IT/AV终端检测认证事业部

网络安全认证检测服务概览（GTG 广测电磁网络安全实验室）

这两年帮客户做出口认证，一个很直接的体会是：网络安全合规的摊子铺得比预想快。欧盟 CRA 2024-12-10 生效，EN 18031 在 2025-08-01 强制，GB/T 45577-2025 也于 2025-11-01 实施；往后面看，CRA 的安全事件报告义务 2026-09-11 起算，主要义务 2027-12-11 全面适用。对一台带联网功能、要卖到海外的产品来说，这套工序已经绕不开，不是可选项。

下面按区域把现在常碰到的 20 项标准（欧盟 7 项、美英日 7 项、澳/国际/中国 6 项）归到一起，再挑影响面大的 4 项——CRA、EN 18031、FCC Cyber Trust Mark、GB/T 45577-2025——拆开讲，末尾附一条落地路径，做合规时可以直接当清单用。

01为什么出海产品都绕不开网络安全合规了

盯这几个市场久了会发现，合规负担变重，根子在三件事，都不是空话：

法规从"原则"落到"强制"。　CRA 把所有带数字元素的产品纳入合格评定、要求加贴 CE 标志；EN 18031 把 RED 指令第 3.3(d/e/f) 条款从行业自觉变成准入门槛；PSTI 早自 2024 年 4 月 29 日起强制消费 IoT 三项最低要求，违者最高罚 1000 万英镑或全球营业额 4%。

监管对象从"显性产品"扩到"全连接产品"。　CRA、EN 18031、EN 303 645、NIST IR 8425、JC-STAR、PSTI、GB/T 45577-2025 把路由器、摄像头、IoT 网关、智能家电、儿童手表、带支付的智能终端一起装进监管视野，传统 EMC/RED/安规之外又叠了一层。

文档从"加分材料"变成"通关材料"。　CRA 附件 VII、EN 18031 技术文件、PSTI 符合性声明、JC-STAR 自评检查表都对文档结构、内容深度提出明确要求，缺一项就可能被发证机构或市场监督机构直接退回。

02三大区域管法不同：欧盟、美英日、澳/国际/中国

欧盟、美英日、澳/国际/中国这几块市场，管法完全不是一个思路，动手前得先认准产品要去哪儿。

欧盟｜横向"全栈"覆盖。　既有按产品的 CRA、EN 18031、EN 303 645，也有按"主体行为"的 GDPR、AI Act、Data Act，还有按"行业"的基础设施指令 NIS2——同一台设备可能要同时应对 3～4 项。

美英日｜纵向"联邦+州/行业"分层。　美国有联邦层 NIST IR 8425、FCC Cyber Trust Mark 标签，州层 CCPA、SB 327，行业层 COPPA；英国 PSTI 自 2024-04-29 强制；日本 JC-STAR 已开放 ★1 申请、★2 起 2026-01 开放。

澳/国际/中国｜行业切入。　澳大利亚 2025 年起施行智能设备安全标准；IEC 62443 系列面向工业自动化、IEC 81001-5-1 面向医疗；中国 GB/T 45577-2025 与 GB/T 20984-2022 配套，为数据安全与信息系统风险评估提供国标依据。

0320 项主流项目速查（按区域分组）

清单按本图原样列出来，做合规时可照着产品类目一项项勾，先看自己落在哪一组。

欧盟 7 项　CRA《网络弹性法案》、GDPR《通用数据保护条例》、AI Act《人工智能法案》、Data Act《数据法案》、NIS2《网络与信息系统安全指令》、EN 18031《无线电网络安全指令》、EN 303 645《消费类物联网安全基线》。

美英日 7 项　NIST IR 8425、FCC Cyber Trust Mark、CCPA《加州消费者隐私法案》、SB 327《加州联网设备信息安全法》、COPPA《儿童在线隐私保护法》、日本 JC-STAR、英国 PSTI。

澳/国际/中国 6 项　澳大利亚智能设备网络安全标准、IEC 62443-4-1、IEC 62443-4-2、IEC 81001-5-1、GB/T 45577-2025《数据安全风险评估方法》、GB/T 20984-2022《信息安全风险评估规范》。

