“网络韧性法案”（Cyber Resilience Act，CRA）是欧盟委员会于2022年9月15日提出的一项重要立法提案，旨在提升整个欧盟内部联网设备和数字产品的网络安全水平，确保消费者和企业能够使用更安全的产品和服务。
一、立法背景
在当今数字化世界中，越来越多的设备（如智能手机、路由器、智能家电、工业物联网等）都连接到互联网。这些设备如果存在漏洞，不仅会危害个人隐私，还可能成为攻击企业、政府甚至整个基础设施的入口。欧盟认为现有的立法如《网络安全法》（NIS）、《一般数据保护条例》（GDPR）并不足以全面应对产品本身的网络风险，因此有必要设立一部专门针对**“带数字元素的产品”**的强制性法规。
二、适用范围
Cyber Resilience Act 适用于所有带有数字组件、直接或间接连接互联网的产品，包括但不限于：
- 智能家居产品（如智能门锁、摄像头、洗衣机）
- 网络设备（如路由器、调制解调器）
- 软件产品（如操作系统、办公软件）
- 工业控制系统（如PLC、SCADA系统）
三、核心要求
CRA 对制造商提出了以下主要义务：
- 安全设计和开发
所有产品在投放市场前，必须考虑并内建网络安全机制，避免已知漏洞。 - 漏洞处理机制
制造商必须建立漏洞披露和修复流程，产品发布后至少提供五年的安全支持（除非预期寿命更短）。 - CE 标志合规性要求
所有产品必须进行合规评估，并打上符合 CRA 要求的 CE 标志。 - 通知义务
一旦发现已上市产品存在严重漏洞，制造商需在 24 小时内向 ENISA（欧盟网络安全局）通报。 - 技术文档要求
产品必须附有详细的技术文档，包括风险评估、安全更新流程等。
四、实施时间表（截至2025年情况）
- 2022年9月：欧盟委员会正式发布立法草案
- 2024年12月（预计）：正式立法通过并公布
- 过渡期：36个月
制造商需在法规生效后 3 年内完成合规准备，也就是预计2027年底强制执行
五、影响分析
对企业的影响：
- 提高合规成本：需投入更多资源进行产品安全设计、测试、文档管理。
- 推动数字产品更新：促进厂商提供长期安全支持，不再“一次性卖断”。
- 增强品牌信誉：符合法规的产品在市场上更具竞争力。
对消费者的影响：
- 增强用户安全保障：更少出现“买了即被黑”的产品。
- 获得更长时间的安全更新支持。
六、与其他法规的关系
CRA 补充了以下欧盟已有法规：
- 《NIS2 指令》（网络与信息安全）
- 《通用产品安全法规》（GPSR）
- 《无线设备指令》（RED）
- 《一般数据保护条例》（GDPR）
CRA 着重在于产品本身的安全性要求，而非使用过程中的数据保护。
Views: 14
0 Kommentare.