欧盟网络弹性法案（EU Cyber Resilience Act）

背景

网络弹性是指网络存在不利条件、压力、攻击或失陷组件时，自身所应具有的预防、承受、恢复和适应的能力，以保持系统功能和结构稳定，实现对重大网络安全事件的有序、有效应对，保证关键业务稳定运行。

近些年影响数字产品的网络攻击越来越多，再加上普遍存在的漏洞和不及时的安全更新，给社会带来了沉重的经济负担。为了应对这种现象，欧盟委员会起草了《网络弹性法案》（Cyber Resilience Act，简称CRA），这是一项新的监管要求，旨在确定制造商在将任何带有数字元素的产品投放内部市场时必须满足的基本网络安全要求的立法框架。

? 2022年9月15日，欧盟委员会公布了《网络弹性法案》提案；

? 2024年10月10日，欧盟理事会正式通过了《网络弹性法案》，法案公布36个月后生效。

CRA简介

CRA法案涵盖了市场上所有可以连接到设备或网络的带有数字元素的产品，包括其构建模块（即硬件和软件），也包括以软件即服务（SaaS）方式提供的解决方案。它将确保连接到互联网的有线和无线产品以及投放到欧盟市场的软件更加安全；制造商仍然对产品在其整个生命周期中的网络安全负责；消费者被适当地告知他们购买和使用的产品的网络安全问题。

CRA法案有以下两组基本要求：

1. CRA附录I第1节中的产品网络安全要求

2. CRA附录I第2节中的漏洞处理流程要求

一般原则是，对于市场上的一般产品，自我评估是否符合基本网络安全要求的规定就足够了。对于某些关键的产品类别，将需要应用协调标准进行符合性评估。对于更关键的产品，需要由公告机构进行评估。（具有数字元素的关键产品分类在法案附录III有描述）。

基本网络安全要求（附录I）

第一节：与带有数字元素的产品属性相关的安全要求

第二节：漏洞处理要求

数字元素的产品制造商应符合以下要求：

协调标准

目前未发布完全符合要求的协调标准，可以参考以下标准：

1. 与带有数字元素的产品属性相关的安全要求—ETSI EN 303 645 V2.1.1 (2020-06)

2. 漏洞处理要求—EN ISO/IEC 30111:2020/ISO/IEC 27002:2022/EN ISO/IEC 29147:2020

总结

CRA适用于任何具备数字组件的软硬件产品及其远程数据处理解决方案。几乎所有存在联网等数字化功能的家电和消费电子类产品，手机、平板、包括电视、冰箱、智能音响等，均被纳入CRA的监管范畴。不只是对终端产品的要求，法案中还提到，制造商在将来自第三方的部件集成到带有数字元素的产品中时也要确保此类部件不会危及产品的安全性。这就意味着，当产品制造商在使用某一数码零部件、第三方组件乃至软件插件时，都需要对其安全性进行检验和确认。

总而言之，未来在欧盟地区销售的数字产品将面临来自监管部门和消费者更为严苛的检验和审查，存在安全问题或仅是集成了问题部件的制造商会面临欧盟的罚款和消费者的索赔要求。违反CRA要求的企业可处以最高1500万欧元或全球总营业额2.5%的罚款。