直接答案：只要产品在欧盟市场销售，并具有直接或间接的数据连接，欧盟《网络韧性法案》（CRA）就可能覆盖硬件、软件和组件。2026-09-11 起，漏洞与严重事件的报告义务已经适用；2027-12-11 起全面适用。现在应先做产品盘点和范围判断，再建立漏洞处理、事件报告、技术文档和符合性评估路径；不要等到 2027 年再补。本文是公开资料研究，不是法律意见，适用范围需按具体产品确认。
本文面向向欧盟出口联网设备、工业控制/网关、嵌入式软件、独立软件或数字组件的中国制造企业，以及为这些产品提供软件和集成的服务商。资料截止 2026-10-25；政策与实施进度可能变化，作决定前应核对欧盟委员会和法规原文。
报告义务已经生效；全面合规在 2027；CE 不是一张纸，而是风险、文档、漏洞处理和报告的闭环。
欧盟 CRA 适用于哪些产品？
CRA 覆盖在欧盟销售、具有直接或间接数据连接的硬件、软件和组件；是否适用看用途、销售方式和排除条款，不能只看芯片。
欧盟委员会把“产品与数字元素”定义为软件或硬件产品及其远程数据处理方案，包括单独投放市场的软件或硬件组件。产品只要具有直接或间接的逻辑或物理数据连接，就可能落入范围；不是“只有消费电子”或“只有联网设备”。
反过来，不是所有软件都自动适用。是否属于商业活动中的“投放市场”、是否被其他欧盟法规排除、远程数据处理是否是产品功能不可分割的一部分，都会影响判断。下面这张表只能用于初筛，不能替代法律或合格评定意见。
| 产品形态 | 数据连接 | 是否可能适用 | 要核实什么 |
|---|---|---|---|
| 联网工业设备、网关、控制器 | 有，直接或间接 | 很可能 | 是否在欧盟投放、是否被其他法规排除 |
| 设备固件/嵌入式软件 | 随设备连接 | 很可能 | 是整机的一部分还是单独投放 |
| 独立软件、APP、开发工具 | 有网络/数据连接 | 可能 | 是否商业投放、是否开源、是否属于排除类别 |
| 单独销售的组件/模块 | 有 | 可能 | 是否作为产品单独投放市场 |
| 远程数据处理（云/服务） | 有 | 视情况 | 是否由制造商设计/负责，且缺失会阻止产品功能 |
| 被其他欧盟法规覆盖的产品 | 有 | 可能被排除 | 具体排除条款与适用法规 |
编辑整理，不是法律结论。最终范围应按欧盟法规、产品预期用途、销售模式和官方指南逐项确认。
2026 和 2027 的时间表是什么？
CRA 2024-12-10 生效，2026-09-11 报告义务已适用，2027-12-11 全面适用；现在就要准备。
很多企业把 CRA 当成“2027 年的事”，但报告义务已经在 2026 年 9 月 11 日生效，而且适用于已经投放欧盟市场的产品，包括 2027 年前上市的产品。也就是说，即使主合规义务还没到，出了被主动利用的漏洞或严重事件，报告时钟可能已经开始走。
| 日期 | 节点 | 对企业意味着什么 |
|---|---|---|
| 2024-12-10 | CRA 生效 | 开始准备范围、角色和流程 |
| 2026-06-11 | 合格评定机构相关条款适用 | 公告机构/评估资源逐步到位 |
| 2026-09-11 | 漏洞与严重事件报告义务适用 | 联系人、分级、24/72 小时流程要能运行 |
| 2026-12-11 | 成员国通知足够合格评定机构的实施里程碑 | 关注公告机构覆盖与可用性，不等于全部产品都要第三方 |
| 2027-12-11 | CRA 全面适用 | 风险评估、技术文档、符合性评估、CE/声明、支持期等要到位 |
| 2027-12-11 后 | 既有产品与重大修改 | 2027 年前上市产品通常仅在重大修改时适用；报告义务仍覆盖已上市产品 |
日期来自欧盟委员会公开页面；2026-12-11 是实施里程碑，不是所有企业的合规截止日。政策可能调整，作决定前复核官方时间表。
制造商要承担哪些义务？
制造商要做风险评估、满足基本安全要求、准备技术文档、完成符合性评估、CE/声明、说明支持期，并持续处理漏洞和报告。
CRA 的主要义务落在“以自己的名称或商标把产品投放欧盟市场”的制造商身上。即使生产外包，只要以你的品牌销售，你也可能是制造商。第三方组件也要做尽职调查，不能把责任全部推给供应商。
| 阶段 | 义务 | 可核查证据 |
|---|---|---|
| 设计与开发 | 风险评估；安全默认、访问控制、加密、更新等基本要求 | 风险分析、架构/数据流、设计决策 |
| 组件与供应链 | 对第三方组件做尽职调查，避免引入不可控风险 | 组件/依赖清单、版本、漏洞记录 |
| 上市前 | 技术文档、符合性评估、EU 符合性声明、CE 标记 | 技术文件、评估记录、声明 |
| 用户信息 | 安全安装/使用说明、支持期截止时间、制造商联系方式 | 说明书、包装/网站信息 |
