近年來，歐盟不斷加強數字產品網絡安全監管。

繼GDPR、NIS2之后，《網絡彈性法案（Cyber Resilience Act，CRA）》成為制造業、消費電子、工業控制和軟件行業最關注的新法規之一。

企業問題和法規背景

許多企業在接觸CRA時都會提出類似問題：

·我的產品是否屬于CRA監管范圍？

·不聯網的產品是否適用CRA？

·芯片是否屬于CRA產品？

·軟件是否屬于CRA產品？

·工業設備是否屬于CRA產品？

·CRA中的默認類、重要類和關鍵類有什么區別？

事實上，CRA的適用范圍遠比很多企業想象得更廣。

本文將從產品定義、適用范圍、豁免范圍和產品分類四個方面，全面解析CRA的產品范圍。

CRA到底管什么？

CRA是一部針對“帶有數字元素產品（Products with Digital Elements）”的網絡安全法規。

法規核心目標是：

在產品整個生命周期內建立統一的網絡安全要求，確保制造商從設計、開發、交付到漏洞管理全過程承擔網絡安全責任。

與傳統產品安全法規不同，CRA關注的是：

產品是否存在數字功能以及由此產生的網絡安全風險。

什么是“帶有數字元素的產品”？

CRA對產品的定義非常廣泛。

法規指出：

帶有數字元素的產品，是指軟件或硬件產品及其遠程數據處理解決方案，包括單獨投放市場的軟件或硬件組件，其預定用途或合理可預見用途包含與設備或網絡之間直接或間接的邏輯或物理數據連接。

