一、欧洲推出 CRA

随着云计算、物联网、工业互联网和智能终端的普及，软件与数字产品已经深度嵌入社会运行的每一个环节，从能源与交通到金融与医疗，几乎所有关键业务都依赖数字系统稳定运行。然而，频繁发生的软件漏洞、供应链攻击和物联网安全事故表明，仅依靠企业自律与零散的行业标准，已经难以支撑欧洲对整体网络安全韧性的要求。在这一背景下，欧盟推出《网络弹性法案》（Cyber Resilience Act，简称 CRA），将网络安全从“推荐性最佳实践”升级为“具有法律约束力的强制性要求”，以统一规则、抬高底线，系统性提升欧洲数字产品的安全与可靠性。CRA 的目标并不仅是减少漏洞数量，更是通过法规驱动安全工程能力升级，从源头构建可验证、可持续的网络安全韧性体系。

二、什么是 CRA

CRA 是欧盟首部面向“带有数字要素的产品”的横向网络安全法规，其覆盖范围极为广泛，既包括操作系统、应用软件、中间件与云组件等软件产品，也涵盖网络设备、工业设备、智能终端与嵌入式系统等硬件产品，同时适用于物联网平台与工业互联网解决方案。与以往主要依赖标准与指南不同，CRA 的核心变化在于将网络安全要求写入法规条文，要求企业在产品全生命周期内履行安全义务，包括安全设计、开发验证、交付部署、漏洞管理与事件响应等环节。网络安全不再是“做得好加分”，而是“做不好违法”，企业必须以合规为前提进入欧盟市场。

三、CRA 关注什么？

CRA 强调以“Security by Design”和“Security by Default”为原则，将安全内生到产品工程体系之中。这意味着企业在架构设计阶段就需要系统性考虑身份认证、访问控制、安全更新机制、日志审计与攻击面最小化等安全控制，而不是在产品发布后通过补丁方式弥补缺陷。同时，CRA 将漏洞管理与供应链安全提升为硬性义务，要求企业建立持续的漏洞发现、评估与修复机制，向用户提供及时的安全更新，并对第三方组件与开源软件进行风险管理。当出现重大漏洞或安全事件时，企业还需在规定时限内向主管机构通报并采取缓解措施，从而形成可追溯、可审计的安全治理闭环。这一系列要求，标志着欧洲从“事后补救型安全”迈向“工程化、制度化安全”。

四、CRA 与认证体系的协同

在实施层面，CRA 并非孤立存在，而是与欧盟网络安全认证与合规体系形成协同闭环。对于重要与关键数字产品，EUCC（欧盟通用准则认证）将成为证明产品具备可验证网络安全能力的重要技术路径，其中 Substantial 与 High 等级用于匹配更高风险场景下的合规要求。网络安全也被纳入 CE 合规的重要维度，企业需要通过符合性评估证明其产品满足 CRA 的安全要求。此外，ISO/IEC 27001、ISO/IEC 15408 与 ISO/IEC 18045 等国际标准，将为 CRA 的工程实施提供技术依据。通过“法规 + 认证 + 标准”的组合，欧盟正在构建统一、可执行、可审计的网络安全合规体系。

五、企业面临的挑战

在推进 CRA 合规过程中，企业普遍面临工程体系与治理能力的双重挑战。一方面，许多产品尚未建立成熟的安全工程方法，难以满足“安全内生化”的设计要求；另一方面，开源与第三方组件的治理、漏洞响应机制与供应链风险管理仍然薄弱，难以满足法规对可追溯与可持续安全的要求。CRA 的本质挑战不在于多写几份文档，而在于推动企业完成一次系统性的安全工程升级，通过方法论、流程与工具的重构，将安全能力沉淀为可复制、可演进的工程资产，从而在合规的同时形成长期竞争力。

六、CRA 正在重塑欧洲数字产业的安全竞争规则

CRA 网络弹性法案标志着欧洲进入网络安全强监管时代。它不仅抬高了产品进入欧盟市场的门槛，更重塑了数字产业的竞争逻辑——未来的竞争不再只是功能与价格，而是安全工程能力与合规能力的综合较量。谁能够率先构建符合 CRA 要求的安全工程体系，谁就能在欧洲市场建立长期可信优势。

浙江望安科技有限公司依托在 CC、EUCC、CRA、功能安全与高可靠系统认证领域的工程经验，为 ICT、工业与物联网企业提供从安全架构设计、合规规划到认证实施的一站式安全合规服务，助力企业在欧洲网络安全新规下稳健出海。