱性治理与可审计证据

10. 已生效的报告义务：24小时、72小时与最终报告

第14条针对被积极利用的漏洞和影响产品安全的严重事件设置分阶段报告。获悉后24小时内应发出预警；获悉后72小时内提交通知；最终报告时限根据事件类型不同而不同。积极利用漏洞通常以纠正或缓解措施可用后的14日为界，严重事件通常以72小时通知后的一个月为界。[1] [3]

企业应通过ENISA的CRA Single Reporting Platform向适用协调CSIRT提交信息，并保留获悉时点、影响评估、审批决定、提交回执、用户通知及复盘记录。

对应PPT第 10 页｜已生效的报告义务：24小时、72小时与最终报告

11. 符合性评定：产品分类决定资源投入与上市节奏

符合性评定不是按营销名称进行。企业应核对产品核心功能是否落入附件III的重要产品或附件IV的关键产品类别，并保存分类结论及其事实依据。[1] [5]

默认产品通常可由制造商自评。重要产品在特定情况下需要公告机构参与，尤其是没有使用协调标准时。关键产品需要第三方评定。因此，分类判断应尽早进入产品路线图、预算和上市计划。

对应PPT第 11 页｜符合性评定：产品分类决定资源投入与上市节奏

12. 客户交付物：形成可复核的合规证据包

建议按产品、版本、市场和支持期来组织证据。每一项法规义务都应能追溯到控制措施、具体工件、适用版本、责任人和更新时间。

证据包至少应包含：适用判断与风险评估；组件和SBOM治理；安全工程与测试记录；PSIRT和支持期管理；符合性与市场文件；事件报告档案。该索引也是内部审计、管理层审阅和外部评定的共同接口。

对应PPT第 12 页｜客户交付物：形成可复核的合规证据包

13. 实施计划：从当前报告能力到2027年上市合规

0至30日的目标是使报告能力可运行，包括责任分工、事件分诊、SRP准备和24小时桌面演练。30至90日应完成产品盘点、范围判断、分类预研与证据差距评估。

2027年上半年应把安全需求、SBOM、PSIRT、测试门禁、技术文档和用户信息嵌入工程过程。2027年下半年再按产品上市节奏完成标准或公告机构路线、符合性评定、DoC、CE和维护移交。

对应PPT第 13 页｜实施计划：从当前报告能力到2027年上市合规

14. 治理、指标与下一步：把法规要求转为持续经营能力

治理层应决定风险容忍度、资源优先级和跨部门问责方式。产品、工程、PSIRT、法务、采购和销售应共同维护产品级责任图谱，而不是由单一职能部门孤立承担。

建议运营指标包括：已纳入台账的欧盟产品比例；具有有效SBOM和风险评估的版本比例；从漏洞分诊到24小时预警的耗时；以及支持期内未按期关闭的高风险漏洞数量。以上是内部管理建议，不是CRA法定阈值。

对应PPT第 14 页｜治理、指标与下一步：把法规要求转为持续经营能力

15. 法规依据、数据校验与使用边界

本文件将法规适用范围、角色义务、报告义务、产品上市义务和内部治理建议分开表述。尤其注意：报告义务已自2026年9月11日适用；主要上市义务自2027年12月11日适用。

本文的客户筛查逻辑来自法规的产品定义、市场投放概念、经济运营者定义及开源软件特别安排。对任何具体产品的最终结论，仍须结合产品事实、成员国要求、行业法规和最新委员会指南进行复核。

对应PPT第 15 页｜法规依据、数据校验与使用边界