端到端 CRA 合规服务应交付什么

欧盟《网络韧性法案》（CRA）合规并不是一次渗透测试，也不是取得一张证书就结束。对制造商而言，它是一套以证据和产品发布为核心的流程，将产品范围、网络安全风险评估、工程控制、漏洞处理、技术文档、适用的合格评定路径、CE 标志/欧盟符合性声明发布控制，以及投放市场后的义务连接起来。

截至 2026 年 10 月 7 日，CRA 处于过渡阶段：第 14 条规定的制造商报告义务自 2026 年 9 月 11 日起已经适用，而该法规总体上自 2027 年 12 月 11 日起适用。因此，一个稳健的项目同时推进两条工作线：一条是现在就能运行的报告流程，另一条是在 2027 年全面适用日前完成产品与流程证据闭环的市场准备计划。

端到端 CRA 合规服务应交付什么

服务应把法律要求转化为受控的项目成果。核心交付物不是一份笼统意见，而是一套可追溯文件，能够说明评估的是哪个产品及版本、适用哪些风险和要求、每项要求如何落实或得到合理说明、哪些测试支持结论、采用了哪种合格评定路径，以及产品发布后还必须持续开展哪些工作。

制造商仍对产品及欧盟符合性声明负责。外部顾问、实验室和合格评定机构可以提供分析或证据，但责任分配和决策关口必须纳入制造商自身的产品发布流程。

初始控制：锁定产品、经营主体、范围和评定路径

在安排测试之前，应先锁定监管对象。需要记录制造商、产品系列和准确变体、软件与固件版本、远程数据处理依赖、预期用途、可合理预见的使用方式、目标市场、分销模式、第三方组件，以及负责更新和漏洞处理的实体。

随后确定产品是否属于 CRA 范围，以及属于其他产品、重要产品 I 类、重要产品 II 类，还是可能属于关键产品。该分类会影响允许采用的合格评定路径。如果范围或分类尚不确定，应把它作为一个明确的待决事项，指定负责人并保留依据，而不是把不确定性隐藏在测试委托中。

从初始分析到市场准备的操作流程

测试与证据：证明风险评估，而不是寻找通用的“CRA 测试”

CRA 并没有把合规简化为一套通用测试。测试应依据产品的网络安全风险评估以及适用的附件 I 要求来设计。根据产品情况，证据计划可以组合架构审查、安全配置审查、接口与身份验证测试、漏洞扫描、依赖/SBOM 分析、渗透测试、更新机制测试、误用或滥用场景，以及漏洞处理流程的验证。

对每项测试，应记录被测版本、配置、环境、方法、验收标准、结果、整改和复测状态。使用外部实验室时，应保留工作范围和测试范围，使报告能够与准确的候选发布版本对应。针对无法识别或已经过时的构建版本得出的“通过”结果，作为合格评定证据的力度很弱。

技术文档和产品发布文件包

技术文件应在工程证据产生的同时建立，而不是到最后再倒推补齐。实务中的发布文件包通常包括：

• 产品识别信息、架构以及版本/配置基线；
• 网络安全风险评估，包括预期用途和可合理预见的使用方式；
• 适用的附件 I 要求与已实施控制和证据之间的对应关系；
• 设计与开发信息，以及相关组件/依赖证据；
• 测试报告、整改和复测记录；
• 漏洞处理与协调披露流程、更新机制和安全支持安排；
• 支持期的依据以及必须向用户提供的信息/说明；
• 特定评定路径所需的符合性记录、欧盟符合性声明，以及适用时的 CE 标志发布证据。

根据 CRA，技术文档必须在产品投放市场前准备，并在支持期内根据需要更新。制造商必须至少在产品投放市场后十年内保留技术文档和欧盟符合性声明；如果支持期更长，则应保留至支持期结束。

合格评定路径与第三方交接

与服务提供方的协作应作为受控交接管理。在把文件发送给公告机构或其他评定服务提供方之前，应确认该机构获授权覆盖所需范围，约定语言和提交材料，冻结被评估版本，并建立问题清单。2026 年 CRA 合格评定基础设施和相关标准仍在持续部署，因此应实时核实服务提供方状态及适用标准，而不能依据旧的市场宣传材料作推断。

发布控制、报告与变更管理

市场准备是一项产品发布决策，而不仅仅是完成测试。发布关口应确认：实际发布产品与被评估基线一致；所需符合性文件已经批准；用户信息和安全支持信息已经准备好；支持期已经确定；上市后责任人能够使用漏洞报告受理、更新管理和事件报告系统。

自 2026 年 9 月 11 日起，制造商已经必须通过 CRA 单一报告平台（SRP）报告正在被主动利用的漏洞，以及对产品安全产生影响的严重事件。欧盟委员会说明，初步预警应在 24 小时内提交，完整通知应在 72 小时内提交；相应的最终报告则按照 CRA 针对具体事件类型规定的时限提交。该报告流程应在真正发生事件之前演练，包括谁有权限提交、谁负责确认事实以及如何保存工程证据。

产品发布后，对代码、硬件、依赖、密码学、接口、远程处理、预期用途、支持安排或漏洞处理流程的变更，都应进入有记录的影响审查。问题不只是“功能是否发生变化”，还包括是否需要更新网络安全风险评估、证据、用户信息或符合性结论。

延误 CRA 市场准备的常见瓶颈

• 测试已经开始但分类仍未解决，导致预算采用了错误的评定路径；
• 产品变体以及云或远程处理依赖没有纳入配置控制；
• 风险评估、SBOM/依赖清单和测试范围描述的是不同版本；
• 安全关键组件或更新依赖缺少供应商证据；
• 问题已在代码中修复，但没有保留整改和复测证据；
• 直到发布时才决定支持期、漏洞报告接收方式和事件报告责任；
• 技术文件内部尚未一致，就已经预约第三方评定。

本页不替代哪些内容

如果主要问题是如何选择顾问、建立治理机制或开展战略性差距分析，请参阅CRA 顾问服务页面。如果主要问题是预算和成本驱动因素，请参阅CRA 成本页面。如果需要了解 CRA 之外多法规框架下的 CE 市场发布机制，请参阅CE 标志服务。本页负责说明把 CRA 要求转化为可用于产品发布的证据包所需的执行链条和交接过程。