Wi‑Fi/蓝牙摄像头出口欧盟-CRA合规详细解读

欧盟《网络韧性法案》专题报告

Wi‑Fi/蓝牙摄像头出口欧盟          
CRA 合规详细解读

适用范围、产品分类、工程控制、CE 证据包、漏洞报告与高量 SKU 落地路线

图 1　PPT 封面：Wi‑Fi/蓝牙摄像头 CRA 合规解读（由随附 PPT 页面渲染并嵌入）

编制日期：2026 年 10 月 12 日

管理层摘要  把 CRA 当成产品生命周期治理，而非一次性检测

对于在欧盟销售的 Wi‑Fi/蓝牙摄像头，硬件、嵌入式固件、配套移动 App，以及由制造商设计或控制、且缺失后会影响产品功能的远程数据处理方案，通常需要作为 CRA 范围判断的整体来审视。[1] 摄像头是典型的“含数字要素产品”：它会采集敏感视音频、接受控制命令、连接本地网络、依赖无线配网和 OTA 更新，因此需要用完整的产品安全体系来证明合规。

出货量不是 CRA 是否适用或是否需要公告机构评定的决定因素。真正影响路径的是产品的核心功能与法定分类。普通消费型摄像头通常可落入默认产品类别并由制造商内部评定；但如果某个 SKU 的核心功能实际属于附件 III 或 IV 的重要/关键类别，则应按更严格路径处理。[1][4]

一  为什么 Wi‑Fi/蓝牙摄像头通常进入 CRA 范围

CRA 适用于在欧盟市场提供的“含数字要素产品”，其预期用途或可合理预见的使用方式包含与设备或网络的直接或间接、逻辑或物理数据连接。Wi‑Fi 摄像头通过无线网络向 App 或云端传输视频并接收指令；蓝牙摄像头至少在配网、绑定、调试或本地控制阶段处理数据连接。两种连接方式都使产品很难被视为纯离线电器。[1]

产品边界不要只画到摄像头外壳。应按功能记录摄像头固件、移动 App、云 API、消息推送、账号系统、视频转码/存储、OTA 服务和单独销售的组件。特别是，当远程数据处理由制造商设计、开发或负责，并且缺失后会使产品无法完成某项功能时，CRA 的“远程数据处理方案”定义会变得相关。[5]

图 2　范围图：摄像头、移动 App、云端与 CRA 产品边界（由随附 PPT 页面渲染并嵌入）

二  时间表：先处理报告义务，再完成上市合规

CRA 于 2024 年 12 月 10 日生效。自 2026 年 9 月 11 日起，制造商对已被积极利用的漏洞和影响产品安全的严重事件负有报告义务。绝大部分产品设计、合格评定、CE 标识、用户信息与支持期义务从 2027 年 12 月 11 日开始适用。[2][5]

对于已有在售摄像头，不能等到 2027 年才开始。至少应当在当前阶段确认谁是欧盟市场的制造商，建立安全事件分级与 24 小时启动机制，冻结可追溯的版本清单，并把供应商的漏洞通知时效写入合同或质量协议。

图 3　关键时间点：CRA 生效、报告义务和主要产品义务（由随附 PPT 页面渲染并嵌入）

三  责任主体：贴牌品牌方往往是 CRA 下的制造商

CRA 中的制造商是开发或制造产品、或委托设计/开发/制造并以自身名称或商标销售产品的自然人或法人。因此，品牌方即使由 OEM/ODM 生产、由云服务商运营后台，也通常不能把上市前风险评估、合格评定、技术文件、CE、支持期和漏洞处置责任完全转移出去。[3]

进口商、经销商、欧盟授权代表及供应商分别有各自的核查、协作或授权职责，但其角色不等于替制造商背书。对高量产品，应明确每个组织在漏洞通告、紧急停供、补丁发布、客户沟通和监管资料调取中的联系人、时钟和交付物。

