“网络韧性法案”（Cyber Resilience Act，CRA）是欧盟委员会于2022年9月15日提出的一项重要立法提案，旨在提升整个欧盟内部联网设备和数字产品的网络安全水平，确保消费者和企业能够使用更安全的产品和服务。

一、立法背景

在当今数字化世界中，越来越多的设备（如智能手机、路由器、智能家电、工业物联网等）都连接到互联网。这些设备如果存在漏洞，不仅会危害个人隐私，还可能成为攻击企业、政府甚至整个基础设施的入口。欧盟认为现有的立法如《网络安全法》（NIS）、《一般数据保护条例》（GDPR）并不足以全面应对产品本身的网络风险，因此有必要设立一部专门针对**“带数字元素的产品”**的强制性法规。

二、适用范围

Cyber Resilience Act 适用于所有带有数字组件、直接或间接连接互联网的产品，包括但不限于：

• 智能家居产品（如智能门锁、摄像头、洗衣机）
• 网络设备（如路由器、调制解调器）
• 软件产品（如操作系统、办公软件）
• 工业控制系统（如PLC、SCADA系统）

三、核心要求

CRA 对制造商提出了以下主要义务：

1. 安全设计和开发
   所有产品在投放市场前，必须考虑并内建网络安全机制，避免已知漏洞。
2. 漏洞处理机制
   制造商必须建立漏洞披露和修复流程，产品发布后至少提供五年的安全支持（除非预期寿命更短）。
3. CE 标志合规性要求
   所有产品必须进行合规评估，并打上符合 CRA 要求的 CE 标志。
4. 通知义务
   一旦发现已上市产品存在严重漏洞，制造商需在 24 小时内向 ENISA（欧盟网络安全局）通报。
5. 技术文档要求
   产品必须附有详细的技术文档，包括风险评估、安全更新流程等。

四、实施时间表（截至2025年情况）

• 2022年9月：欧盟委员会正式发布立法草案
• 2024年12月（预计）：正式立法通过并公布
• 过渡期：36个月
  制造商需在法规生效后 3 年内完成合规准备，也就是预计2027年底强制执行

五、影响分析

对企业的影响：

• 提高合规成本：需投入更多资源进行产品安全设计、测试、文档管理。
• 推动数字产品更新：促进厂商提供长期安全支持，不再“一次性卖断”。
• 增强品牌信誉：符合法规的产品在市场上更具竞争力。

对消费者的影响：

• 增强用户安全保障：更少出现“买了即被黑”的产品。
• 获得更长时间的安全更新支持。

六、与其他法规的关系

CRA 补充了以下欧盟已有法规：

• 《NIS2 指令》（网络与信息安全）
• 《通用产品安全法规》（GPSR）
• 《无线设备指令》（RED）
• 《一般数据保护条例》（GDPR）

CRA 着重在于产品本身的安全性要求，而非使用过程中的数据保护。

Views: 155