联系方式
全国免费服务热线
400-7558988
固话：0769-85075888-6618
手机：13925591357
传真：0769-85075898
邮箱：net04@gtggroup.com
地址：广东省东莞市松山湖园区科技八路2号华灿产业园
CRA 标准进度｜符合性推定何时落地？
CRA标准进度｜符合性推定何时落地？
很多做IoT、硬件、联网产品的企业都在问：CRA协调标准到底什么时候正式落地？现在的草案能不能拿来做符合性推定？能不能直接走自我评估？本文整理了目前全部CRA协调标准的最新进度、状态清单以及各草案节点，帮你一次性理清横向标准、产品专项标准的进展。
关键数据速览（截至2026年10月30日）
- 0份：已在欧盟官方公报发布，暂无符合性推定
- 17份：ETSI草案处于采纳流程，EN 304 6xx征求意见稿可免费阅读
- 35份：M/606委托下，ETSI、CEN/CENELEC正在跟踪的草案标准总数
- 2027年12月11日：CRA强制要求生效，无论协调标准是否发布
当前整体进度：尚无任何标准刊载引用
截至2026年10月30日，尚无任何CRA协调标准在欧盟官方公报发布，因此第27条第1款规定的基于标准的符合性推定暂不可用。
首批两项标准：审批中，但预计不刊载引用
首批两项CRA标准正处于CEN-CENELEC审批阶段。CEN-CENELEC数据库显示EN 40000-1-1（术语词汇）与EN 40000-1-2（基本原则、产品风险管理及生命周期活动）状态为"审批中"，计划于2026年11月2日正式批准为EN标准。CEN-CENELEC标注这两项标准预计不会在欧盟官方公报刊载引用。因此，两项标准均不产生符合性推定效力，也不能单独为I类重要产品开启基于标准的自我评估路径。
17份ETSI产品草案：全部处于采纳流程
EN 304 6xx系列所有征求意见草案均可公开阅读。ETSI在8月13日发布的通知显示，不同草案流程结束时间介于2026年9月中旬至11月中旬。意见征集截止时间由各国国家标准化机构确定。EN 40000-1-3（漏洞处置）、prEN 40000-10（身份与访问）、prEN 40000-11（硬件安全盒）、芯片类标准prEN 40001-3、40002-3、40003-3以及prEN 18330，均在CEN或CENELEC的采纳流程当中。
其余标准：尚在早期阶段
EN 50770系列工业物联网（OT）配置文件、通用安全要求EN 40000-1-4仍处于编制阶段。prEN 40004-3（专用集成电路ASIC与现场可编程门阵列FPGA）已于2026年9月25日进入CENELEC征求意见；智能电表网关对应的标准目前尚未分配编号。
企业无需等待标准发布：可以阅读对应草案提前掌握要求，无论正式标准是否出台，都按照CRA附录I要求准备合规证明材料。
符合性推定的机制与作用
《网络弹性法案》使用通用法律条文确立基础网络安全要求。协调标准是欧洲标准化机构应欧盟委员会委托编制的技术规范，它把法案的法律要求转化为具体、可检验的技术条款。
协调标准只有在欧盟委员会于《欧盟官方公报》刊载引用条目之后，才具备法律效力。自刊载之日起，符合该标准的产品，即可推定满足该标准所覆盖的法案要求。实际带来两点作用：
- 制造商获得公认、可检验的合规证明路径
- 针对I类重要产品，已发布的协调标准允许制造商采用内部管控开展自我评估，无需公告机构介入
注意：协调标准不能免除II类重要产品、关键产品所需要的第三方评估；不在上述分级内的普通产品本身就允许自我评估。协调标准是获得符合性推定的三种途径之一。依据第27条第8款，欧盟网络安全认证体系下颁发的证书是另一条路径，但目前还没有适配CRA的认证体系获得认可。
标准编制体系：M/606委托与机构分工
欧盟委员会通过M/606标准化委托（委员会执行决议C(2025)618 final，2025-02-03发布）委托CEN、CENELEC、ETSI开展标准编制。
ETSI（技术委员会CYBER、CYBER-EUSR）：负责绝大多数重要软件、联网产品标准，编号为EN 304 6xx，整体进度最快。草案可以在ETSI-CYBER-EUSR公开咨询文件夹查阅。
