CRA核心技术标准EN 40000-1-4：制定背景、与EN 18031的映射关系及发布时间表

CRA核心技术标准EN 40000-1-4：制定背景、与EN 18031的映射关系及发布时间表

随着欧盟《网络弹性法案（CRA）》落地进入倒计时，面向欧盟市场的硬件、软件、物联网企业纷纷启动合规布局。在CRA的多条合规路径中，符合协调标准是较为主流、效率较高的方式：产品满足标准要求，即可直接推定符合CRA对应的法律义务。而EN 40000-1-4（又称PT2，《含数字元素产品的网络安全要求—通用安全要求》）是所有带数字元素产品都绕不开的核心横向基线。

本文集中回答四个高频问题：

• 这套标准是谁在制定？和EN 18031是什么关系，是否同一团队？
• 之前按EN 18031做的合规基础还能不能用？两者映射关系如何？
• 标准什么时候正式发布？
• 现阶段该如何提前准备？

EN 40000-1-4是什么来头

1. 法律出身：CRA的官方配套标准

EN 40000-1-4的编制依据，是欧盟委员会2025年2月发布的标准化请求M/606（C (2025) 618），精准对应《网络弹性法案》（Regulation (EU) 2024/2847）附件I第一部分第2条(a)-(m)共13项产品安全基本要求。

概括来说，它把CRA里抽象的法律条文转化为可落地、可验证的产品技术安全规范，是企业证明产品符合CRA产品安全要求的核心技术依据。

2. 体系定位：所有数字产品的通用安全基线

CRA的配套标准采用"横向通用标准 + 垂直产品标准"的两层架构。

横向标准面向所有含数字元素的产品，提供通用方法论与安全基线，共3项核心标准：

• EN 40000-1-2（PT1）：网络弹性原则，规定基于风险的产品全生命周期安全流程
• EN 40000-1-4（PT2，本文主角）：通用安全要求，提供产品侧的技术安全控制清单
• EN 40000-1-3（PT3）：漏洞处理要求，规定全生命周期漏洞管理流程

垂直标准针对路由器、操作系统、智能家居、密码管理器、可穿戴设备等特定品类，在横向标准基础上细化产品专属要求。也就是说，EN 40000-1-4是所有品类的"通用安全大纲"，后续垂直产品标准都会在它的基础上做细化。

3. 技术底座：以EN 18031为基线

标准编制的核心原则之一是避免重复投入。文档明确说明，EN 40000-1-4直接以已有的EN 18031:2024系列标准为技术基线——这套标准原本面向互联网连接无线电设备，对应欧盟RED指令，已在物联网、消费电子行业应用多年。在此基础上，EN 40000-1-4补充了大量新控制项，以覆盖CRA更宽泛的适用范围和更多的安全义务。

谁在制定这套标准

1. 归口与牵头主体

标准的官方编制单位是CEN/CLC/JTC 13/WG 9：

• 上层是CEN（欧洲标准化委员会）+ CENELEC（欧洲电工标准化委员会）联合技术委员会JTC 13，负责网络安全与数据保护领域的欧洲标准制定
• 下属第9工作组（WG 9）专门承接CRA横向通用标准的编制工作

整个编制工作由欧盟STAN4CR项目（欧洲创新委员会EISMEA与EFTA资助）提供资金与技术支持，参与方涵盖欧盟各国标准化机构代表、行业企业、科研机构等多方专家。

2. 与EN 18031是否同一团队：技术强继承，团队有重叠，范围更广

• 技术层面：EN 40000-1-4约70%以上的技术控制项直接复用自EN 18031，底层安全逻辑与控制项定义完全对齐，保证标准连贯性
• 团队层面：参与EN 18031编制的核心专家、各国标准化机构代表，多数也参与了EN 40000-1-4的工作，确保技术延续性
• 范围差异：EN 18031仅面向无线电设备/物联网品类，团队以通信、物联网领域专家为主；EN 40000-1-4覆盖所有含数字元素的产品（工业设备、纯软件、消费电子等），因此新增了工业自动化、软件安全、通用IT等领域专家，团队规模与领域覆盖远大于前者