| 上市后 | 在支持期内处理漏洞；报告被主动利用漏洞和严重事件 | 漏洞工单、补丁记录、报告回执 |
| 市场监督 | 保留技术文档，配合主管机构；必要时纠正/召回 | 文档索引、联系人、纠正记录 |
表中是义务摘要，不是法规全文。具体技术要求和文档清单以 CRA 附件及欧盟委员会指南为准。
重要/关键产品为什么要第三方评估？
默认可自评；重要/关键按 Annex III/IV 分类，class I 有条件自评，class II/关键需公告机构。
CRA 不是“所有产品都做同一种认证”。绝大多数默认产品可采用内部控制的自我评估；被列为重要或关键的产品，按类别和风险采用更严格的路径。重要产品 class I 在满足协调标准、通用规范或欧盟网络安全认证等条件时可能自我评估，否则需要公告机构；class II 和关键产品通常需要第三方评估或适用的欧盟认证。
| 类别 | 典型路径 | 关键条件 | 企业要准备 |
|---|---|---|---|
| 默认产品 | 内部控制/自我评估 | 满足基本要求并留存技术文档 | 风险评估、测试、文档、声明 |
| 重要产品 class I | 自我评估或公告机构 | 是否应用协调标准/通用规范/认证 | 标准符合性证据或第三方报告 |
| 重要产品 class II | 公告机构第三方评估 | 产品类别落入 Annex III | 技术文件、评估排期、整改 |
| 关键产品 | 公告机构/欧盟认证 | 产品类别落入 Annex IV | 更严格测试、供应链与持续监控 |
类别和路径以 CRA Annex III/IV 及其实施条例为准；表中不替代分类判断。不是所有“工业软件”都自动属于重要/关键产品。
漏洞和事件报告怎么报？
通过 ENISA 平台向 CSIRT 报告：24 小时预警、72 小时通知，漏洞 14 天、事件 1 个月内交最终报告。
报告义务不是“通知客户”或“发个邮件给进口商”就够了。制造商需要通过 ENISA 的 CRA 单一报告平台提交，接收方是主营业地的 CSIRT，并在通常情况下同步给 ENISA，再由 CSIRT 分发给产品投放市场的其他成员国。
| 节点 | 时限 | 内容/动作 |
|---|---|---|
| 早期预警 | 知悉后 24 小时内 | 提示被主动利用的漏洞或严重事件，启动报告编号 |
| 完整通知 | 知悉后 72 小时内 | 补充影响、产品、版本、处置等可用信息 |
| 漏洞最终报告 | 纠正/缓解措施可用后 14 天内 | 根因、修复、影响和防止复发的措施 |
| 严重事件最终报告 | 72 小时通知后 1 个月内 | 事件根因、影响、处置和后续计划 |
报告义务自 2026-09-11 起适用，并覆盖已投放欧盟市场的产品，包括 2027 年前上市的产品。具体字段和流程以 ENISA 平台与欧盟委员会指南为准。
技术文档和证据链要准备什么？
技术文档要能说明风险、设计、组件、漏洞处理、测试、支持期和用户说明；不是一张 CE 证书，而是可核查的证据链。
- 产品与版本：型号、固件/软件版本、预期用途、数据流和连接方式。
- 风险评估：威胁、攻击面、受影响资产、风险处置和剩余风险。
- 基本要求映射：安全默认、访问控制、加密、完整性、更新机制等如何满足。
- 组件与依赖：第三方组件/开源依赖的版本、来源、漏洞状态和更新策略。
- 测试与验证：功能/安全测试、漏洞扫描、渗透测试（如适用）、修复验证。
- 支持期与漏洞处理：支持截止时间、补丁节奏、披露策略、联系人。
- 用户信息：安全安装、配置、更新和停用说明，语言要能被用户和市场监督机构理解。
- 符合性证据：评估路径、EU 声明、CE 标记、公告机构报告（如适用）。
供应链上的角色怎么分工？
非欧盟制造商要与欧盟进口商/授权代表/分销商明确分工；进口商和分销商有核查义务，不能把合规全推给中国工厂。
CRA 的义务分布在制造商、进口商、分销商和可选的授权代表之间。进口商是把非欧盟产品投放欧盟市场、并以自己名义承担相应核查义务的欧盟主体；分销商要核查 CE 标记、用户信息和联系方式等。中国制造商即使不设在欧盟，也需要和欧盟伙伴把“谁提交报告、谁保留文档、谁对接市场监督”写清楚。
- 制造商：对产品设计、风险评估、技术文档、漏洞处理和报告负主要责任。
- 进口商：核查制造商已完成相关义务、技术文档和 CE 标记，保存必要信息。
- 分销商：核查 CE、用户信息和支持期等；发现问题时停止供货并通知上游。
- 授权代表：可按书面授权承担部分对接/文档任务；具体是否必需，应按销售模式确认。
现在最该先做什么？
先做产品盘点和范围判断，再建漏洞/事件流程与文档；报告义务已生效，优先把联系人、分级和 24/72 小时流程跑通。
不要从“买一份 CRA 模板”开始。先列出所有在欧盟销售或计划销售的产品、版本、数据连接、组件和欧盟伙伴；再判断类别和评估路径。报告义务已经生效，事件响应和漏洞处理应优先于宣传材料。