CEN、CENELEC：编制EN 40000-1系列横向标准；EN 50770工业控制OT配置文件；芯片与安全元件平台标准EN 40001-3~EN 40004-3；CEN/TC224负责身份管理、硬件安全盒、芯片卡相关标准：EN 40000-10、EN 40000-11、EN 18330。
三个相互独立的里程碑：
采纳流程 → EN标准批准 → 官方公报刊载引用。只有官方公报刊载引用才会产生符合性推定。企业可以参考草案预判要求，但草案不能作为正式合规依据。
M/606委托将工作划分为A/B/C三类：A类框架标准（通用原则）、B类漏洞处置标准、C类产品专项标准。表格内时间为交付截止日期——即标准化机构向欧盟委员会提交标准文本的最晚时间，不是正式发布日期。截至2026-10-17，没有生效的修订文件，仍沿用原始委托的时间。
标准编号归属说明：
- EN 304 6xx：ETSI编制
- EN 40000-1-x：CEN-CLC/JTC 13编制（横向标准，适用于所有带数字组件的产品）
- EN 40000-10、EN 40000-11、EN 18330：CEN/TC 224编制
- EN 50770：CLC/TC 65X工业控制OT配置文件
- EN 40001-3 ~ EN 40004-3：CLC/TC 47X编制，依次替代旧项目代号EN 50765、EN 50766、EN 50764、EN 50767
关键提醒：I类重要产品清单对应附录III，一份已发布协调标准可以允许I类制造商采用内部管控自我评估；II类重要产品始终需要公告机构开展第三方评估；关键产品（附录IV）在有强制要求时必须使用欧盟网络安全认证体系，无强制认证体系情况下适用与II类产品相同的第三方评估路径。39、40、41项涉及高敏感关键产品，在受限框架内开发，草案不对外公开。
常见问题（FAQ）
Q：是否已经有生效的CRA协调标准？
A：没有。截至2026-10-17，没有任何CRA协调标准在欧盟官方公报刊载引用，第27条第1款基于标准的符合性推定暂不可用。CEN-CENELEC首批两项标准EN 40000-1-1、EN 40000-1-2标记为"审批中"，计划2026-11-02批准为EN标准，但两者预计不会登上官方公报。全部17份EN 304 6xx系列ETSI产品草案处于ETSI采纳流程。采纳为EN标准、官方公报刊载引用是相互独立步骤；欧盟委员会尚未确认刊载引用的时间。
Q：EN 40000-1-1、EN 40000-1-2是否产生符合性推定？
A：不会。CEN-CENELEC数据库标注两份标准"针对指令2024/2847，不预期刊载引用"。依据第27条第1款，只有官方公报刊载引用的协调标准才产生符合性推定。仅仅使用这两份标准文本，不能单独证明产品合规，也不能为I类重要产品开启基于标准的自我评估。但企业仍然建议阅读：EN 40000-1-1定义整套标准使用的术语；EN 40000-1-2描述通用网络安全原则与全生命周期风险管理活动，对企业风险评估工作具备参考价值。
Q：我必须等待协调标准发布才能满足CRA要求吗？
A：不需要。协调标准只是证明合规的其中一条路径，不是唯一路径。CRA义务按照法案自身时间节点生效，无论标准是否出台。企业可以直接满足附录I基础要求，并在技术文档记录如何实现。正式发布的协调标准仅仅提供公认、可检验的合规证明路径，并且只为I类重要产品开放内部管控自我评估。
Q："符合性推定"实际能带来什么？
A：依据第27条：产品符合官方公报刊载引用的协调标准，即推定产品满足该标准覆盖的附录I法案要求。实际给企业一份可靠、公认的合规声明依据；针对I类重要产品，可以采用内部管控自我评估，不用找公告机构。但不会改变II类、关键产品第32条所要求的第三方评估义务。
Q：在哪里可以阅读标准草案？
A：取决于编制机构。ETSI编制的EN 304 6xx系列草案，可以在ETSI-CYBER-EUSR公开咨询文件夹免费阅读。CEN/CENELEC草案（EN 40000系列、EN 50770、EN 40001-3~EN 40004-3、EN 18330）没有统一公开文件夹，可以向本国标准化机构（DIN、NEN、AFNOR、BSI等）购买副本，没有免费PDF版本；公开征求意见期结束之后，免费提交意见通道也随之关闭。
