数字化浪潮的席卷下，物联网（IoT）、工业控制系统等数字技术广泛且深入地渗透到经济与社会生活的各个领域。然而，数字技术蓬勃发展的背后，网络安全问题也不容忽视。仅在2021年全球网络犯罪就造成了5.5万亿欧元的损失。

在这种背景下，欧盟推出的 《网络弹性法案》（Cyber Resilience Act, CRA）在网络安全领域具有里程碑式的意义。该法案是一个 横跨整个 ICT 产品领域的强制性网络安全法规，其发布填补了欧盟在数字产品安全监管方面的空白，为构建更安全、更可靠的数字生态体系奠定了坚实的法律基础。

今年5月，艾体宝推出了文章 《艾体宝干货丨全面解读 CRA ：抓住欧盟网络安全新规下的合规机遇》，本文则是在此基础上对CRA合规落地进行解读。

一、CRA发布的目标

✅提升产品全生命周期的网络安全水平

CRA要求制造商、开发者在产品设计、开发、生产、交付、维护等全链条中嵌入安全措施，确保“安全即默认、安全即内建”（security by design & by default）。

✅统一网络安全要求，减少合规碎片化

在欧盟层面建立统一的强制性网络安全标准，避免各成员国之间的差异化要求，降低企业在跨境贸易中的合规复杂度。

✅保护用户与市场信任

通过强制漏洞管理、更新义务和透明度要求，减少网络攻击带来的数据泄露和经济损失，增强消费者对数字产品的信任度。

✅增强欧洲整体网络韧性与竞争力

CRA不仅是安全立法，也是产业政策。通过提升硬件、软件和物联网产品的安全性，增强欧洲企业在全球市场的竞争优势。

二、CRA核心合规要求

《网络弹性法案》（Cyber Resilience Act, CRA）为含有数字元素的产品建立了统一的网络安全合规框架。其要求分为  产品设计与开发、文档与透明度、生命周期管理、风险分类与合规路径 四大方面。

1. 产品设计与开发阶段

• 安全设计（Security by Design）
  • 制造商必须在架构和软件开发初期即融入安全机制，而不是事后补救。
  • 必须实现安全启动（Secure Boot）、安全固件升级机制、强加密和访问控制。
  • 禁止使用硬编码密码或后门，默认采用“最小权限原则”（Least Privilege）。
  • 针对网络接口、远程管理功能、API调用等关键环节，必须具备防护机制（例如输入验证、防止缓冲区溢出、强身份认证等）。
• 漏洞管理（Vulnerability Management）
  • 制造商需建立完整的漏洞发现、验证、修复和分发机制。
  • 必须具备内部漏洞跟踪系统，并能够接入协调漏洞披露（Coordinated Vulnerability Disclosure, CVD）流程。
  • 要求在合理时间内为已知漏洞发布补丁或缓解方案，避免产品长期暴露在高风险状态。
• 默认安全配置（Secure Defaults）
  • 产品交付时应启用安全的默认设置，而不是依赖用户手动加固。
  • 默认关闭不必要的服务和端口，避免未使用功能被攻击利用。
  • 用户在第一次启用产品时，应被引导设置强密码或多因素认证（MFA）。

2. 产品文档与透明度

• SBOM（软件物料清单）
  • 制造商需提供完整的软件物料清单，列明产品中使用的所有开源与第三方组件、其版本和来源。
  • SBOM应定期更新，并在更新补丁或固件时一并修订。
  • 通过SBOM，用户和监管机构可以快速识别是否存在受已知漏洞影响的依赖组件。
• 安全文档与使用指南
  • 产品必须随附明确的安全使用说明，包括：
    • 已知风险与限制条件；
    • 推荐的安全配置方法；
    • 系统维护周期与支持时限；
    • 与其他产品或服务的依赖关系。
  • 文档应简洁易懂，适用于技术人员和最终用户。

3. 生命周期与更新

• 补丁与更新义务
  • 制造商需确保在产品预期生命周期内（通常至少五年）提供安全更新和技术支持。
  • 更新必须自动化、可验证（完整性校验与签名验证），避免用户被诱导安装恶意补丁。
  • 用户应被明确告知更新计划及产品生命周期终止（EOL）的日期。
• 主动通报义务
  • 一旦发现影响关键功能或用户安全的严重漏洞，制造商需在  24小时内  通报欧盟网络安全局（ENISA）及国家主管机构。
  • 必须对漏洞影响范围、潜在风险和临时缓解措施做出说明。
  • 企业需配合监管部门的后续调查与处置。