04值得先吃透的 4 个标准（2026 年视角）

①　欧盟 CRA《网络弹性法案》　2024-12-10 生效，2026-09-11 起安全事件报告义务起算，2027-12-11 主要义务全面适用。所有带数字元素的产品（含软件）都需做合格评定、加贴 CE 标志；列入"重要/关键"类的还需第三方合格评定。已受 MDR、机动车、航空等专门法规监管的产品不重复适用。

②　EN 18031（RED 网络安全协调标准）　2025-01-30 列入 OJEU，2025-08-01 强制。三部分分别对应 RED 第 3.3(d/e/f)：-1 联网无线设备、-2 处理个人数据（儿童看护、玩具、穿戴）、-3 涉及互联网货币交易。医疗器械、相关航空/道路交通设备不适用 3.3 部分条款。

③　日本 JC-STAR　2025-03-25 由 METI + IPA 启动。★1 自 2025-03 接受申请、采用自声明；★2～★4 强制第三方实验室评估，2026-01 起逐步开放申请，★1 有效期最长 2 年。已与英国 PSTI（2026-01-01 起）、新加坡 CLS（2026-06-01 起）实现互认；与欧盟 CRA、美国相关标签计划的互认谈判仍在进行中。

④　GB/T 45577-2025《数据安全风险评估方法》　2025-04-25 发布、2025-11-01 实施，国家市场监督管理总局、国家标准化管理委员会发布。给出"场景+要素"双维度评估模型和五阶段流程（评估准备→信息调研→风险识别→分析与评价→评估总结），是《数据安全法》《个人信息保护法》落地的重要配套技术标准。

05企业落地合规，通常分四步

第 1 步　识别适用标准。　按目标市场、是否联网、是否处理个人数据、是否涉及支付四类问题，对照本图 20 项清单做"打勾表"，明确必做项与免做项。

第 2 步　做差距评估。　对照每项标准的具体条款，识别当前软硬件设计、默认配置、密码策略、漏洞披露流程、安全更新机制、文档结构的差距，按风险优先级列改进清单。

第 3 步　技术改进 + 文档起草。　把"禁用通用默认密码、关闭无关接口、明确安全更新期、漏洞披露联系方式、唯一性编码"这些基本项做到位；技术文档按 CRA 附件 VII、PSTI SoC、JC-STAR ★1 检查表等具体要求起草，不要自创模板。

第 4 步　送检 / 自评 / 加贴标志。　自声明类（PSTI、JC-STAR ★1、EN 18031 自评估部分）按规则留存技术文件；第三方类（CRA 重要/关键产品、JC-STAR ★3/★4、EN 18031 涉及 NB 介入部分）送具备相应授权范围的实验室。CE 标志按 CRA 规定加贴。

06选服务方，重点看四条

① 资质能否对得上项目。　不同项目对应不同授权范围：欧盟体系需公告机构（NB）出具、EN 18031 需 RED 范围内的授权机构、JC-STAR ★3/★4 需 METI 认可的第三方实验室、FCC Cyber Trust Mark 需 CLA 指定的 CyberLAB——一个授权范围通吃所有项目的情形并不存在。

② 是否真能写技术文档。　CRA、PSTI、JC-STAR 对项目文档的结构与深度都有明确要求，服务方能不能代起草"主要文档、企业只做少量确认"，往往决定了这个项目是省力还是耗时——不是所有实验室都愿意、也都能写到那个深度。

③ 工程师有没有"实战"底子。　网络安全合规不是把通用清单套上就完事，漏洞复现、渗透思路、固件逆向这类"实战"经验，直接决定差距评估挖得深不深、改进方向指得准不准。问服务方，攻防技术背景比"做过多少项目"更该问。

④ 能不能把企业"带得动"。　CRA、PSTI 都带着"安全更新期"这类持续性义务，要求企业有专门团队跟进。服务方如果只管"取证"、不管"陪跑"，企业后续运营成本会一直累加——选长期陪跑型，比选单次取证型更稳。

