IT/AV终端检测认证事业部

别再踩坑！出口欧盟农机：拖拉机、收割机≠汽车，拿不到CRA豁免！

很多农机出口圈流传"汽车可以豁免CRA，拖拉机也能豁免"的说法，这是一个致命误解。本文讲清楚CRA豁免的法律边界、农机面临的时间节点，以及现在该做什么。

欧盟CRA（网络韧性法案）豁免有明确法律边界，普通家用轿车、轻卡能豁免，但是农用拖拉机、联合收割机、采棉机一律不享受这条法定豁免。

到底什么车才能直接豁免CRA？

✅ 可以直接豁免的代表：

• M类：家用轿车、SUV、7座MPV、大巴、公交车
• N类：蓝牌轻卡、重卡、厢式货车、道路上牌的消防车、洒水车
• O类：货运半挂车、家用拖挂房车

核心判断：看它属于哪一套型式认证法规，不是看能不能上马路。

不在豁免名单：3类农机设备

1. T类农林拖拉机（Reg 167/2013）：不能豁免CRA！

哪怕你的拖拉机在欧盟允许合法上路行驶，它的法律身份依旧是农林车辆T类，不归GSR汽车法规管，不在CRA法定豁免清单内。

划重点：你做了UN-R155拖拉机网络安全，只能做风险评估资料复用，不等于豁免CRA全部义务。

行业协会CEMA也在游说欧盟希望拿到授权豁免，但截至2026年9月，欧盟委员会还没有出台生效的委托法案，法律层面没有现成豁免可用，企业不能自己脑补已经豁免。

2. 联合收割机、青储机、采棉机：完全不在车辆大类，属于机械法规2023/1230。

新机械法规确实新增了针对控制系统防篡改的网络安全条款，但是它只管"被黑客篡改之后造成人身机械伤害"，覆盖不了CRA全套义务：漏洞上报、安全更新生命周期、SBOM软件物料清单、漏洞披露政策等。

欧盟官方明确：机械法规 ≠ CRA等效保护，两套法规要同时合规，不存在自动豁免。

3. 工程机械挖掘机、装载机、沙滩车ATV，同样不在M/N/O，无此豁免。

同一款ECU控制器的双重身份

时间节点：不是遥远未来

（1）2026-09-11：漏洞、安全事件上报义务正式生效。

只要你的农机带数字元件 + 可预见数据连接（CAN诊断口、USB、4G、GPS，甚至调试JTAG口都算），就要建立漏洞上报流程，出现被利用漏洞要24小时内启动上报流程。不管2027年的全套合规，这条现在就要准备好。

（2）2027-12-11：CRA全部义务强制落地。

绝大多数拖拉机、收割机属于CRA里的Default普通产品类别：不需要第三方NB机构发证，采用Module A制造商自我声明模式。

• 网络安全风险评估报告
• SBOM软件物料清单
• 漏洞管理、漏洞接收披露政策
• 产品安全支持周期说明
• 用户手册增加网络安全相关说明
• 出具CRA的欧盟符合性声明，加CE标识
• 全套技术档案保留至少10年，接受市场监管抽查

唯一例外：你的机型是彻底纯离线，没有任何可以读写的物理/逻辑接口，没有CAN诊断口、没有USB、无任何无线连接，才不在CRA管辖范围内。现实中现在几乎所有新款农机都带电控诊断接口，基本都会触发CRA。

农机厂现在该干什么？

1. 产品盘点，逐个机型做范围判定

区分拖拉机、收割机、配套机具，梳理每台机器有哪些数字元件、对外接口，判断是否落入CRA范围。配套后装机具、独立控制器要单独评估，不能跟着拖拉机主机混为一谈。

2. 已有UN-R155资料不要扔，可以复用，但不能躺平

T类拖拉机已经做完R155评估报告，可以拿来复用做CRA风险评估素材，但是必须补齐CRA独有的要求：SBOM、漏洞上报流程、支持周期、用户告知文档，不能直接等同于CRA完事。

3. 供应链前置管理，向电控供应商索要资料

ECU、HMI显示屏、远程终端，向零部件供应商索要固件信息、组件清单、漏洞响应机制。很多农机厂过去只管硬件性能，软件物料这块是短板，越早对接越好。

4. 先把漏洞响应流程搭建起来（优先！因为2026年9月就生效）

设立漏洞接收联系邮箱，制定内部流程：收到漏洞怎么评估、处置、上报。不用一下子做到完美，但要有可执行书面流程，市场监管机构会核查。

5. 不要轻信中介口头承诺"农机可以CRA豁免"

凡是告诉你"拖拉机收割机直接CRA豁免"，让你跳过全套技术文件，一定要让对方出示欧盟正式生效的Delegated Act委托法案原文，目前这份法案还没有出来。

写在最后

补充：罚款上限可达全球年营业额的2.5%，风险不容忽视。