1. 界定产品及责任主体
欧盟《网络韧性法案》（CRA）顾问应先确定产品范围、法律角色和合格评定路径，再决定是否委托实验室测试或编制符合性声明。真正有用的成果是针对每类产品的书面决策依据，而不是笼统的“认证套餐”。
《欧盟条例（EU）2024/2847》已经生效。制造商自2026年9月11日起负有报告被主动利用的漏洞及严重事件的义务；大部分其他义务自2027年12月11日起适用。应将当前报告义务与后续上市合规工作区分开来。
1. 界定产品及责任主体
首先确认实际向欧盟市场提供的产品及提供者。“平台”或“物联网”等营销名称不能决定 CRA 是否适用。
- 列明硬件、软件、单独销售的组件、版本、预期用途、接口，以及实现产品功能所必需的远程数据处理。
- 识别制造商、品牌持有人、进口商和经销商；审查委托开发及重大修改，不能默认所有责任都由工厂承担。
- 核查商业供应、适用排除事项及欧盟行业特别规则；开源软件应按实际经营情况而非许可证名称判断。
2. 路径矩阵：分类不等于测试工作量
先依照产品核心功能比对附件三（重要产品）和附件四（关键产品），并参考欧委会的技术类别说明，再依据第32条选择合格评定程序。
| 产品类别 | 战略评定路径 |
|---|---|
| 一般类别 | 可以采用模块 A 内部控制；并非自动要求外部实验室。 |
| 重要产品 I 类 | 在相关协调标准、共同规范或合格认证条件得到完整满足时，可以采用模块 A；否则须采用公告机构参与的 B+C 或 H 程序，但符合第32条第5款关于自由及开源软件的特别规定的除外。 |
| 重要产品 II 类 | 应考虑公告机构参与的 B+C 或 H，或在法律允许且明确适用时采用符合条件的欧盟网络安全认证方案；另须核查第32条第5款关于自由及开源软件的特别规定。 |
| 关键产品（附件四） | 以公告机构参与为基本判断；确定路径前仍应核对第32条及法律允许的认证替代方案。 |
符合自由及开源软件条件的产品存在例外：根据第32条第5款，附件三所列产品的制造商可以采用第32条第1款规定的程序，包括模块A，但须在产品投放市场时公开第31条规定的技术文件。这并不意味着该产品整体免于适用CRA。
对 I 类产品，仅引用标准草案或测试某一条款，不足以证明符合模块 A 的条件。应记录具体类别条款、技术理由和待核实假设。
3. 哪些事实会改变结论
评定路径取决于法律分类，而非商品名称或产品上既有的 CE 标志。
- 核心安全功能：防火墙功能可能比整机名称更重要；仅集成某组件不必然使成品重新分类。
- 供应与发布模式：独立出售的组件、嵌入式固件、依赖云端的功能、非商业开源软件和上市后的重大修改需要分别分析。
- 标准状态：区分已发布且覆盖相关要求的协调标准、标准草案、自愿性标准及不足以满足法定路径条件的证据。
4. 差距分析：将每项缺口转化为决策
把附件一中适用的要求与实际控制措施、可用证据逐项比对；缺少流程与缺少文件并不是同一种问题。
| 缺口或触发因素 | 证据与决定 |
|---|---|
| 分类不明确 | 暂停选定路径；首先获取系统架构、预期用途和附件类别分析。 |
| 安全设计风险 | 将威胁模型、安全默认设置、访问控制和测试对应到具体产品的网络安全风险评估。 |
| 漏洞管理缺乏证明 | 核实报告责任人、漏洞接收渠道、协调披露、修复、安全更新及支持期限的合理依据。 |
| 证据链薄弱 | 核对组件清单/SBOM、供应商材料、测试范围、版本和技术文件；确定必须重新生成的材料。 |
优先解决会改变法律路径或妨碍风险控制的缺口。分别记录缺口、责任人、证据、处理决定及剩余不确定性。
5. 可以复用证据，但不能照搬未经证明的结论
现有渗透测试、ISO/IEC 27001 材料、供应商报告和 CE 文件可减少重复工作，但任何单项材料都不能单独证明符合 CRA。
- 仅在产品/版本、风险、要求和方法相符时复用报告；标明失效的覆盖范围及需要重测的部分。
- 将第三方组件和软件依赖纳入制造商自己的评估；供应商证书不会自动转移法律责任。
- 使风险评估、技术文件和上市后漏洞管理流程与所选评定路径一致。
6. 实施前的决策顺序
战略咨询应形成可追溯的计划，而非承诺自动获得批准。
- 按产品建立范围、主体角色和排除事项登记表，标出分类疑点。
- 编写有附件依据、标准状态和选定程序的路径意见书，并标明对公告机构的依赖。
- 排列附件一、技术文件和支持流程中的缺口，明确负责团队及证据复用决定。
- 单独启用自2026年9月11日起适用的报告机制，再按2027年12月11日的时间节点规划合规，并逐项核对过渡规则及产品修改。
7. 咨询与执行的界限
本页讨论执行前如何选路。具体实施、测试协调和技术文件制作属于另一项服务；预算则需要单独分析成本驱动因素。采购后续服务前，应要求顾问提交分类理由和未解决事项清单。
官方一手资料
常见问题
面向欧盟客户的 SaaS 后端必然受 CRA 约束吗？
不是。需判断远程数据处理是否构成数字元素产品的一部分，且是否为其功能所必需；独立服务不能简单等同于硬件。应审查架构与合同。
重要产品 I 类总能自行评定吗？
不能。须核对第32条第2款关于协调标准、共同规范或适用认证的准确条件。若不符合，原则上须采用公告机构参与的程序，但符合第32条第5款关于自由及开源软件的特别规定的除外。
采用开源代码会使最终产品不受 CRA 约束吗？
不会。须考虑最终产品是否商业投放市场及组织的具体角色。非商业开源活动与持续支持开源软件开发并保障其存续的管理主体应分别分析。
已经在欧盟销售的设备怎么办？
制造商报告义务自2026年9月11日起适用，也涵盖符合适用条件的已上市产品。对于2027年的合规义务，应核查首次投放、后续重大修改及过渡规定。
渗透测试报告或 ISO 证书能替代 CRA 评定吗？
不能。可复用相关证据，但必须分别证明适用范围、风险评估、路径条件、合格评定及全生命周期义务。