IT/AV终端检测认证事业部

2024年12月11日，欧盟《网络弹性法案》（Cyber Resilience Act，简称CRA）正式生效，这是全球首个覆盖硬件与软件全生命周期的强制性产品网络安全法规。对于无线产品制造商而言，CRA认证不再是"要不要做"的问题，而是"什么时候做"的问题——2027年12月11日之后投放欧盟市场的所有含数字元素产品必须完全合规。本文以「无线产品怎么办理CRA认证」为核心关键词，系统梳理CRA的核心框架、无线产品受影响范围、合规时间节点以及制造商核心义务。

一、CRA是什么：全球首个全生命周期网络安全法规

CRA全称Cyber Resilience Act（网络弹性法案），是欧盟于2024年通过并生效的重大法规，对所有在欧盟市场销售的含数字元素的产品（Products with Digital Elements）提出强制性网络安全要求。该法规的覆盖范围极其广泛——从智能手机、笔记本电脑到物联网设备、网络设备以及各类软件产品，均在监管之列。

CRA的核心目标是确保含数字元素的产品在整个生命周期内符合网络安全标准，从而保护消费者和企业的数据安全。它首次将网络安全合规从"行业自律"提升为"法律强制"，违规企业将面临最高1500万欧元或全球年营业额2.5%的罚款（以较高者为准）。

值得注意的是，CRA与现有的无线电设备指令（RED）存在交叉关系。RED指令Article 3.3(d/e/f)针对无线设备的网络安全要求已于2025年8月1日强制执行，执行标准为EN 18031系列。而CRA作为更广泛的框架性法规，覆盖所有含数字元素的产品，其合规时间节点如下：

2024年12月11日　CRA正式生效

2026年9月11日　漏洞报告义务开始生效——制造商必须开始报告所涉及的漏洞和严重事件

2027年12月11日　CRA全面适用——所有投放欧盟市场的含数字元素产品必须完全合规

二、哪些无线产品受CRA约束

CRA的适用范围以"含数字元素"为核心判断标准。对于无线产品而言，只要产品具备以下任一特征，即落入CRA监管范围：

具备数字处理能力　产品包含固件、软件、App或云后端中的任何一项

具备数据连接能力　蓝牙、Wi-Fi、Zigbee、LoRa、NB-IoT等均属于"物理或逻辑数据连接"

面向欧盟市场销售　产品在2027年12月11日之后投放欧盟市场即须合规

典型受CRA约束的无线产品包括但不限于：

• 蓝牙设备：蓝牙音箱、蓝牙耳机、蓝牙手表、蓝牙鼠标/键盘
• Wi-Fi设备：无线路由器、无线摄像头、无线投影仪、智能家居网关
• IoT设备：智能灯泡、智能门锁、智能插座、温控器、运动追踪器
• 通信终端：智能手机、平板电脑、智能眼镜
• 工业无线设备：工业网关、无线传感器、无线PLC模块

三、CRA对无线产品的五大核心要求

根据CRA第二章规定，制造商在产品全生命周期内须履行以下基本网络安全要求：

1. 安全设计义务　产品必须在设计、开发和生产阶段确保适当的网络安全水平。禁止投放含已知可利用漏洞的产品。这意味着无线产品的固件、通信协议栈、加密实现等核心组件，必须在上市前经过充分的网络安全评估。

2. 默认安全配置　产品的默认配置必须是安全的——用户无需额外操作即可获得基本安全防护。对于无线产品而言，这意味着出厂状态下必须启用必要的加密、认证机制，不得以"方便使用"为由降低安全等级。

3. 风险评估义务　制造商必须开展网络安全风险评估，并在规划、设计、开发、生产、交付和维护的全阶段持续更新评估结果。风险评估不是一次性的工作，而是贯穿产品生命周期的持续性义务。

4. 漏洞管理义务　制造商必须明确产品的安全支持周期——至少5年（如产品预期使用期不足5年则按实际使用期计算）。在此期间，制造商须提供安全更新，并建立漏洞报告和协调披露机制。

5. 第三方组件尽职调查　集成第三方组件（含开源软件）时，制造商必须检查组件制造商的合规性（检查CE标记）、核实定期安全更新、确认不存在欧洲漏洞数据库或其他公开漏洞数据库中已登记的漏洞。

四、CRA与RED的交叉合规要点

无线产品同时受到CRA和RED指令的双重约束，两者的侧重点存在差异：

对于无线产品制造商而言，CRA合规不能替代RED合规，反之亦然。两个法规各自独立适用，产品必须同时满足两者的要求。从实操角度看，建议先完成RED Article 3.3(d/e/f)的EN 18031合规测试，再在此基础上补充CRA全生命周期风险管理要求。

五、无线产品CRA认证的实操建议

面对CRA合规时间表的推进，无线产品制造商应尽早启动以下工作：

启动网络安全风险评估　CRA要求制造商在产品设计之初就进行网络安全风险评估，并贯穿整个生命周期。建议使用STRIDE或ISO 27005等成熟方法论，对无线产品的通信协议、加密机制、固件更新流程进行全面评估。

完善技术文档体系　CRA要求全面的技术文档支持，包括风险评估报告、安全设计说明、漏洞管理策略、安全更新计划等。建议在现有CE技术文档基础上，按CRA要求进行补充和扩展。

建立漏洞报告机制　2026年9月11日前必须建立漏洞报告渠道，包括面向安全研究者的漏洞接收机制和面向监管机构的严重事件报告流程。

确认安全支持周期　明确产品的安全更新承诺期限（至少5年），并在产品说明中向用户披露安全支持的时间范围和更新方式。

选择专业合规机构　CRA合格评定模型尚未完全明确，但已有既定路线。建议提前与具备网络安全检测能力的专业机构合作，获取定制化合规方案。更多CRA认证服务信息，可访问广磁认证服务。

六、高频疑问解答

本文由AI辅助生成，内容仅供参考，不构成任何认证承诺或法律建议，具体以欧盟官方最新法规为准。

联系手机：13925591357