图 4　责任分工：制造商、供应商、进口商、经销商和授权代表（由随附 PPT 页面渲染并嵌入）

四  分类：普通摄像头通常走默认路径，但必须有可审计的判断

普通消费型 Wi‑Fi/蓝牙摄像头的核心功能通常是图像采集、传输和用户控制，因此往往可按 CRA 的默认产品类别考虑，制造商可以使用内部控制程序完成合格评定。这里的“通常”不是自动结论：最终需要结合每个 SKU 的实际核心功能、相关技术描述、是否构成安全产品的核心功能以及适用标准来判断。[1][4]

重要产品 Class I 在未采用相关协调标准、共同规范或适用认证方案的某些情形下需要公告机构参与。重要产品 Class II 和关键产品则有更严格的第三方评定要求。摄像头若仅集成某项安全功能，并不当然因“集成”而被提升到该功能所属类别；法律文本强调核心功能判断。

图 5　分类对比：默认、重要 Class I、Class II / 关键产品（由随附 PPT 页面渲染并嵌入）

五  摄像头风险评估：将六类攻击面放入同一个模型

摄像头常见的安全问题并不局限于弱密码。设备端可能出现调试口未关闭、密钥暴露、安全启动缺失、旧版媒体库漏洞或可被降级的固件；无线侧可能出现配网劫持、未授权蓝牙配对、开放端口或不安全局域网发现协议；App 和云端则可能出现账号接管、令牌滥用、越权访问、租户隔离缺陷和不安全的 API。

CRA 要求制造商开展网络安全风险评估，并在规划、设计、开发、生产、交付和维护阶段持续考虑结果。[3] 对摄像头而言，建议以“资产—信任边界—攻击路径—安全目标—控制—验证证据—残余风险”作为统一表格，而不是把渗透测试报告当作唯一安全材料。

图 6　风险面：设备、Wi‑Fi、蓝牙、App、云 API 与 OTA 供应链（由随附 PPT 页面渲染并嵌入）

六  Annex I 要求如何落到产品工程控制

CRA 附件 I 同时覆盖产品属性和漏洞处理过程。适用控制应来自风险评估，但摄像头团队通常需要能够证明：产品在上市时不存在已知的可利用漏洞；默认配置安全；访问受到保护；数据机密性、完整性和可用性得到合理保护；攻击面被最小化；安全更新能够在支持期内有效提供。[1][3]

可执行的工程基线包括：每台设备唯一初始凭据并在首次使用时改变或建立安全绑定；禁用无业务必要的调试服务；采用安全启动、可信密钥存储和签名固件；对传输链路与敏感存储实施适当加密；将 App、设备和云 API 的身份认证、授权、会话和日志策略统一设计；使用签名 OTA 并定义可控的回滚与紧急停更机制。

图 7　Annex I 映射：从法规要求到摄像头工程控制和过程证据（由随附 PPT 页面渲染并嵌入）

七  支持期与更新：产品发货后仍处在 CRA 生命周期内

制造商必须确定支持期，并在该期间有效处理产品及其组件的漏洞。法规序言说明，支持期原则上不应少于五年；只有产品预期使用时间少于五年时，才可以对应较短的预期寿命。若产品预期使用更久，支持期也应相应更长。[1] 对摄像头而言，支持期不宜仅按销售保修期设定，而应基于实际在用年限、供电方式、安装场景、云服务依赖、组件生命周期和用户的替换能力作出论证。

支持期结束时间应在购买时以清晰可理解的方式提供。运营层面需要把产品版本、用户群、受影响组件、补丁状态和客户通知记录关联起来。对存在无法远程更新的老旧硬件，还应在上市前评估其可维护性风险，并设计升级、替换或风险缓释策略。