4. 风险分类与合规路径

• 普通类产品（一般产品）
  • 产品需要满足附件一第一部分的基本安全要求，制造商建立的流程需要附件一第二部分规定的基本网络安全要求。
  • 制造商可通过  自我评定（Internal Conformity Assessment） 证明合规性。
  • 适用于绝大多数消费类产品、通用IoT设备。
• 关键类产品（关键产品）
  • 包括智能卡或类似设备、网络防火墙、密码学模块等。
  • 必须通过  第三方合格评定机构（Notified Body） 的严格测试与认证，证明其满足CRA基本安全要求。
  • 企业需提交技术文档、风险分析报告和合格评定结果，并在产品投放市场前完成合规流程。

三、企业合规的应对措施

为满足《网络弹性法案》（Cyber Resilience Act, CRA）的要求，企业需要在  组织、技术和流程 三个维度构建系统化的合规能力。这不仅是满足监管的要求，更是降低业务风险、提升产品竞争力的重要途径。

1. 组织层面：建立治理与责任体系

• 产品安全治理机制（PSIRT）
  • 企业应建立  产品安全事件响应团队（PSIRT, Product Security Incident Response Team），明确跨部门的安全责任。
  • 职责包括漏洞通报响应、补丁协调发布、与监管机构/客户的沟通，以及持续改进安全治理。
  • 建立“24小时响应机制”，确保在发现严重漏洞后，能够快速判断影响范围并采取缓解措施。
• 合规与认证体系引入
  • 在供应链管理中引入合规条款，确保上游供应商也遵循CRA相关要求。
  • 定期组织合规审计与内部培训，使开发、测试、运维和市场团队对安全责任有统一认知。

2.技术层面：构建全链路安全能力

• SCA（软件成分分析）
  • 自动识别产品中的开源及第三方组件，检测其版本、许可证合规性与已知漏洞。
  • 通过与漏洞数据库（如NVD、OSV）对接，快速识别依赖库是否存在CVE风险。
  • 持续生成  SBOM 并更新，满足CRA透明度要求。
• SAST/DAST/IAST安全测试
  • SAST（静态应用安全测试）：在代码层面发现安全缺陷，如SQL注入、缓冲区溢出、硬编码密码等。
  • DAST（动态应用安全测试）：在运行时模拟攻击场景，检测身份验证绕过、XSS等漏洞。
  • IAST（交互式应用安全测试）：结合运行时分析与代码扫描，实现更高的检测准确性。
  • 将上述测试集成至CI/CD流水线，形成自动化安全检测闭环。
• 漏洞管理平台
  • 建立统一的漏洞收集、评估和修复平台，整合来自SCA、SAST/DAST/IAST、渗透测试和外部通报的漏洞信息。
  • 对漏洞进行风险分级（CVSS评分）并设定修复优先级。
  • 对于关键漏洞，建立“修复时限承诺”，如 高危漏洞在30天内修复。
• 固件与设备安全检测
  • 使用固件安全检测工具（如 ONEKEY）验证IoT和嵌入式设备是否存在后门、弱口令、未加密通信等问题。
  • 检查固件更新机制是否安全（签名验证、回滚保护）。
  • 结合硬件接口测试，确保调试端口、串口等未被滥用。

3.流程层面：嵌入全生命周期的安全实践

• 安全开发生命周期（SDL）
  • 在需求阶段：进行威胁建模（Threat Modeling），识别潜在攻击路径。
  • 在设计阶段：引入安全架构评审，确保符合“安全默认”原则。
  • 在编码阶段：结合SAST与安全编码规范，降低漏洞引入。
  • 在测试阶段：执行DAST、IAST和渗透测试，验证安全防护效果。
  • 在发布阶段：提供完整的安全文档、SBOM和支持周期信息。
• 补丁与更新发布流程
  • 定义漏洞修复响应时间，例如：
    • 关键漏洞：30天内修复并发布补丁；
    • 高风险漏洞：90天内修复；
    • 中低风险漏洞：在常规更新周期内修复。
  • 更新机制必须具备签名验证和完整性校验，防止供应链攻击。
  • 在产品生命周期结束前，企业需提前通知用户“终止支持时间点”（EOL）。
• SBOM管理
  • 在每次版本更新、补丁发布时自动生成并更新SBOM。
  • 通过标准化格式（SPDX、CycloneDX）交付给客户和监管机构。
  • 建立内部SBOM追踪机制，确保依赖库更新后能够快速触发风险评估。

