欧盟 CRA《网络弹性法案》开始影响越来越多网络安全软件进入欧盟市场的合规路径。

对于杀毒软件、反恶意软件工具、终端安全软件、EDR、恶意代码检测系统、邮件附件检测工具等产品来说，CRA 不只是一个泛泛的“软件安全要求”。这类产品本身承担搜索、移除或隔离恶意软件的安全功能，一旦检测失效、隔离失败、更新机制异常或自身被绕过，可能直接影响用户终端、企业网络、邮件系统、服务器环境和数据资产安全。

因此，企业在理解这类产品的 CRA 合规路径时，需要先看清几个问题：

CRA《网络弹性法案》到底管什么？恶意软件检测与隔离类产品为什么属于 CRA 范围？为什么它被列入重要 I 类产品？重要 I 类产品的官方符合性评估路径是什么？协调标准、通用规范、EUCC、模块 B+C、模块 H 分别意味着什么？

一、CRA《网络弹性法案》是什么？

CRA，全称 Cyber Resilience Act，中文通常称为欧盟《网络弹性法案》。

它是欧盟针对“带有数字元素的产品”提出的网络安全法规，关注产品从设计、开发、生产、投放市场，到漏洞处理和安全更新的全生命周期网络安全能力。

CRA 的核心是要求产品在整个生命周期内具备基本网络安全能力，并通过符合性评估、技术文档、欧盟符合性声明和 CE 标志等方式证明产品满足要求。

二、恶意软件检测与隔离类产品为什么属于 CRA 范围？

恶意软件检测与隔离类软件，通常具备非常典型的“带有数字元素产品”特征。

它依赖软件引擎、检测规则、特征库、更新服务、云端分析、日志系统、管理控制台和终端客户端来完成检测与处置。它也经常需要连接云端威胁情报、接收安全更新、上传样本或同步检测策略。

常见产品形态包括：

杀毒软件；反恶意软件工具；EDR / EPP 终端安全产品；恶意代码扫描工具；邮件网关恶意软件检测模块；文件上传安全检测系统；服务器恶意软件检测工具；移动终端恶意软件检测工具；云端恶意软件分析与隔离组件；工业终端恶意软件防护软件。

这些产品通常运行在终端、服务器、邮件系统、网关设备或业务系统中，负责检测恶意文件、异常行为、可疑脚本、木马程序、勒索软件或其他恶意代码。

如果这类产品进入欧盟市场，或者被欧盟客户、系统集成商、渠道商纳入供应链，就需要按照 CRA 的适用范围进行判断。

三、为什么它属于 CRA 重要 I 类产品？

在 CRA 附件 III 中，“搜索、移除或隔离恶意软件的软件” 被列入 重要 I 类产品。

这类产品被列入重要 I 类，原因在于它本身就是网络安全防护体系的一部分。

它的核心功能不是普通业务处理，而是主动发现、清除或隔离恶意威胁。产品自身的检测逻辑、隔离能力、更新机制和漏洞管理能力，会影响其他数字产品和系统能否维持安全状态。

所以，这类产品进入重要 I 类，并不是因为它只是“带有安全功能”，而是因为它以恶意软件检测、移除或隔离作为核心安全能力。

四、产品的官方合规路径

“搜索、移除或隔离恶意软件的软件”属于 CRA 附件 III 重要 I 类产品。因此，它的合规路径需要按照重要 I 类产品的官方逻辑来判断。

首先要看制造商是否完整应用了 CRA 第 27 条提到的协调标准、通用规范，或者是否采用了至少达到 “实质性”保证水平（Substantial） 的欧洲网络安全认证方案。

如果这些依据存在，并且制造商能够完整应用，就可以基于这些技术依据证明产品符合 CRA 的基本网络安全要求。

如果制造商没有应用这些依据，或者只是部分应用，就需要进入第三方符合性评估程序，官方路径主要有两种：

模块 B + 模块 C。模块 B 是欧盟型式检验，重点审查产品型式、技术文档和基本网络安全要求符合性。模块 C 是基于内部生产控制的符合欧盟型式，重点在于制造商后续生产、发布或交付的产品，需要持续符合已经审查通过的型式。

