English
2025 年底 ，一名 19 岁黑客利用某款智能路由器未建补的安全缝隙 ，成功窃取了 6400 万条欧洲用户的幼我数据并在暗网销售 ，引发欧盟领域内的大规模数据安全发急。这一事务再次露出了联网产品网络安全防护的幽微环节 ，也加快了欧盟网络安全监管系统的全面重构。从事检测认证行业十几年 ，杨工亲眼见证了欧盟从单一产品安全监管向全性命周期网络安全监管的转变 ，而这次刷新的主题 ，就是即将在 2027 年全面收受无线电设备网络安全监管的《网络韧性法案》CRA。
一、欧盟网络安全监管系统的汗青性刷新
2026 年 2 月 16 日 ，欧盟委员会正式通过了授权律例 (EU) 2026/339 ，明确划定现行 RED 无线电设备指令 EU2014/53 中关于网络安全的授权律例 (EU) 2022/30 将于 2027 年 12 月 11 日正式废止。这一决定标志取欧盟网络安全监管进入了一个全新的时期 ，从从前针对特定产品类此外分散式监管 ，转向针对所有含数字元素产品的统一横向监管。
杨工以为 ，这次刷新并非无意。随着物联网技术的急剧发展 ，联网产品数量呈指数级增长 ，网络安全风险也随之扩散到社会生涯的各个角落。传统的 RED 指令仅针对无线电设备的通讯安全和根基网络安全要求 ，已经无法应对日益复杂的网络攻击威胁。CRA 的出台 ，正是欧盟为了构建一个越发安全、更具韧性的数字生态系统而采取的战术性行动。
二、CRA 与 RED 指令的主题差距与监管领域扩容
与 RED 指令相比 ，CRA 在监管领域和要求深度上都有了质的飞跃。RED 指令重要合用于使用无线电频率通讯的设备 ，监管重点集中在无线电机能、电磁兼容性以及与无线电通讯有关的网络安全方面。而 CRA 的监管领域则大幅扩容 ，覆盖了所有 "带罕见字元素的产品" ，无论其是否具备无线电通讯职能。
具体来说 ，CRA 监管的产品蕴含但不限于：路由器、智能家电、智能腕表、智能手机蹬撞件产品 ，以及操作系统、移动利用、软件库等各类软件产品 ，甚至蕴含产品中集成的微处置器、固件等单个组件。这意味着 ，只有产品可能直接或间接衔接到设备或网络 ，就必须遵守 CRA 的有关划定。杨工出格提醒 ，即便是那些看似单一的联网产品 ，如智能灯泡、智能插座 ，也在 CRA 的监管领域之内 ，企业千万不能不以为意。
三、过渡期的关键功夫节点与合规铺排
为了给企业足够的功夫进行合规筹备 ，欧盟设置了清澈的过渡期铺排。2027 年 12 月 10 日之前 ，切合 RED 网络安全要求的产品依然能够正常在欧盟市场流通。但从 2027 年 12 月 11 日起 ，所有新投放欧盟市场的产品必须齐全满足 CRA 的要求 ，RED 网络安全授权律例将正式失效。
必要把稳的是 ，CRA 的部门使命将在过渡期内提前生效。2026 年 9 月 11 日起 ，造作商必须通过欧盟统一缝隙汇报平台自动上报已确认的产品安全缝隙和安全事务。这一使命合用于所有在欧盟市场上销售的有关产品 ，蕴含那些在 2026 年 9 月 11 日之前已经投放市场的产品。杨工建议企业从此刻起头就成立美满的缝隙治理流程 ，预防因未实时上报缝隙而面对处罚。
四、中国卖家与造作商面对的主题挑战
作为欧盟最大的业务同伴之一 ，中国是欧盟市场联网产品的重要供给国。CRA 的全面执行 ，将给中国卖家和造作商带来前所未有的挑战。
首先是合规成本的大幅上升。CRA 凭据产品的网络安全风险将其分为三类 ，其中 "重要产品" 和 "关键产品" 必要进行强造性的第三方合格评定。这不仅会增长直接的认证用度 ，还会耽搁产品的研发周期和上市功夫。
其次是供给链安全责任的上溯。CRA 要求造作商对集成到产品中的所有第三方组件 ，蕴含开源软件的安全性承担连带责任。这意味着企业必须对其供给链进行全面的尽职调查 ，成立严格的组件安全管控系统。
最后是违规处罚的严格性。凭据 CRA 划定 ，违反根基网络安全要求、缝隙汇报使命或网络事务汇报使命的企业 ，将面对最高 1500 万欧元或全球年交易额 2.5% 的？ ，以较高者为准。此表 ，欧盟成员国当局还能够要求厂商从市场召回或撤出不合规产品。
五、合规建议
面对 CRA 带来的挑战 ，杨工建议中国企业从以下几个方面着手 ，提前做好合规筹备：
第一 ，立即发展产品梳理工作。对现有和打算出口欧盟的产品进行全面梳理 ，判断哪些产品属于 CRA 的监管领域 ，并凭据产品的风险等级造订相应的合规打算。
第二 ，将安全设计准则融入产品开发性命周期。从产品的规划、设计阶段就起头思考网络安全要求 ，成立切合国际尺度的安全开发性命周期流程。
第三 ，成立美满的缝隙治理和安全更新机造。确保在产品的整个支吃熠内可能实时提供安全更新 ，并依照欧盟要求上报安全缝隙和事务。
第四 ，加强供给链安全治理。对供给商进行严格的安全评估 ，要求供给商提供组件的安全信息 ，并成立组件安全追忆系统。
第五 ，提前与专业的检测认证机构合作。借助专业机构的技术力量和经验 ，加快合规过程 ，降低合规风险。
这次欧盟网络安全律例的全面重构 ，是全球数字产品监管发展的必然趋向。对于中国企衣反说 ，这既是挑战也是机缘。那些可能提前布局、自动合规的企业 ，将在将来的国际市场竞争中占据优势职位。杨工提醒宽大卖家和造作商 ，距离 2027 年 12 月 11 日还有不到两年的功夫 ，合规工作如饥似渴。企业应该充分利用这段过渡期 ，全面提升产品的网络安全水平 ，确保顺利进入欧盟市场。
