欧盟网络韧性法案合规成本：如何编制可靠预算
欧盟网络韧性法案合规成本：如何编制可靠预算
欧盟《网络韧性法案》（CRA）并不存在适用于所有产品的统一价格或强制认证收费。应分别估算产品整改、合规评定途径及上市后安全维护成本。CE 标志并不是付费购买的 CRA 证书。
CRA 是否规定官方统一收费？
欧盟条例 (EU) 2024/2847 没有规定制造商内部合规评定或加贴 CE 标志的统一欧盟收费标准。采取内部控制程序并不当然需要付费委托公告机构。如果依法需要第三方评定，应按具体范围询价；测试和咨询属于不同服务。没有依据可以给出对所有产品适用的欧元总价。
第 14 条规定的报告义务自 2026 年 9 月 11 日适用，也涉及此前已在欧盟市场供应的产品。大多数其他义务自 2027 年 12 月 11 日适用。因此，2026 年的预算已经应当包括报告能力。
先判断产品类别：它决定评定途径及费用
应依第 32 条，根据产品核心功能对照附件 III、IV 及官方技术类别说明。下表用于初步预算判断，不能代替最终的法律分类。
| 产品类别 | 可能适用的合规评定途径 | 预算影响 |
|---|---|---|
| 普通产品 | 一般可采用制造商内部控制程序（模块 A）。 | 支付风险分析、技术证据和文件编制成本；外部测试并非一律强制。 |
| 第一类重要产品 | 只有采用适用的协调标准、共同规范或符合条件的欧盟网络安全认证方案，才可使用内部控制；否则需公告机构。应核查自由开源软件例外。 | 条件尚未确定时，应同时估算合规内部评定和第三方评定两条路线。 |
| 第二类重要产品／关键产品 | 通常由公告机构评定，或在法律允许且适用时采用合格的欧盟网络安全认证方案；另应核查部分重要开源产品的例外。 | 询价应列明评定模块、产品变体、版本及复测费用；不能仅凭自我声明作出决定。 |
报价前先建立逐项成本清单
区分一次性开发支出与整个产品生命周期的经常性成本，并明确每项的负责人、数量与证据。
| 成本项目 | 主要成本驱动因素 | 应要求的报价依据 |
|---|---|---|
| 分类与差距分析 | 预期用途、安全核心功能、组件及既有控制措施。 | 书面说明范围、监管路径及假设。 |
| 整改和技术文件 | 安全设计、风险、漏洞处理、供应商证明和用户说明。 | 工作包、人日及验收标准。 |
| 验证与复测 | 接口、攻击面、测试环境、样品及软件／固件版本。 | 测试计划、样品数量、缺陷处理及复测价格。 |
| 外部合规评定 | 仅在适用路径要求或主动选择时发生；B+C 与 H 模块范围不同。 | 核实公告机构 CRA 资格、交付成果、监督及变更费用。 |
| 生产与版本管理 | 工厂、外包开发、变体及发布审批。 | 明确是否确需现场或流程检查；不存在普遍强制工厂审计。 |
| 上市后安全与欧盟责任分工 | 支持期限、监测、更新、报告及实际需要的代表／进口商服务。 | 年度预算、负责人和合同约定的角色。 |
三种预算场景，并非固定报价
- 拥有成熟安全流程的普通软件产品 — 外部评定支出可能较少，重点在整改、证据以及更新和报告流程。
- 协调标准适用性不明的第一类重要产品 — 分别编制符合条件的内部控制方案，以及条件不满足时公告机构评定方案；定价前核实标准。
- 频繁更新固件的第二类重要联网设备系列 — 考虑第三方评定或合格认证方案、代表性样品以及变更和复测费用；证明不同型号复用证据的合理性。
取得可靠报价所需的资料
缺少以下信息时，任何数字都只能是附条件的初步估算。
- 制造商、品牌、欧盟供应链、如适用的进口商或授权代表以及责任分配。
- 产品描述、预期用途、核心功能、联网方式、使用环境及销售市场。
- 附理由的 CRA 类别；适用标准、共同规范或认证方案及核验结果。
- 软硬件版本、型号、供应商、软件物料清单（SBOM）及第三方／远程依赖。
- 已有风险评估、测试、事件响应、漏洞披露、安全更新和技术文件。
- 支持期限、发布计划、可能的重大修改、测试样品及内部人员资源。
安排工作顺序，减少重复支出
- 先确定产品边界并记录适用性和类别疑点，不要首先购买所谓认证。
- 核实合法评定路径、现行标准／方案，以及公告机构就该范围的正式资格。
- 复用可靠的已有安全证据，仅为经确认的缺口采购服务。
- 书面约定测试准入、版本和样品、复测条件、变更处理及报价排除项。
- 单列漏洞监测、修复、支持和第 14 条报告的持续预算。
比较报价并计入持续费用
要求供应商分别列示固定交付成果、可选项目、内部工时、有依据的差旅和现场检查、复测、可能的监督、税费及后续支持。未说明类别和评定范围的“CRA 证书 X 欧元”缺乏可比性。
具体实施工作参见CRA 合规实施服务；分类与合规策略参见CRA 产品分类咨询；其他 CE 制度的费用参见CE 标志相关成本。这些服务的目的不同。
官方依据
关于 CRA 成本的常见问题
加贴 CE 标志或签署 CRA 声明有固定欧盟收费吗？
CRA 没有规定普遍适用的固定收费。企业内部工作仍有成本；公告机构参与评定时可能收取相应费用。
第一类重要产品都必须购买外部实验室测试吗？
不是。应核实内部控制的合法条件及必须提供的证据。即使法律未强制，独立测试也可能具有价值。
一次评定能涵盖整个产品系列吗？
仅在所选评定程序、经文件证明的共同架构、型号差异及参与评定机构所接受的范围均能够支持时，才可能涵盖整个系列。应单列型号、固件变化和可能的复测。
欧盟境外制造商一律必须聘请付费授权代表吗？
不能一概而论。CRA 允许通过书面授权指定代表；进口商及其他欧盟经营者的责任必须依据实际供应模式另行分析。
为什么在 2027 年 12 月之前就要预算报告费用？
第 14 条报告义务自 2026 年 9 月 11 日起适用；大多数其他义务从 2027 年 12 月 11 日起适用。