四、CRA合规落地步骤（推荐路线图）

CRA合规落地并非一次性工作，而是一个持续优化的过程。企业可遵循以下路径：

1. 差距评估:明确现状与法规要求的差距

• 现状盘点
  • 全面梳理现有产品安全管理流程、工具链、团队分工。
  • 评估研发、测试、运维、供应链各环节中已有的安全实践。
• 对照CRA要求的差距分析
  • 依据CRA附件一（基本安全要求），逐项检查企业当前做法是否覆盖：
    • 安全设计与默认配置
    • 漏洞管理与更新机制
    • SBOM生成与透明度
    • 产品文档与通报义务
  • 形成差距清单（Gap List），为后续改进提供依据。
• 优先级划分
  • 按照业务影响和合规风险，将差距分为  关键短板（需立即整改）、 中期改进 和  长期优化 三类。

2.能力建设:部署必要工具与机制，构建合规基础

• 引入工具与自动化能力
  • 部署  SCA（软件成分分析）工具：自动识别开源组件与许可证，支持SBOM生成。
  • 部署  SAST/DAST/IAST工具：覆盖代码开发、测试和运行阶段的漏洞检测。
• SBOM管理机制
  • 制定SBOM生成规则，要求在每次版本更新时自动输出。
  • 确保SBOM符合标准化格式（如SPDX、CycloneDX），便于与客户和监管机构共享。
• 漏洞通报与补丁机制
  • 明确漏洞通报渠道（如专用邮箱、安全门户），建立与ENISA的对接流程。
  • 定义漏洞修复时限，例如关键漏洞30天内修复，高风险90天内修复。
  • 确保补丁分发采用安全机制（数字签名、加密传输、回滚保护）

3.体系化推广:将CRA要求嵌入日常开发和运维

• 嵌入开发全流程（Shift Left Security）
  • 在需求分析阶段开展威胁建模。
  • 在设计阶段进行安全架构评审。
  • 在CI/CD流水线中集成SCA、SAST、DAST测试，形成自动化安全把关。
  • 在运维阶段开展持续监测与日志分析。
• 建立组织层面的合规标准
  • 将CRA要求纳入公司内部  研发流程规范 和  安全政策。
  • 统一安全开发生命周期（SDL）方法论，确保各业务部门遵循相同标准。
  • 推行安全意识培训，让开发、测试、产品经理和运维人员都理解自身合规责任。
• 供应链安全管理
  • 在供应商合同中加入CRA相关安全条款。
  • 要求第三方供应商提供SBOM及安全声明。
  • 定期开展供应链安全审计，防范依赖风险。

4.第三方认证与持续改进:通过第三方认证和持续迭代，形成长效机制

• 关键类产品认证
  • 对于操作系统、加密模块、工业控制系统、防火墙等关键类产品，企业需委托  合格评定机构 进行第三方测试与认证。
  • 准备完整的技术文件，包括风险评估、设计说明、安全测试报告、SBOM清单等。
  • 确保认证覆盖产品全生命周期，而不仅仅是上市前阶段。
• 持续改进机制
  • 定期复盘漏洞响应流程，评估补丁发布的及时性与覆盖率。
  • 根据实际经验，不断优化安全开发生命周期（SDL）。
  • 通过年度安全审计、红队演练和桌面演练，检验应急响应能力。
  • 建立内部合规KPI，例如“关键漏洞修复平均时长”“SBOM交付合规率”。

五、结论

CRA不仅是一项合规法规，更是未来数字市场运行的新游戏规则。 从挑战角度看，CRA覆盖了产品全生命周期，要求企业在组织治理、技术工具和流程体系上进行全面升级，这意味着投入巨大、转型难度高。 但从机遇角度看，率先完成CRA合规的企业，将能够：

• 在欧盟市场获得  优先进入权 和更高的客户信任；
• 在激烈的国际竞争中脱颖而出，形成  品牌差异化优势；
• 通过合规驱动安全创新，为全球市场扩张奠定坚实基础。

总结而言， CRA既是压力测试，也是价值重塑的契机。 那些能够主动拥抱CRA、将安全转化为核心竞争力的企业，不仅能顺利跨越合规门槛，更有望在未来数字经济格局中占据领先地位。