IT/AV终端检测认证事业部

亚马逊欧盟站CRA合规要求：卖家需验证合规与CE标志，无文件向供应商索取

在亚马逊上卖货的出口厂商注意：欧盟CRA（网络韧性法案）已经从"法规文件"变成"平台要求"了。亚马逊已在欧洲各站点的Seller Central（卖家后台）陆续更新欧盟CRA合规指导页（爱尔兰站最新更新为2026年10月20日），只要在亚马逊上架产品，就必须遵守CRA及相关平台政策。欧盟的法规，正在通过亚马逊这样的平台一层层传导到卖家身上。

CRA关键时间线：报告义务已经生效

• 2024/12/10：CRA正式生效
• 2026/9/11起（已生效）：产品发生安全事件或漏洞被活跃利用，制造商须在24小时内向欧盟网络安全局ENISA报告；已投放市场、仍在制造商支持期内的产品同样适用
• 2027/12/11：CRA主要义务全面适用

别以为还有一年多：报告义务两个月前就开始了，现在正是"合规文件该备齐"的窗口期。

CRA管辖范围：哪些产品被平台纳入

• 联网家居：笔记本、手机、平板、路由器、婴儿监视器、智能家电、监控摄像头
• 可穿戴：手环、智能手表
• 软件：操作系统、手机App、游戏、VPN
• 工业IoT：传感器、条码扫描器、机器人
• 组件：CPU、安全芯片

重点提醒：二手、翻新、维修过的产品，还有备件，全部在管范围内。

豁免只有两类：已被其他产品安全法规覆盖的（医疗器械、民航、机动车），以及国家安全/国防用途产品。绝大多数消费电子和IoT产品，都在范围内。

经销商（卖家）六项责任：没有文件就找供应商要

1. 验证产品符合CRA
2. 确保产品带有CE标志
3. 保存证明产品合规的文件
4. 配合市场监管机构
5. 发现漏洞，向制造商和相关机构报告
6. 把安全更新传达给终端用户

值得注意的一句原文："如果你手上没有这些信息和文件，尽快向你的供应商索取。"

翻译成大白话：贸易商、贴牌卖家，现在就要向源头制造商要CRA合规文件——技术文档、CE标志、漏洞报告机制、安全更新承诺，一样都不能少。供应商给不出，该款产品建议暂缓上架。

三层传导影响：从卖家反追到制造商

第一层：卖家会反向找你要文件

经销商/贸易商客户在亚马逊上卖货，平台要求他们验证合规——他们会回过头来问：技术文档呢？CE标志呢？漏洞处理流程呢？给不出，订单就悬了。

第二层：制造商自己的义务是硬性的

Amazon指导页原样引用了CRA对制造商的要求：基于风险评估做安全设计、产品不含已知可利用漏洞、要有安全更新机制、强访问控制、数据加密与最小化、日志与监控能力，以及2026/9/11起的24小时漏洞报告义务，外加技术文档+正确贴标。

第三层：检测认证需求被平台直接点燃

Amazon在指导页里专门放了Service Provider Network（服务商网络），引导卖家找第三方做合规认证、测试和审计。平台已经在为"CRA合规证书"铺路——早做认证的制造商，就是给卖家省事、给自己加分。

分主体行动建议

1. 如果你是制造商：先把技术文档和CE合规底子补齐

CRA技术文档、安全设计评估、漏洞处理流程，是2027年前的硬功课；报告义务已生效，流程要能跑起来。

2. 如果你是卖家/贸易商：立刻向供应商索要CRA合规文件

按Amazon指导页的原话——"尽快"。拿到技术文档、CE标志、支持期和更新承诺，逐项核对，缺什么补什么。

3. 盯住Amazon的后续动作：合规核查会变成常态化

平台已经把CRA写进指导页，下一步大概率是把合规要求落进Listing审核和平台政策。不要等平台强制核查那天才想起合规。

一句话总结：欧盟CRA不再只是"出口认证那点事"，亚马逊已经把它变成卖家上架的门槛。当前阶段补文件、补认证，成本相对较低，宜早不宜迟。