07GTG 广测电磁网络安全实验室

聊到服务方，企业反复问的就四个问题：资质范围、文档能力、攻防经验、行业积累。结合我们实验室实际可提供的服务，拆成三点说：

优势一　双资质齐全。　GTG 广测电磁网络安全实验室已获得 CNAS(L18872) + A2LA(6947.01) 双资质，资质齐全。

优势二　行业书籍沉淀，客户朋友反响不错。　实验室团队把内部踩过的坑写成可复用的方法论，已出版《EN 18031 实战大全》（公司部分资料中亦标注为 EN8031 系列）和《网络弹性法案 CRA 落地全书》两本书，做项目时直接拿来对照，少走弯路，不少客户朋友反馈实用。

优势三　代起草主要文档 + 实战级防护。　网络安全实验室代为起草所需的主要文档（如 CRA 技术文件、PSTI 符合性声明、JC-STAR ★1 自评检查表等），客户仅需进行少量确认工作即可；实验室团队具备漏洞复现、渗透测试、固件分析等实战攻防技术与经验，所提供的防护以"实战级"为目标，不停留在通用清单的层面。

联系邓工 13925591357，获取网络安全认证方案与资质匹配建议。

常见问答

Q1　消费类 IoT 产品通常先做哪几项？

A1　通常是"EN 303 645 + PSTI + JC-STAR ★1"三件套打底，目标欧盟再加 EN 18031（若带无线电），目标美国再考虑 NIST IR 8425 与 FCC Cyber Trust Mark（自愿性，但 2025 年起零售商已普遍优先采购带标签产品）。

Q2　工业控制产品做 IEC 62443 还要再做 CRA 吗？

A2　需要分别规划。IEC 62443-4-1/4-2 偏重系统/组件安全开发流程与安全等级要求；CRA 偏重带数字元素产品上市前的网络安全义务。两者标准路径不重叠，做完 IEC 62443 通常可作为 CRA 文档中"漏洞处理"与"安全开发"章节的重要支撑，但不是替代关系。

Q3　医疗设备做哪个？

A3　医疗设备属 CRA 排除范围，按医疗器械法规 MDR/IVDR 路径走；网络安全部分参考 IEC 81001-5-1 及配套 YY 标准。具体要求以医疗器械法规及配套标准为准，避免误套 CRA 路径造成重复合规。

Q4　已经做了 GDPR/CCPA，还需要做 CRA 吗？

A4　需要。GDPR 解决"个人数据处理合规"，CRA 解决"产品全生命周期的网络安全义务"，两者监管对象、覆盖环节、违规口径均不同。同一台联网产品在欧盟可能既要满足 GDPR，也要满足 CRA，需分别规划文档与流程。

Q5　FCC Cyber Trust Mark 是强制吗？

A5　目前是自愿性标签计划，由 FCC 监管、UL Solutions 担任 Lead Administrator。2025 年 1 月正式启动后，主流零售商与平台普遍优先采购带 Trust Mark 标识的无线消费 IoT 产品；虽非强制，但已成消费类无线联网产品进入美国零售渠道的事实性加分项。

关键词｜网络弹性法案 CRA　欧盟 RED 网络安全 EN 18031　EN 303 645 消费类物联网基线　NIS2 指令　GDPR　AI Act　NIST IR 8425 消费 IoT 基线　FCC Cyber Trust Mark　CCPA　SB 327　COPPA　JC-STAR ★1～★4　PSTI 法案　澳大利亚智能设备安全标准　IEC 62443-4-1　IEC 62443-4-2　IEC 81001-5-1　GB/T 45577-2025 数据安全风险评估方法　GB/T 20984-2022 信息安全风险评估规范

— 本文仅供行业交流与信息参考，不构成任何形式的认证承诺、检测建议或法律意见 —

依据：欧盟《网络弹性法案》（Regulation (EU) 2024/2847）、欧盟 RED 指令补充授权法案 (EU) 2022/30 与 EN 18031 系列协调标准、英国 PSTI Act 2022 与 PSTI Regulations 2023、日本 METI《JC-STAR 启动公告》（2025-03-25）、美国 FCC《Cyber Trust Mark》最终规则、NIST IR 8425《消费类 IoT 产品网络安全核心基线》、GB/T 45577-2025《数据安全技术 数据安全风险评估方法》（国家市场监督管理总局、国家标准化管理委员会 2025-04-25 发布、2025-11-01 实施）、GB/T 20984-2022《信息安全技术 信息安全风险评估规范》、EN 303 645、IEC 62443-4-1/4-2、IEC 81001-5-1。

联系邓工 13925591357