CE认证不再够用，CRA网络安全新规 2027年全面强制执行

说自家产品明明已经做了 CE 认证，怎么欧盟客户还在追问 "CRA 合规了吗"？更有甚者，某知名智能摄像头品牌因为没提前布局，被海外大客户直接暂停了订单，损失不小。这事儿听起来有点冤，但在欧盟新规面前，还真没地方说理去。今天杨工就跟大家好好聊聊这部被称为 "数字产品准入门槛" 的欧盟《网络弹性法案》（CRA），看看它到底是何方神圣，又会给咱们出口企业带来哪些影响。

一、CRA 是什么？一部给数字产品 "上保险" 的法规

先给大家划个重点：欧盟《网络弹性法案》（Cyber Resilience Act，简称 CRA），法规编号 EU 2024/2847，是欧盟首部针对数字产品网络安全的横向法规。说人话就是，以前欧盟管的是产品会不会电到人、会不会着火，现在还要管产品会不会被黑客攻破、会不会泄露用户数据。

这部法案 2024 年 12 月 10 日就正式生效了，但给了企业一段过渡期。2027 年 12 月 11 日起，所有在欧盟市场销售的带数字元素的产品，都必须符合 CRA 要求。注意，这里有个容易被忽略的时间点：2026 年 9 月 11 日，漏洞报告义务就提前生效了，也就是说，从那天开始，企业发现产品漏洞就得按规定上报，不能等 2027 年再说。

杨干这行十几年，见过太多企业 "不到最后不着急"。但这次真不一样，CRA 的合规不是临时抱佛脚就能搞定的，它涉及产品从设计、研发到生产、运维的全生命周期。

二、哪些产品要做 CRA？范围比你想象的广

很多卖家问杨工："我这就是个普通的蓝牙耳机，也要做 CRA 吗？" 答案是：只要带联网功能，能直接或间接处理数据，基本都在范围内。

具体来说，CRA 覆盖的产品包括但不限于：

消费电子类：智能手机、笔记本电脑、平板、智能手表、蓝牙耳机、路由器、智能家居设备

工业控制类：工业网关、PLC 控制器、传感器

组件级产品：MCU 芯片、模组、操作系统、嵌入式软件

软件产品：独立销售的软件、SaaS 服务、移动应用

这里杨工要特别提醒一下：CRA 不仅管最终产品，单独销售的组件也在范围内。 也就是说，你卖的是芯片、是模组，同样需要合规。这对上游元器件厂商来说，压力其实更大。

当然，也有豁免产品，比如医疗设备、民用航空器、机动车辆这些，因为它们已经有专门的法规管了。但大部分数码产品、电子元器件，都跑不掉。

三、CRA 和 CE 认证是什么关系？别再搞混了

这是杨工被问得最多的问题。很多人以为："我有 CE 认证了，是不是就包含 CRA 了？" 还真不是。

传统的 CE 认证，比如 LVD（低电压）、EMC（电磁兼容）、RED（无线电设备），主要管的是电气安全和电磁兼容，基本不涉及网络安全漏洞的管控。 而 CRA 是独立的网络安全合规要求，它管的是产品会不会被黑客攻击、数据会不会泄露、漏洞能不能及时修复。

准确地说，从 2027 年 12 月 11 日起，数字产品的 CE 标志将新增 CRA 合规要求。也就是说，到那时候，光有传统 CE 认证不够了，还得加上 CRA 的合规评估，才能合法加贴 CE 标志进入欧盟市场。

杨工打个比方：以前 CE 认证是产品的 "体检合格证"，查的是血压、心率这些基础指标；现在 CRA 相当于加了一项 "网络安全体检"，查的是免疫系统有没有漏洞。两项都过了，才算真正健康。

四、CRA 具体要求什么？核心内容一次讲清

CRA 的要求很多，但核心可以概括为三大块，杨工给大家拆解一下：

第一，安全设计（Security by Design）和默认安全（Security by Default）。 这是 CRA 最核心的理念 —— 安全不是事后打补丁，而是从设计第一天就要融入产品。比如，默认密码不能是 "123456"，敏感数据必须加密，不能有不必要的开放端口等等。对应的技术标准就是prEN 40000 系列，其中 prEN 40000-1-2 是网络弹性原则，prEN 40000-1-4 是具体的安全控制要求。

第二，漏洞管理与报告义务。 企业必须建立漏洞处理流程，发现漏洞及时修复。而且，2026 年 9 月 11 日起，严重漏洞要在 24 小时内上报欧盟相关机构。这对企业的应急响应能力是个很大的考验。对应的标准是 prEN 40000-1-3。

第三，技术文档与合规评估。 企业需要准备完整的技术文档，包括风险评估报告、安全设计说明、漏洞处理流程、测试报告等等。根据产品风险等级不同，有的可以自我声明，有的需要第三方机构评估。文档要保存 10 年以上，市场监管机构随时可能抽查。

另外还有一点很重要：产品支持期不得短于 5 年。也就是说，产品上市后，至少 5 年内你得继续提供安全更新。这对很多中小企业来说，是个不小的成本压力。

五、不合规会怎样？罚款力度堪比 GDPR

聊到这里，肯定有人想问："要是我没做，会有什么后果？" 杨工只能说，后果很严重。

CRA 的处罚力度和 GDPR 是一个量级的，最高罚款 1500 万欧元，或者全球年营业额的 2.5%，哪个高按哪个算。这还只是最高等级的处罚，针对的是违反基本网络安全要求、漏洞报告义务这些核心条款。

除了罚款，还有更狠的：产品下架、召回，甚至直接禁止进入欧盟市场。对于做出口的企业来说，丢了欧盟市场，损失可能比罚款还大。

杨工见过太多企业抱着 "先卖了再说，查到再说" 的侥幸心理。但说实话，欧盟的市场监管越来越严，尤其是网络安全这块，以后只会越来越紧。等真查到头上再补救，成本可能是提前布局的好几倍。

六、企业该怎么做？杨工给几点实在建议

说了这么多，大家最关心的肯定是："那我现在该怎么办？" 杨工给大家几条实操建议：

第一，先做产品分类和差距分析。 先搞清楚自己的产品属不属于 CRA 范围，属于哪个风险等级，然后对照 prEN 40000 系列标准的要求，看看现在差在哪里。

第二，把安全融入研发流程。 别等产品做出来了再补安全，那样成本最高。从需求阶段就要考虑安全需求，设计阶段做安全设计，开发阶段做代码安全审计，测试阶段做渗透测试。

第三，建立漏洞管理体系。 这事儿别等 2026 年 9 月再弄，现在就可以开始搭。包括漏洞接收渠道、漏洞评估流程、修复流程、披露流程等等。特别是 24 小时上报的要求，得提前演练。

第四，准备技术文档。 CRA 对技术文档的要求很细，不是随便写几页就行的。建议找专业的机构协助，确保文档符合要求，免得抽查的时候出问题。

第五，关注标准进展。 目前 prEN 40000 系列标准还在草案阶段，正式版预计 2026 年底到 2027 年初会陆续发布。企业要及时跟进标准变化，调整合规策略。

七、总结

聊到这里，相信大家对 CRA 已经有了比较全面的了解。杨干检测认证这行十几年，最深的体会就是：合规这件事，永远是早做比晚做好，主动做比被动做好。欧盟 CRA 看起来是门槛，但换个角度看，也是筛选优质企业的机会。那些提前布局、把安全做扎实的企业，反而能在新一轮市场洗牌中脱颖而出。

毕竟，在这个数字时代，安全才是产品最好的名片。