- Regulation (EU) 2024/2847 — Cyber Resilience Act
- Regulation (EU) 2019/1020 — market surveillance
- Directive 2014/53/EU — Radio Equipment, for radio products
谁必须指定
在欧盟市场上投放具有数字元素的产品的制造商，这些制造商在欧盟以外设立。'具有数字元素的产品'包括其预期用途包括数据连接的硬件——相机、路由器、智能家电、工业传感器、可穿戴设备——以及单独提供的软件，无论是出售、许可还是间接变现。进口商和分销商有自己的义务，如果他们以自己的名义销售产品，则承担制造商的责任。如果制造商位于欧盟以外且没有在欧盟设立的进口商，则授权代表是当局联系的实体。
门槛与豁免
实质性义务不适用营业额或规模门槛。非商业活动中开发或提供的自由和开源软件不在范围内，开源管理者有较轻的监管。微型企业和小型企业在某些文档上获得程序性减免，而不是豁免。已经受到等效部门网络安全规则覆盖的产品——医疗设备、机动车辆、民用航空、海洋设备——被排除在外，以避免重复。
标签上必须载明的内容
制造商的名称、注册商标或商标及邮政地址，以及授权代表的相同信息，必须在产品、其包装或附随文件上标明。一个用于报告漏洞的单一联系点，必须易于查找，并在可行的情况下可机器读取。自2027年12月起，符合性义务适用时的CE标志。向用户提供有关安全更新提供的支持期限、更新交付方式以及预期用途和已知风险的信息。
平台字段
目前尚不存在专门的市场领域，但已经用于CE标记商品的合规领域将包含这些细节，欧盟的企业采购现在通常会询问CRA代表是谁以及声明的支持期限是什么。预计市场将在2027年12月临近时添加支持期限字段，就像他们在2024年添加GPSR责任人字段一样。
必须保存的文件
涵盖设计、开发和漏洞处理流程的技术文档。网络安全风险评估，在支持期间更新，决定适用的附录I基本要求及其适用方式。以常用的机器可读格式提供的软件材料清单，至少涵盖顶级依赖项。协调的漏洞披露政策，公开可用。漏洞及其修复的记录。欧盟合规声明。如果产品属于附录III或IV下的重要或关键类别，则需提供通知机构证书或相关方案认证。
标准与检测
符合性评估路径取决于类别。默认产品可以使用内部控制来满足基本要求。类别I中的重要产品如果完全适用协调标准，可以自我评估，否则需要第三方。类别II始终需要第三方。关键产品可能需要欧洲网络安全认证。CRA下的协调标准仍在开发中，这意味着自我评估目前基于对附录I的文档推理，而不是基于标准编号。
语言要求
说明和用户信息，包括支持期限和漏洞联系点，必须以每个成员国用户易于理解的语言提供，该语言由该国确定。
何时开始适用
有三个重要日期。从2026年9月11日起，适用第14条的报告义务：必须通过单一报告平台报告主动利用的漏洞和严重事件。从2027年12月11日起，其余义务全面适用，包括CE标志、符合性评估和基本要求。在该日期之前投放市场的产品通常不受追溯影响，除非在之后进行了实质性修改，但报告义务会提前生效。
文件保存期限
技术文档和欧盟合规声明必须在产品投放市场后至少保存十年，或支持期限的长度，以较长者为准。支持期限必须至少为五年，除非预期使用时间较短，并且必须记录缩短期限的理由。
不合规的后果
因违反基本要求或制造商核心义务而处以最高1500万欧元或全球年营业额的2.5%，以较高者为准。因大多数其他义务而处以最高1000万欧元或2%，因向通知机构或当局提供不正确或误导性信息而处以最高500万欧元或1%。除了罚款外，当局可以命令撤回市场、禁止或限制产品的可用性，并要求召回。
由谁执法
为CRA指定的国家市场监督当局、ENISA和被指定为报告义务协调员的CSIRT。委员会对在多个成员国中存在重大网络安全风险的产品拥有执法权。
界限在哪里
大多数商业软件都在范围内，但有一些边缘情况值得了解。仅在欧盟以外销售的产品不在范围内；使同一软件可供欧盟用户下载则不然。SaaS通常不在CRA范围内，除非它是与产品功能密切相关的远程数据处理解决方案，在这种情况下，它通过产品纳入范围。医疗设备、车辆和航空遵循其自己的网络安全制度。CRA与NIS2并行，而不是取代它：NIS2涉及影响您作为实体的服务的事件，CRA涉及您投放市场的产品中的漏洞。
常见问题
- 我们是一家小型软件公司——这真的适用于我们吗？
- 是的，如果软件是商业性地提供给欧盟用户的。没有中小企业豁免，只有一些程序简化。随着规模的变化，预期的文档深度会有所不同，而不是义务的存在与否。
- 我们的SaaS平台在范围内吗？
- 通常不单独在范围内。它在成为远程数据处理解决方案时进入范围，该解决方案的缺失将阻止具有数字元素的产品执行其功能，在这种情况下，它作为该产品的一部分进行评估。
- 我们现在需要CE标志吗？
- 还不需要。CE标志和符合性评估自2027年12月11日起适用。第14条下的报告义务自2026年9月11日起适用，这是更近的截止日期，也是大多数制造商未准备好的截止日期。
- 什么算作支持期限？
- 您提供安全更新的期间，必须反映用户合理期望使用产品的时间，并且至少为五年，除非有合理理由证明并记录缩短期限。在购买前必须向用户声明。