IT/AV终端检测认证事业部

一文理清欧盟三层法律体系：看懂CRA、NIS2、GDPR底层逻辑

做储能、工控、出海制造业的朋友，经常被一堆欧盟法规名词绕晕：同样是欧盟规则，为什么CRA、GDPR叫条例直接全欧盟生效，NIS2叫指令各国还要单独立法转化？什么是一级/二级/三级立法？EN、hEN协调标准又算不算法律？本文用分层逻辑一次性拆解。

第一层：一级立法（欧盟"宪法"，最高效力）

定义与文件：一级立法（Primary Law）是欧盟根基条约，相当于欧盟根本大法，所有条例、指令、细则都不能与其冲突，否则直接失效。核心文件：《欧盟条约 TEU》《欧盟运行条约 TFEU》《欧盟基本权利宪章》。

核心职能：

• 划定欧盟立法权限（比如TFEU第114条是数字安全、内部市场法规立法依据，CRA/NIS2/GDPR全部基于本条出台）
• 规定三类二级法律（条例/指令/决定）、三级细则（授权/实施法案）的制定规则
• 欧盟法院判定法规无效的唯一最高依据

企业实操视角：企业不用通读条约，但所有合规法规的合法性源头都来自一级立法。

第二层：二级立法（企业最常接触）

（一）条例 Regulation（GDPR、CRA网络弹性法案）

核心特征：

• 全欧盟直接生效，无需各国国内立法转化
• 27国统一法条、统一罚款标准、统一执行规则，各国无权修改核心强制条款
• 执法直接引用欧盟原文，不用看各国本土法律

典型案例：

• GDPR (EU) 2016/679：数据保护条例，全欧洲一套数据合规规则
• CRA (EU) 2024/2847 网络弹性条例：管控BMS、储能PCS、工控、联网软硬件产品

通俗类比：对标国内《民法典》，全国统一法律，各地不能自行修改法条。

（二）指令 Directive（NIS2、关键实体韧性指令）

核心特征：

• 仅设定最低合规底线，强制成员国完成国内立法转化
• 各国必须修改本国网络安全法/出台新法，把指令义务写入本土法典
• 各国只能加码、不能降低底线（镀金 Gold-plating），本土法律名称各不相同
• 当地监管执法只能引用本国转化后的法律，不能直接引用欧盟指令原文

典型案例：

• NIS2 (EU) 2022/2555 网络与信息安全指令：管控欧洲工厂、储能电站运营安全
• 德国转化后：修订《联邦信息安全法 BSIG》
• 匈牙利转化后：2024年第69号网络安全法案

通俗类比：国家出台政策文件，各省自行出台实施细则，底线统一，地方可加严要求。

条例 VS 指令核心对比（出海必看）：

条例：全欧盟直接生效，无需各国国内立法转化；27国统一法条、统一罚款标准、统一执行规则；执法直接引用欧盟原文。

指令：仅设定最低合规底线，强制成员国完成国内立法转化；各国只能加码、不能降低底线；当地监管执法只能引用本国转化后的法律。

第三层：三级立法（欧委会单独出台配套细则）

定义：三级立法（非立法性法案），无议会、理事会共同立法流程，由欧盟委员会依据二级大法授权单独制定，仅细化执行流程、技术标准，不能修改二级法核心义务。分两类：

• 授权法案 Delegated Acts：补充、微调二级法非核心技术条款（如CRA规定哪些硬件必须做安全认证）
• 实施法案 Implementing Acts：统一全欧盟申报、上报、审计流程（如NIS2统一事故上报模板）

关键区分：三级立法=欧盟法定文件，属于法律。很多人混淆：EN/hEN标准≠三级立法！三级立法是欧委会发布、具备强制法律效力；EN/协调标准是民间标准化组织编写的技术文档，不属于任何一级欧盟法律。

实操案例：NIS配套实施条例、CRA统一SBOM物料清单细则，均为三级立法，企业必须遵守。

极易混淆：EN/hEN标准不属于欧盟法律三层体系

三大标准组织（非欧盟政府机构）：CEN（通用工业）、CENELEC（电工电子、储能BMS）、ETSI（通信网络），属于民间行业联盟，不是欧盟委员会下属部门。

普通EN标准 vs hEN协调标准：

• 普通EN：行业通用技术规范，无法定推定合规效力，不属于法律
• hEN协调标准：欧委会下发标准化委托（Mandate），编写后刊登《欧盟官方公报》，获得推定合规红利
• 仅适用于CRA、RED这类产品类条例
• NIS2、GDPR属于运营/数据法规，无对应委托，不存在配套hEN协调标准

核心误区澄清：EN 40000（CRA配套）只是技术标准，不是二级/三级立法；满足hEN仅推定产品合规，不代表免除法律义务，监管仍可核查。

机构通俗对标，快速理解立法分工

• 欧盟委员会：行政执行机构。拥有立法提案权（起草CRA/NIS2/GDPR草案）、单独出台三级细则、监管各国落地。
• 欧洲议会+欧盟理事会：联合立法机构。二级条例、指令必须两者共同投票通过才生效。
• CEN/CENELEC/ETSI三大标准组织：对标国内各行业全国标准化技术委员会，官方对接单位为国家标准化管理委员会SAC。

CRA、NIS2、GDPR分层落地对照

CRA (EU) 2024/2847 网络弹性条例——条例，产品类
管控BMS、储能PCS、工控、联网软硬件产品；有配套hEN协调标准（推定合规）。

NIS2 (EU) 2022/2555 网络与信息安全指令——指令，运营类
管控欧洲工厂、储能电站运营安全；无配套hEN协调标准。

GDPR (EU) 2016/679 数据保护条例——条例，数据类
全欧洲一套数据合规规则；无配套hEN协调标准。

总结

• 三层欧盟法律：一级条约（宪法）→二级条例/指令（核心合规大法）→三级授权/实施细则（欧委会配套规则）
• 看名称分辨规则差异：后缀Regulation=条例全欧盟统一；Directive=指令各国需立法
• hEN协调标准仅适配产品类条例（CRA），运营类指令NIS2、数据条例GDPR无配套协调标准
• 所有EN标准不属于欧盟法律层级，仅为技术佐证文件，不能等同于立法细则