IT/AV终端检测认证事业部

CRA贴牌模式权责划分：ODM不愿交核心资料时品牌方如何合规出海

做欧盟出海的智能硬件品牌，近期普遍关注CRA欧盟网络弹性法案。行业里普遍纠结的供应链问题从来不是怎么做测试、怎么做认证，而是：ODM全包设计研发，核心技术都是工厂的，凭什么要把全套技术资料交给品牌方？品牌方拿不到资料，欧盟CRA追责只找品牌，到底谁的责任、该怎么破局？本文系统梳理CRA贴牌模式下的权责边界、资料交付底线与风险规避方案。

先纠正核心误区：生产方不等于法定责任方

错误认知：谁研发生产，谁负责CRA合规。

CRA法定规则：谁贴品牌、谁将产品投放欧盟市场，谁就是法定制造商，承担相应法律责任。哪怕产品从硬件设计、固件开发、安全测试全由ODM完成，品牌方仅做贴牌、包装、销售，在欧盟监管体系中，品牌方是主要追责主体。

核心矛盾：ODM怕泄密，品牌怕背锅，如何切割

常见误解：CRA要求品牌方拿到ODM所有技术源码、原理图、生产工艺。实际上，CRA Annex VII法定要求的是合规证据包，而非ODM核心商业机密，两者完全可以切割。

必须交付（监管必查，无替代方案）：

1. 对应型号、固件版本的完整SBOM清单（机器可读格式，含直接+传递依赖）+VEX漏洞说明
2. 整机网络安全风险评估报告、全维度安全测试报告
3. 漏洞响应机制、安全更新方案、产品EOL安全支持周期说明
4. 软硬件版本变更记录、用户安全合规手册

无需交付（ODM核心机密，CRA不强制）：

固件源代码、底层PCB原理图、芯片IP内核、生产工艺参数、研发底稿、成本BOM。合规不要求泄密，保密不影响合规，这是解决双方矛盾的关键。

品牌方怎么做：不是改Logo套资料，是合规建档

高危违规：拿到ODM的技术文档直接替换抬头、Logo改成自己的资料归档，监管抽查可能判定为文档伪造，直接扣货下架、从重处罚。

1. 素材复用：采信ODM提供的真实测试数据、SBOM清单、风险评估结论（真实有效，无需重复测试）
2. 自主建档：品牌方独立搭建自有合规技术档案，标注ODM为设计生产方，明确自身法定制造商身份
3. 独立出证：品牌方自主签署DoC欧盟符合性声明，承担最终合规责任
4. 对外公示：产品包装、说明书、漏洞公示邮箱、安全支持周期，全部标注品牌方信息

如何确保ODM资料真实完整：四步管控方案

1. 合同锁死：白纸黑字兜底

在ODM采购合同中增加CRA专项条款，明确三项核心约束：

• 资料真实性担保：ODM承诺交付资料与实物固件、硬件一致，无隐瞒、无伪造
• 动态更新义务：固件迭代、组件替换、漏洞更新，10个工作日内同步更新全套资料
• 赔偿责任：因资料缺失、虚假导致的罚款、召回、下架损失，由ODM按合同约定承担

2. 清单核验：对照法定标准逐项排查

严格对照CRA Annex VII清单核对资料完整性，杜绝模板化敷衍，重点核查SBOM完整性、风险评估适配性、测试报告版本匹配度。

3. 交叉校验：低成本验证真实性

品牌方可通过固件解析工具，抽样核对开源组件、版本信息，与ODM交付的SBOM比对，快速识别明显造假、漏报问题。

4. 第三方中立托管：折中可行方案

若ODM抵触资料外泄，可引入第三方合规机构：ODM核心资料不出工厂，第三方进场核验真实性，输出合规报告给品牌方，既保护ODM技术机密，又保障品牌方合规有效。

权责边界总结：品牌方与ODM各自责任

品牌方责任（不可转嫁）：

法定制造商身份、签署DoC、归档全套技术资料、对接欧盟监管、承担合规处罚、把控资料有效性。

ODM责任（技术兜底）：

输出真实完整的合规证据包、动态更新资料、配合监管核查、承担技术造假对应的合同赔偿。

杜绝两种极端操作：

1. 品牌方不要强行索要ODM源码、核心原理图，激化合作矛盾
2. ODM不能以保密为借口拒绝交付法定合规证据包，导致品牌方合规无依据

出海建议

CRA合规的核心不是"谁更强势"，而是权责清晰、流程规范、风险隔离。

• 对于品牌方：不要被动等待ODM交付，提前锁定合同条款、建立核验机制、完善自主归档，从源头规避出海合规风险
• 对于ODM：合规资料交付不等于泄密，标准化证据包交付是欧盟出海的行业通行做法，合规能力将成为长期竞争力

一句话总结：法定责任跟着品牌走，技术证据跟着ODM走；合规证据包可以交付，核心商业机密可以保留，双方用合同和核验机制把边界划清。