理解這一定義時，需要重點關注三個關鍵詞：

數字元素（Digital Elements）

包括：

· 軟件

· 固件

· 操作系統

· 芯片中的程序

· 嵌入式代碼

· 云端處理功能

只要產品具有數字處理能力，就可能屬于CRA監管對象。

數據連接（Data Connection）

這里并不要求產品必須連接互聯網。

法規使用的是：

與設備或網絡之間直接或間接的數據連接。

因此：

· Wi-Fi

· 藍牙

· Zigbee

· Thread

· NFC

· USB

· RS232

· RS485

· CAN

· Ethernet

都屬于可能的連接方式。

即使產品永遠不接入互聯網，只與另一臺設備進行數據交換，也可能屬于CRA監管范圍。

合理可預見用途

CRA不僅關注制造商宣稱的用途。

還關注：

用戶在正常情況下可能采取的使用方式。

因此，制造商不能僅通過限制說明書描述來規避CRA要求。

哪些產品可能屬于CRA范圍？

從實踐來看，CRA覆蓋范圍非常廣。

消費電子產品

例如：

· 智能門鎖

· 智能攝像頭

· 智能門鈴

· 智能插座

· 智能開關

· 智能照明設備

· 智能家電

· 智能音箱

· 智能電視

· 智能手表

· 智能手環

這些產品通常具有軟件、固件以及數據通信能力，因此大多屬于CRA監管對象。

軟件產品

CRA并不僅針對硬件。

軟件同樣可能獨立成為CRA產品。

例如：

· 操作系統

· 瀏覽器

· VPN軟件

· 網絡管理平臺

· 移動應用程序

· 云管理軟件

· 設備配置軟件

· 遠程控制軟件

只要軟件被單獨投放市場，即可能構成CRA意義上的產品。

工業控制產品

工業領域是CRA重點監管對象之一。

例如：

· PLC

· DCS

· SCADA

· CNC

· 工業網關

· 工業交換機

· 工業路由器

· 邊緣計算設備

這些產品往往影響工業生產連續性，因此受到重點關注。

工業物聯網產品

例如：

· 工業傳感器

· 工業采集終端

· 智能儀表

· 工業無線終端

· 工業監測設備

只要具備數字功能和通信能力，通常都屬于CRA適用范圍。

芯片與電子元器件

這是很多企業容易忽略的部分。

CRA不僅監管終端產品，也可能監管核心電子器件。

例如：

· MCU

· MPU

· FPGA

· ASIC

· Secure Element

· 安全處理器

因此半導體企業同樣需要關注CRA要求。

哪些產品通常不適用CRA？

CRA并不是所有數字產品的唯一法規。

歐盟對于部分高監管行業已經建立專門法規體系。

為了避免重復監管，CRA對部分產品進行了豁免。

典型包括：

醫療器械

適用MDR和IVDR法規。

汽車及汽車電子

適用UNECE R155和R156等法規。

航空設備

適用EASA航空網絡安全法規體系。

部分船舶和航空航天產品

適用行業專門法規。

因此這些行業原則上不重復適用CRA。

CRA為什么還要進行產品分類？

雖然所有CRA產品都需要滿足基本網絡安全要求。

但不同產品造成的網絡安全影響并不相同。

例如：

智能插座被攻擊，可能影響一個家庭；

工業防火墻被攻擊，可能影響整個工廠；

數字證書系統被攻擊，甚至可能影響整個國家級數字信任體系。

因此CRA采用風險分級管理模式。

根據產品的重要程度和潛在影響，將產品劃分為：

· 默認類別（Default Category）

· 重要產品Ⅰ類（Important Products Class I）

· 重要產品Ⅱ類（Important Products Class II）

· 關鍵產品（Critical Products）

默認類別：CRA中最大的產品群體

很多企業誤以為：

“只有重要產品才需要滿足CRA。”

實際上這是錯誤理解。

默認類別同樣受到CRA監管。

只不過其符合性評估路徑相對簡單。

什么是默認類別？

CRA法規并沒有單獨列出默認類別目錄。

默認類別實際上是一種排除法定義：

屬于CRA范圍，但未被列入重要產品和關鍵產品目錄的產品。

原則上都屬于默認類別。

默認類別產品有哪些？

例如：

消費電子產品：

· 智能門鎖

· 智能門鈴

· 智能插座

· 智能燈具

· 智能攝像機

· 智能家電

工業產品：

· 工業傳感器

· 數據采集終端

· 工業通信模塊

· 工業邊緣采集設備

軟件產品：

· 配套APP

· 數據展示軟件

· 本地配置軟件

· 用戶管理工具

芯片產品：

· 無線通信芯片

· 傳感器芯片

· 音頻芯片

· 顯示驅動芯片

這些產品雖然具有數字功能，但不承擔關鍵網絡管理或安全功能，因此通常屬于默認類別。

從市場規模來看，默認類別產品占CRA覆蓋產品總量的絕大多數。

重要產品與關鍵產品

對于網絡安全影響更大的產品，CRA建立了專門目錄。

其中：

重要Ⅰ類

主要包括：

· 瀏覽器

· 密碼管理器

· VPN產品

· 網絡管理系統

· 防火墻

· 路由器

· MCU

· PLC

· SCADA

· 工業物聯網設備等。

重要Ⅱ類

主要包括：

· 操作系統

· PKI系統

· 工業防火墻

· 通用CPU

· HSM

· Secure Element

· 智能卡

· 智能電表

· 機器人控制器等。

關鍵產品

主要包括：

· 防篡改硬件安全設備

· 智能計量網關

· 高安全加密設備

· 智能卡及同類安全產品

這些產品承擔關鍵安全功能，因此適用更嚴格的符合性評估要求。

企業應該如何判斷自己的產品？

建議按照以下順序進行分析：

第一步：

確認產品是否屬于帶有數字元素的產品。

第二步：

確認是否屬于CRA豁免行業。

第三步：

確認是否列入重要產品目錄。

第四步：

確認是否列入關鍵產品目錄。

第五步：

確定適用的符合性評估路徑。

CRA并不是一部針對“聯網設備”的法規，而是一部針對“帶有數字元素產品”的網絡安全法規。

從消費電子、工業控制設備，到軟件平臺、芯片器件，越來越多產品將被納入統一的網絡安全監管框架。

對于企業而言，開展CRA合規工作的第一步并不是認證，而是準確識別產品是否屬于CRA范圍，以及屬于默認類、重要類還是關鍵類產品。

只有完成正確的產品分類，后續的風險評估、安全設計、測試驗證和符合性評估工作才能順利開展。