01关键时间节点
关键时间节点--天后全面适用
2024-10-23法案通过并签署
CRA 完成立法程序。
2024-12-10法案生效
进入过渡期，制造商开始准备。
2026-06-11评定机构条款适用
合格评定机构的相关规定开始适用。
今天2026-09-11上报义务适用
被利用漏洞和严重事件的上报已经生效，已上市产品也包括在内。
2027-12-11全面适用
产品须满足全部要求并完成合格评定。
上报义务比全面合规早 15 个月生效，已经上市的产品也要遵守。
02四项核心义务
01
安全设计
默认安全配置，减少攻击面，满足附件 I 的基本要求。
02
漏洞处理与更新
在支持期内修复漏洞并提供安全更新，并建立漏洞披露渠道。
03
合格评定与技术文件
按产品等级完成评定，保存技术文件，出具符合性声明并加贴 CE 标志。
哨岗关注04
漏洞与事件上报
被利用漏洞和严重事件：24 小时预警、72 小时通报、再提交最终报告。
责任链
制造商主要责任
›进口商核验合规
›分销商核验合规
授权代表按书面授权
03产品分级与评定路径
默认类DEFAULT
大多数联网产品
Module A多数可自行评定（内部控制）
重要 I 类CLASS I
操作系统、浏览器、VPN、密码管理器、路由器、智能家居通用产品
自评或第三方适用协调标准或认证方案时可自评，否则需第三方参与
重要 II 类CLASS II
超管理程序、防火墙、入侵检测与防御系统、防篡改微处理器
通知机构须由通知机构参与评定
关键类CRITICAL
带安全盒的硬件设备、智能电表网关、智能卡
EUCC可能要求欧盟网络安全认证（EUCC 等）
评定要求较宽松评定要求较严格
分类依据 CRA 第 7 条及附件 III、IV。具体产品落在哪一类，以法规附件及欧盟后续的实施法案为准，请和合规顾问确认。
04协调标准
欧盟正在制定把附件 I 转化为可验证技术要求的协调标准。在标准正式列入欧盟官方公报之前，可以先参考行业标准做差距分析；完整采用协调标准，才可以获得符合性推定。建议随时关注官方公布的最新状态。
05七步合规路线图
?FAQ
CRA 什么时候开始适用？
2024 年 12 月 10 日生效；漏洞与事件上报义务自 2026 年 9 月 11 日适用；全面适用日为 2027 年 12 月 11 日。
哪些产品适用 CRA？
在欧盟市场销售、具有数字元素的产品，通常指能直接或间接连接其他设备或网络的软硬件，制造商所在国不影响适用。
CRA 把产品分为几类？
四类：默认类、重要 I 类、重要 II 类和关键类，不同类别的合格评定路径不同。
免费 3 分钟自测
10 个问题，生成一页可转给老板的上报准备度报告。
更多指南
本文依据欧盟 CRA（法规 (EU) 2024/2847）公开条文整理，仅供一般参考，不构成法律意见。具体义务请以法规原文及贵司法律顾问意见为准。