与EN 18031的完整映射关系

第一类：完整继承，直接复用

以下核心控制族全部来自EN 18031，技术要求基本没有变化，是标准的主体内容：

• 通用设备能力（GEC）：无已知可利用漏洞、接口暴露限制、输入验证、产品完整性等基础要求
• 认证机制（AUM）：密码强度、暴力破解防护、认证因子验证与修改等
• 访问控制机制（ACM）：权限管控、访问授权等
• 安全更新机制（SUM）：更新的完整性与真实性校验、自动更新能力等
• 安全存储/通信机制（SSM/SCM）：静态数据的完整性与机密性、传输数据的加密与重放防护等
• 密钥与密码学（CCK/CRY）：密钥生成与管理、最佳实践密码算法要求等
• 日志机制（LGM）：日志持久化存储、事件数量与时间戳要求等
• 数据删除机制（DLM）：基础的安全数据删除能力
• 网络与流量控制（NMM/TCM）：网络监控、流量管控能力

第二类：结构优化，合并精简

这部分没有新增技术要求，主要是对EN 18031的条款结构做了简化：

• 将原标准中大量独立的"适用性条款"（如ACM-1、AUM-1、SCM-1）直接合并到对应的主控制项中，不再单独列项
• 整体逻辑更简洁，减少冗余的条款层级，企业落地时更易理解

第三类：全新增补，填补CRA要求缺口

这部分是EN 18031完全没有覆盖的内容，也是企业落地CRA需要重点补充的差异项，主要分为两类。

（1）原有控制族内新增控制项

• 通用设备能力：新增安全启动配置、出厂重置、漏洞利用缓解机制、无不必要软件组件、未授权访问与损坏事件上报
• 安全更新机制：新增"延期更新"功能，对应CRA要求的"用户可临时推迟更新"
• 日志机制：新增日志禁用功能、日志排除敏感个人信息，对应用户的opt-out选择权
• 数据删除机制：新增用户数据导出的机密性、完整性保护与身份认证，对应CRA的数据迁移安全要求
• 弹性机制：新增事件恢复、网络/资源优先级管控、资源管理、控制系统备份等要求
• 用户通知机制：新增安全更新通知、异常检测通知

（2）完全新增的控制族

以下3个控制族为满足CRA全新设立，在EN 18031中没有对应内容：

• 数据最小化（DTM）：要求仅处理与预期用途必要的数据，支持默认最小化处理、可选数据处理的可配置开关
• 外部影响限制（LIM）：要求产品被攻陷后，限制对其他设备、网络的负面影响，具备攻击传播防护能力
• 安全活动监控（MON）：要求对内部安全相关活动进行监控，并支持用户关闭监控功能

映射关系小结：EN 18031已经覆盖CRA约70%的产品技术安全要求，剩余缺口主要分布在数据最小化、事件对外影响、漏洞利用缓解、用户可关闭的日志监控等CRA特有义务上。已有EN 18031合规基础的企业，不需要推倒重来，只需针对性补齐新增控制项。

发布时间表与当前进度

提示：在正式发布前，标准还会经过公开质询（Public Enquiry）、意见处理、最终投票等标准化流程，具体时间可能会有小幅调整，但整体时间框架基本确定。

给企业的三点准备建议

建议一：不必等正式版，现有基础完全可用

既然70%以上的内容继承自EN 18031，企业完全可以先基于EN 18031搭建产品安全基线。这部分工作在新标准正式发布后依然有效，不会白费。

建议二：提前布局新增差异项

重点关注EN 18031没有覆盖的内容：数据最小化设计、攻击面管理、漏洞利用缓解技术、日志/监控的用户选择权、产品对外影响限制等。这些是CRA的特有要求，也是合规的差异化难点，越早布局成本越低。

建议三：流程与技术双线并行

CRA合规不只是产品技术，还有漏洞管理、风险评估等流程要求。对应的EN 40000-1-3发布更早（2026年8月），企业可以同步启动漏洞管理体系建设，做到"产品技术 + 流程管理"两条线并进。

一句话总结：EN 40000-1-4以EN 18031为技术底座，约70%控制项可直接复用，真正的增量集中在数据最小化、外部影响限制、安全活动监控三个全新控制族，以及安全启动、延期更新、日志禁用等CRA特有义务。标准预计2027年10月30日发布，现阶段基于EN 18031搭建基线、提前补齐差异项，是投入产出比较高的准备路径。