IT/AV终端检测认证事业部

澄清：笔记本、平板整机不属于CRA重要产品

做笔记本、二合一平板、安卓平板、商用平板、电脑ODM工厂注意！结合(EU) 2025/2392实施条例+欧盟官方统一判定逻辑，明确：所有消费/商用笔记本、平板电脑整机，都不属于CRA重要数字产品。

行业常见疑虑：

• 传言只要搭载完整操作系统，整机就要走第三方认证，单款电脑认证费用几十万
• 新品上市卡在认证周期，错过海外黑五、开学季等销售窗口期
• 多配置、多定制商用机型，每款单独认证，合规成本翻倍
• 分不清整机和独立系统边界，企业预算不知道该怎么规划

法定规则来源：EU 2025/2392 叙文5 + CRA官方FAQ

欧盟官方定死唯一判定标准：只看整机核心用途，不看内部搭载的安全类组件，解决行业疑惑。

法规核心原则：产品仅内置操作系统、浏览器、密码管理器等重要组件，不会直接升格为重要产品。原文以智能手机举例，官方同步明确该规则完全平移至笔记本、平板电脑。

两类产品清晰区分（电脑厂商必分清）

平板、笔记本核心功能是移动办公、影音娱乐、通用便携计算，主业并非操作系统、网络管控工具，因此整机默认归类普通类产品。

属于普通产品（Module A自主自评路径）：笔记本/平板整机——成品整机卖给客户、渠道。

属于I类重要产品（强制第三方公告机构审核）：单独对外售卖、授权Windows/安卓操作系统——单独系统方案供货给硬件厂。

直观对比举例：

• 零售笔记本、平板、安卓平板、商务二合一：主打办公、便携使用 → 普通产品
• 单独打包电脑OS授权给其他硬件厂商：核心是操作系统 → 重要产品
• 路由器、防火墙、工控网关：核心网络管控，直接划入重要产品

特殊工控平板补充提醒：普通商用办公平板不改变分类；核心功能为工业网关、网络防火墙、工控控制器的工业触控平板，才会被认定为重要产品，需要第三方认证。

整机不属于重要产品 ≠ 合规可以松懈

以下法规要求全部刚性落地，不存在简化通道：

• 安全原生设计：出厂默认安全配置、账号权限管控、本地数据加密、缩小攻击面
• 完整机器可读SBOM清单：覆盖固件、预装软件、第三方SDK、所有开源代码
• 最低5年安全更新周期：安全补丁与功能更新分开推送，免费提供给用户
• 完整漏洞管理体系：协调披露政策、用户漏洞反馈渠道、主动漏洞24小时内上报欧盟CSIRT

工厂自研三大致命短板：

• 不熟悉CRA对电脑设备的风险评估撰写要点，文档抽查直接驳回
• Windows多版本、海量预装软件、开源组件，梳理完整SBOM难度极大，极易遗漏漏洞
• 5年安全更新、24小时漏洞上报机制落地细节繁杂，自研容易遗漏合规条款

三大高频误区纠正

误区1：平板/电脑自带VPN、密码管理器、企业MDM = 重要产品
纠正：仅为附加功能，整机核心仍是办公终端，风险评估单独覆盖该模块即可，不改变产品分类。

误区2：高端商用笔记本、工业二合一平板会被单独划分
纠正：仅网络管控类工控平板例外，普通商用电脑统一为普通类产品。

误区3：预装杀毒软件 = 整机升级重要产品
纠正：杀毒软件属于内置组件，不改变整机定位，仅需在风险评估中专项说明。

两种合规路径与成本测算参考

方案1：企业内部自主完成全套合规

• 人力：专职合规+安全研发人员长期跟进法规，年人力成本十几万
• 周期：完整资料从零梳理需要1-2个月，每款新机、系统迭代都要重新更新文档
• 风险：无专业法规团队，文档极易出现不合规，抽查损失无兜底
• 表面优势：不用额外付第三方服务费

方案2：第三方一站式CRA合规配套服务

• 成本：远低于常年专职人力开销，多机型打包性价比高
• 周期：7-15天交付整套归档资料，不耽误新品海外排期
• 风险兜底：熟悉欧盟监管核查重点，提前排查所有不合规隐患
• 增值：整机+重要设备一体化打包服务，企业不用多方对接机构

成本测算参考：中型电脑ODM一年4款笔记本+3款平板，自建合规团队年人力投入15万起；选择一站式配套服务，全年打包费用更低，同时规避巨额罚款风险，综合成本大幅降低。

路径选择与时间节点提醒

• 仅做消费/商用笔记本、平板整机出口：优先选择第三方全套自评配套服务，低成本完成完整合规体系搭建，规避抽查风险
• 同时对外输出操作系统、工业网关、工控平板：整机配套+重要产品认证一体化办理，统一对接服务商，减少沟通成本
• 时间节点提醒：漏洞上报义务2026年9月生效，完整CRA法规2027年12月强制落地，现阶段提前梳理资料，避免后期扎堆拥堵

欧盟官方明确笔记本、平板电脑整机不属于CRA重要产品，省去强制第三方发证门槛，但绝不代表合规工作可以松懈。整套网络安全强制性要求全部保留，欧盟市场监管力度不会降低。