IT/AV终端检测认证事业部

联网产品出海欧盟三合一合规路线图：CRA+GDPR+EN 18031一次搞懂

产品要出口欧盟，到底要做CRA、GDPR还是EN 18031？这三个是不是一回事？做了一个是不是就不用做另外两个了？很多厂商对这三个法规的关系是糊涂的，花了三份钱做了大量重复工作。本文把三者关系讲清楚——各自管什么、重叠在哪、怎么一次投入同时满足三个要求。

三个法规各自管什么

GDPR——管个人数据保护（法律框架）。不管你用什么产品、什么技术，只要处理了欧盟个人数据，就得遵守。它管的是"数据怎么处理"，是法律层面的要求。

EN 18031——管无线设备的网络安全和隐私技术要求（协调标准）。它把GDPR的隐私要求和网络安全要求，具体化成无线设备可以测试的技术条款。做了EN 18031，就能推定符合RED指令的网络安全（3.3(d)）和隐私保护（3.3(e)）要求。

CRA——管所有含数字元素产品的网络安全和韧性（法规）。它比EN 18031范围更广（覆盖所有含数字元素的产品，不只是无线设备），要求更多（增加了SBOM、事件报告、NB评估等），罚款也单独设定。它管的是"产品全生命周期的网络安全和韧性"。

关键区别

• GDPR管"数据"，CRA管"产品安全"，EN 18031管"无线设备的技术标准"——三者管的对象不同，但都涉及网络安全和隐私保护
• EN 18031是标准，CRA和GDPR是法规——标准可以选择用或不用（但不用就要自己证明符合法规），法规必须遵守
• CRA的范围比EN 18031广——纯有线设备、软件产品不在EN 18031范围内，但在CRA范围内

共同要求：6项一次整改全部受用

这6项是三者的公约数：

• 默认密码整改（唯一初始密码或首次强制修改）
• 固件更新机制（签名验证、防回滚、安全传输）
• 漏洞披露渠道（安全邮箱、响应流程、CVD政策）
• 数据加密（传输TLS、存储AES-256、密钥管理）
• 访问控制和身份认证（强密码、多因素、权限分级）
• 操作日志系统（安全事件记录、防篡改、保留≥6个月）

各自的特殊要求

GDPR特有（法律和管理层面）

• 合法性基础（同意、合同、合法利益等）
• 用户权利保障（访问权、删除权、可携带权、反对权等）
• 隐私政策和告知义务
• DPIA（数据保护影响评估）
• 数据泄露72小时通知监管机构
• DPO（数据保护官）指定
• 数据处理协议（DPA）和标准合同条款（SCC）
• 跨境传输保障措施

CRA特有（产品安全治理层面）

• SBOM（软件物料清单）维护和提供
• 安全事件24小时报告ENISA和CSIRT
• 漏洞协调披露（CVD）政策和流程
• 安全更新支持周期声明（至少5年或产品预期寿命）
• 技术文档和符合性评估
• NB（公告机构）评估（Annex III/IV产品）
• 欧盟授权代表（非欧盟制造商必须指定）
• CE标志加贴和EU符合性声明

EN 18031特有（测试和认证层面）

• 按标准的具体测试用例进行测试
• CE-RED认证（通过EN 18031推定符合3.3(d)和3.3(e)）
• RED指令下的技术文档
• 欧盟公告机构（NB）的RED认证（部分产品需要）

注意：EN 18031的技术要求会被CRA的协调标准EN 40000-1-4继承并扩展。2027年CRA全面适用后，EN 18031下的网络安全条款（RED 3.3(d)）会被废止，但隐私保护条款（RED 3.3(e)）仍然有效。所以2027年后，无线设备需要同时满足CRA（网络安全）和EN 18031-2（隐私保护）。

四步走实施路线图

第一步：建立网络安全技术基线（1-2个月）

完成6项共同要求的产品整改，建立技术底座。产出：产品网络安全整改完成、内部测试通过。

第二步：补充GDPR法律和管理义务（2-4周）

数据映射、合法性基础确定、隐私政策编写、DPIA、用户权利机制、数据泄露响应计划、DPA和SCC。产出：GDPR合规文件包。

第三步：补充CRA产品安全治理（1-2个月）

产品分类判定、SBOM、CVD政策、安全更新支持周期声明、事件响应计划、技术文档、欧盟授权代表、NB对接。产出：CRA合规文件包。

第四步：EN 18031测试和认证（4-8周）

送样测试、整改复测、技术文档审核、CE标志加贴、EU符合性声明。产出：EN 18031测试报告、CE-RED证书、EU符合性声明。

关键时间线与过渡期策略

⚠️ 关键提醒：CRA的漏洞报告义务已于2026年9月11日生效。

不管你的产品是不是Annex III，只要在欧盟销售含数字元素的产品，就必须建立漏洞报告渠道，并在发现被利用的严重漏洞后24小时内报告ENISA和CSIRT。这个义务现在就要履行，不能等2027年。

2026年下半年：

• 立即做EN 18031（如果还没做）——这是当前CE认证的强制要求
• 同时按CRA要求建立漏洞管理流程（漏洞报告义务已生效）
• 开始准备SBOM和CRA技术文档（需要时间积累，不是临时能补的）
• 做DPIA（GDPR要求，且CRA的风险评估可以复用DPIA的部分内容）

2027年上半年：

• 完成CRA产品分类判定，确定是否需要NB评估
• 如需NB评估，提前联系NB排队（2027年下半年NB会非常忙）
• 按EN 40000-1-4草案补充安全控制措施
• 指定欧盟授权代表（非欧盟制造商）

2027年下半年：

• 完成CRA符合性评估（自声明或NB评估）
• 签署CRA的EU符合性声明，更新CE标志和产品标签
• 确保2027年12月11日前所有上市产品符合CRA

最后

核心策略：以6项共同要求为底座一次整改，GDPR和CRA的文档互相复用，过渡期同步推进，现在就建漏洞管理流程。