| 预算/人力科目 | 要做什么 | 成本驱动 | 常见遗漏 |
|---|---|---|---|
| 产品盘点与范围判断 | 型号/版本/数据流/欧盟销售模式清单 | 产品数量、变体、销售渠道 | 只盘整机，漏掉组件/软件 |
| 风险评估与差距分析 | 威胁建模、基本要求映射、整改清单 | 系统复杂度、现有安全成熟度 | 把合规章程当成风险分析 |
| 安全设计与测试 | 安全默认、权限、加密、更新、测试/渗透 | 产品数量、测试范围、外部实验室 | 只做上线前一次测试 |
| 技术文档与声明 | 技术文件、用户信息、支持期、EU 声明 | 文档基础、版本管理、语言 | 文档与产品版本脱节 |
| 符合性评估 | 自我评估或公告机构评估 | 产品类别、公告机构排期、整改轮次 | 低估排期和整改时间 |
| 漏洞处理与报告 | PSIRT/联系人、24/72 小时流程、平台提交 | 产品装机量、事件频率、值班能力 | 只有客服邮箱，没有安全联系人 |
| 上市后维护 | 补丁、支持期、组件更新、市场监督配合 | 支持年限、版本数量、供应链 | 没有为长期维护编预算 |
表中不提供统一价格：产品数量、类别、现有安全基础、公告机构排期和语言版本差异很大。预算是编辑框架，不是报价；CE 认证和法律责任应由合格机构/律师确认。
凌壹适合谁？
需要软件资产清单、权限/日志、事件流程、技术文档协作和私有化部署时，凌壹可配合；CE 认证/法律意见需公告机构和律师。
凌壹不是公告机构，也不出具 CE 证书或法律意见。我们能做的是：帮助梳理软件/设备的数据流和资产清单，完善权限、日志、审计和事件响应流程，配合技术文档中的软件部分，并在私有化/内网部署场景中落实版本和更新管理。正式分类、合格评定和市场准入应由具备资质的机构确认。
相关阅读：欧盟 AI Act 制造业指南、智能体规范与合规、AI 私有化部署成本、制造业出海官网。
常见问题
以下问题来自出口制造企业与软件团队的合规讨论，答案按欧盟委员会公开资料整理，不构成法律意见。
CRA 只适用于硬件吗？
不是。CRA 覆盖硬件、软件和组件，只要它们作为“产品与数字元素”在欧盟市场投放并具有直接或间接数据连接。是否适用仍要结合销售模式、预期用途和排除条款判断。
2027 年前是不是不用管？
不是。报告义务自 2026-09-11 起适用，并覆盖已投放欧盟市场的产品；2027-12-11 才全面适用其他主要义务。2027 年前上市的产品通常只在重大修改时适用，但报告义务仍可能覆盖。
我们只出口软件或 SaaS，适用吗？
可能适用，也可能不适用。独立软件、APP、组件和远程数据处理都可能落入范围；是否属于商业投放、远程处理是否由制造商负责且为产品功能所必需，需要逐项判断。
所有产品都要找公告机构吗？
不是。默认产品通常可自我评估；重要产品 class I 在满足协调标准/通用规范/认证等条件时可能自我评估；class II 和关键产品通常需要公告机构或适用的欧盟认证。
发现漏洞后要报告给谁？
通过 ENISA 的 CRA 单一报告平台提交，接收方是主营业地 CSIRTs，并通常同步 ENISA，再由其分发给相关成员国 CSIRT。不是只通知客户或进口商。
CRA 和 AI Act、NIS2 是什么关系？
三者范围和目标不同，可能在同一产品/服务上重叠。CRA 关注产品网络安全，AI Act 关注 AI 风险与合规，NIS2 关注关键/重要实体的网络与信息安全。具体适用需按产品和主体判断，不能互相替代。
来源、方法与局限
本文是公开资料研究和编辑整理，没有对具体产品做法定分类、合格评定或法律审查。来源为欧盟委员会 CRA 主页、制造商页面、报告义务页面、法规摘要和实施时间表；日期与要求以官方原文为准。CRA 的实施指南、标准和公告机构资源仍在推进，企业应持续复核。
- European Commission, Cyber Resilience Act（最后更新 2026-09-07）：官方页面。
- European Commission, Cyber Resilience Act — Manufacturers（最后更新 2026-08-14）：官方页面。
- European Commission, Cyber Resilience Act — Reporting obligations（最后更新 2026-09-11）：官方页面。
- European Commission, The Cyber Resilience Act — Summary of the legislative text（最后更新 2025-12-03）：官方摘要。
- European Commission, Cyber Resilience Act — Implementation（最后更新 2026-07-27）：实施时间表。