歐盟委員會于2025年11月28日正式通過《委員會實施條例 (EU) 2025/2392》，對《網絡彈性法案》中規定的重要產品和關鍵產品類別作出了詳細的技術描述。該條例將于公布后第二十天生效，旨在為制造商提供清晰的法律指引，明確哪些產品需要遵循更嚴格的網絡安全合規性評估程序。

核心功能決定產品分類

條例明確指出，產品的核心功能是判定其是否屬于重要或關鍵類別的決定性因素。如果一款產品整合了其他安全組件的功能，但其自身的核心功能不同，則整體產品不自動歸入相應類別。例如，智能手機雖集成了操作系統和密碼管理器，但其核心功能并非如此，因此不被視為該類別的關鍵產品。

制造商在進行合規性評估時，需基于產品的整體核心功能進行判斷，并確保產品整體滿足基本的網絡安全要求，同時充分考慮其整合的各組件安全性。

重要產品覆蓋廣泛領域

根據條例附件一，重要產品被劃分為兩大等級，涵蓋范圍廣泛。其中Class I包括身份管理系統、獨立及嵌入式瀏覽器、密碼管理器、殺毒軟件、虛擬專用網、網絡管理系統、操作系統、路由器與交換機、具有安全功能的微處理器和微控制器，以及智能家居虛擬助手、聯網玩具、健康監測可穿戴設備等共計19類產品。

Class II則聚焦于更高安全等級的產品，包括支持虛擬化執行的虛擬機管理程序及容器運行時系統、防火墻及入侵檢測防御系統，以及防篡改微處理器和微控制器。其中防篡改類產品需滿足通用準則中規定的AVA_VAN 2級或3級保護標準。

關鍵產品設定更高門檻

附件二明確了三類關鍵產品的技術描述。硬件安全設備如物理支付終端和硬件安全模塊，需具備物理層面的防篡改能力。智能電表網關作為智能計量系統的核心控制組件，需具備數據加密和防火墻功能。

智能卡及類似設備則設定了最高安全標準，需滿足AVA_VAN 4級保護要求，涵蓋可信平臺模塊、嵌入式通用集成電路卡、電子身份證件、支付卡等產品。這些設備通常用于存儲和管理身份憑證或支付信息，面臨最高的安全風險。