Q：我是否可以采信征求意见阶段的草案作为依据？
A：可以拿来提前预判要求，但不能作为正式法律合规依据。草案征求意见的目的就是收集反馈，文本在采纳流程、委员会评估阶段都还会修改。只有官方公报刊载引用之后才具备符合性推定效力。不过现在阅读草案仍是企业开展前期准备最高效的方式。
Q：我可以对草案提交意见吗？
A：可以，前提是本国国家标准化机构还接收意见。ETSI 2026-08-13通知说明不同草案流程结束时间分布在2026年9月中旬-11月中旬。意见需要通过本国国家标准化机构提交（DIN、AFNOR、UNE、NEN、SIS等），各国截止时间一般会比ETSI时间提前数周。虽然ETSI也支持直接接收意见，但ETSI说明：2026-04-16之后直接提交给ETSI的意见，如果没有同步提交本国机构，有可能只会被纳入未来版本修订，不会影响当前版本。
Q：EN 304 6xx和EN 40000系列标准区别是什么？
A：ETSI编制的EN 304 6xx属于产品专项纵向标准，每一份针对一类产品，例如浏览器、操作系统、路由器。CEN-CLC/JTC 13编制的EN 40000-1系列属于横向标准，规定跨产品通用原则、通用安全要求、漏洞处置规则。CEN/TC 224也使用EN 40000编号编制两份产品标准：EN 40000-10身份访问产品、EN 40000-11硬件安全盒。一个产品通常需要同时阅读对应横向标准+自身产品专项标准。
Q：部分标准是否覆盖关键产品，而不只是重要产品？
A：是的。大部分跟踪标准面向重要产品，也有部分针对关键产品：安全元件平台prEN 40003-3、硬件安全盒prEN 40000-11，还有智能电表网关、芯片卡相关文件。关键产品在有强制要求时必须使用欧盟网络安全认证，无强制认证体系则执行等同于II类产品的第三方评估。协调标准不能让关键产品跳过第三方评估，这点和I类重要产品不一样。
Q：标准什么时候会在官方公报发布？
A：没有任何CRA协调标准拥有确认的刊载引用日期。EN 40000-1-1、EN 40000-1-2计划2026-11-02批准，但预计不会登上官方公报。EN 304 6xx系列ETSI草案处于ETSI采纳流程，ETSI 2026-08-13通知显示流程结束区间9月-11月中旬。草案完成采纳、经过欧盟委员会评估之后，才有可能走向官方公报刊载。
Q：CRA是否也涉及无线电设备指令网络安全授权法案与EN 18031？
A：对部分无线电设备适用。欧盟委员会授权条例(EU)2022/30目前将无线电设备指令2014/53/EU第3条第3款d/e/f项基础安全要求适用于相关设备。协调标准EN 18031-1、EN 18031-2、EN 18031-3已经在官方公报发布用于支撑该授权条例。欧盟委员会授权条例(EU)2026/339已于2026-02-16通过，2026-04-29在官方公报发布，将于2027-12-11废止(EU)2022/30，该日期也正是CRA全面生效日期。2025-08-01至2027-12-10投放市场的无线电设备，继续适用无线电设备指令授权条例网络安全要求；2027-12-11起投放市场的无线电设备，直接适用CRA基础要求。CRA第71条第2款写明："本条例自2027年12月11日起生效"。
企业行动七步建议
- 完成产品分类，明确自身产品合规路径，判断正式协调标准是否可以让你使用自我评估模式
- 找到匹配自己产品的草案，提前阅读掌握技术要求
- 如果草案和你的产品相关，在征求意见窗口期，通过本国国家标准化机构提交意见（各国截止时间早于ETSI时间）
- 编制技术文档，直接证明产品满足附录I要求，不要完全依赖协调标准发布
- 建立维护SBOM软件物料清单，完成文档化风险评估，这是所有产品类别都会提出的要求
- 搭建漏洞处置与漏洞上报流程，无论标准是否发布，该流程都是硬性要求
- 持续关注标准化机构状态更新；一旦官方公报出现第一条引用，即正式开启符合性推定
一句话总结：CRA强制要求2027年12月11日生效，无论协调标准是否发布。别等标准，按附录I先准备起来——标准只是合规路径之一，不是全部。