模块 H。模块 H 是基于全面质量保证的符合性评估路径。它更关注制造商是否具备持续保证产品符合 CRA 要求的质量保证体系。

所以，重要 I 类产品的路径不是简单判断“要不要第三方”。更准确的逻辑是：

先看是否能够完整适用协调标准、通用规范或 Substantial 等级欧洲网络安全认证方案；如果不能完整适用，再进入模块 B+C 或模块 H 的第三方符合性评估路径。

五、协调标准、通用规范和 EUCC 的作用

对于 CRA 重要 I 类产品，协调标准、通用规范和欧洲网络安全认证方案，是判断能否采用相对简化路径的重要依据。

协调标准 是欧盟产品合规体系中的重要技术依据。如果未来有适用于恶意软件检测、隔离和处置类产品的协调标准，并且制造商能够完整采用，企业就可以围绕该标准准备技术文档、测试验证和符合性声明。

通用规范 可以理解为在协调标准不足或尚未覆盖时，欧盟层面可能提供的补充技术依据。如果协调标准还不完整，通用规范可能成为重要参考。

欧洲网络安全认证方案 则可能作为更高保障的证明路径。CRA Article 32 中提到，至少达到 Substantial 保证水平的欧洲网络安全认证方案，可以作为重要 I 类产品路径判断中的重要依据。

六、这类产品的技术文档重点

技术文档重点通常包括：

产品边界。说明评估对象是独立杀毒软件、EDR 产品、邮件网关模块、服务器检测工具，还是云端分析组件。

产品架构。说明检测引擎、隔离区、规则库、云端分析、管理端、客户端、日志系统、更新服务之间的关系。

检测机制。说明产品如何搜索和识别恶意软件，是基于特征、行为、规则、沙箱、启发式、机器学习，还是多种方式组合。

处置机制。说明隔离、删除、阻断、恢复和用户授权逻辑，避免处置动作不可控。

更新机制。说明特征库、规则库、检测引擎、模型文件和补丁如何发布，如何校验完整性和来源可信性。

权限控制。说明产品为什么需要高权限运行，高权限操作如何受控，如何降低自身被滥用风险。

日志审计。说明检测、隔离、删除、恢复、策略变更、更新失败和异常事件如何记录。

组件清单。说明扫描引擎、文件解析库、压缩库、云服务 SDK、第三方组件和开源依赖是否可追溯。

漏洞管理。说明漏洞接收、评估、修复、发布和用户通知机制。

七、这类产品的合规难点

恶意软件检测类产品比普通软件更复杂，主要体现在几个方面。

第一，产品更新频率高。检测规则、病毒库、引擎、模型和策略会频繁更新，技术文档和版本控制必须能支撑持续变化。

第二，产品权限通常较高。这类产品可能访问文件系统、进程、内存、网络流量或系统配置。高权限带来防护能力，也带来自身安全风险。

第三，供应链依赖复杂。文件解析库、压缩库、云端分析、威胁情报源、第三方 SDK、开源组件都可能成为安全风险点。

第四，误报和漏报影响较大。误报可能影响正常业务，漏报可能导致恶意软件进入系统。处置机制需要可控、可追踪、可恢复。

第五，漏洞管理要求高。安全软件自身如果存在漏洞，可能成为攻击入口。因此漏洞管理和安全更新不是附属材料，而是核心合规内容。

先讲清产品分类，再确定官方合规路径

搜索、移除或隔离恶意软件的软件，在 CRA 中属于附件 III 重要 I 类产品。

这类产品的合规逻辑应当按顺序理解：

先确认 CRA 适用范围；再确认产品是否属于附件 III 重要 I 类；再看是否能够完整采用协调标准、通用规范或至少 Substantial 等级的欧洲网络安全认证方案；如果不能完整适用，则进一步进入模块 B+C 或模块 H 路径判断；最后围绕检测机制、隔离机制、安全更新、漏洞管理、技术文档和质量体系建立证据。

浙江望安科技有限公司长期围绕 CRA《网络弹性法案》合规咨询、技术文档准备、漏洞管理流程建设、欧盟网络安全EUCC认证提供全流程一站式安全合规实施服务。

如需了解更多 CRA 合规路径、重要 I 类产品符合性评估及欧盟网络安全合规服务内容，欢迎访问 浙江望安科技有限公司官网，获取更多解决方案与服务信息。