图 8　生命周期图：规划、开发、上市、支持期运行与支持结束（由随附 PPT 页面渲染并嵌入）

八  漏洞与严重事件报告：用预先设计的时钟驱动响应

自 2026 年 9 月 11 日起，制造商应对已被积极利用的漏洞和影响产品安全的严重事件进行报告。欧盟委员会说明的时限为：自获悉起 24 小时内提交早期预警，72 小时内提交通知；对已被积极利用漏洞，在纠正措施可用后最迟 14 天提交终报；对严重事件，则在 72 小时通知后一个月内提交终报。[6]

这要求企业提前建立 PSIRT 或等效机制。最低限度应包括：漏洞信息入口、是否“积极利用/严重事件”的升级标准、影响范围与产品版本查询、法务和管理层审批路径、SRP 报送账号与授权、客户沟通模板、补丁签名与发布渠道，以及复盘与预防措施。不要等到出现漏洞时才找产品清单和联系人。

图 9　报告流程：发现、24 小时预警、72 小时通知和终报（由随附 PPT 页面渲染并嵌入）

九  CE 前的证据包：把声明与版本、测试、运营资料连起来

上市前，制造商应完成适用的合格评定，起草 EU Declaration of Conformity，并在满足条件后加贴 CE 标识。技术文件应在上市前准备并在支持期内按需更新，以便市场监管部门调取。[1][3] 对摄像头产品，证据包最好不是散落的测试文件夹，而是一套可从产品型号和版本反查到风险、组件、控制、测试和声明的受控库。

图 10　证据包：风险、组件、验证、声明、用户信息与运营响应（由随附 PPT 页面渲染并嵌入）

十  量大产品的合规模型：建立平台基线、差异矩阵和发布门禁

对多型号、高出货量摄像头，逐个 SKU 从头做一遍文件不经济，也更难保持一致。更好的做法是把共用 SoC、板级设计、安全启动、密钥方案、基础固件、无线栈、OTA、账号系统和云 API 形成“平台安全基线”；每个 SKU 只对镜头、无线模块、存储、功能开关、App、云端区域或订阅功能等差异做增量评估。

平台化不等于简单复制。任何影响 CRA 基本要求、产品预期用途或已评估安全属性的变化，都要触发变更评审；产品上线前要确认本次构建使用的组件版本、SBOM、配置、测试状态、DoC 和用户信息是否同步更新。对规模化业务，关键 KPI 是版本可追溯率、未修复高危问题暴露时间、SBOM 覆盖率、供应商响应时效和补丁发布成功率。

图 11　高量 SKU 模型：共用安全基线、变体差异矩阵与证据门禁（由随附 PPT 页面渲染并嵌入）

十一  落地路线：先做代表性 SKU 试点，再扩展到产品线

建议从现有产品中选择一款具有典型 Wi‑Fi、蓝牙、App、云端和 OTA 能力的代表性 SKU，完成端到端试点。试点的目标不是立刻形成“所有产品均已合规”的声明，而是验证组织能否在一个真实产品上完成范围划分、分类判断、风险评估、控制实施、证据整理、更新响应和报告演练。

图 12　四阶段路线图：盘点、风险与架构、证据与演练、持续运营（由随附 PPT 页面渲染并嵌入）

十二  摄像头 SKU 上市前初步自检表

下表用于内部预审。所有“是”并不自动构成合规结论；需要把每个答案对应到技术文件、测试记录或运营流程中。对于由 OEM/ODM、白牌方案或第三方云服务构成的产品，建议由品牌方牵头收集并审阅证据。

使用边界  CRA 与其他合规要求需要并行管理

本报告聚焦 CRA。摄像头在欧盟还可能同时涉及无线电设备、产品安全、数据保护、消费者保护和行业专门法规。尤其是视频、音频、账号和家庭场景数据通常带有个人数据风险，CRA 的网络安全要求并不替代 GDPR 等数据保护义务。建议把 CRA 风险评估、隐私影响评估、无线/电气安全合规和质量管理纳入同一产品上市治理框架。