面向联网产品的《网络韧性法案》：制造商现在需要做什么

如果你开发的产品带有芯片、无线模块或软件更新机制，并在欧盟销售，那么《网络韧性法案》（Cyber Resilience Act，CRA）已经不再是未来的问题。

法规 (EU) 2024/2847 于 2024 年 12 月生效。自 2026 年 9 月 11 日 起，制造商必须报告被积极利用的漏洞和严重事件。自 2027 年 12 月 11 日 起，其余大部分义务开始适用，包括产品获得 CE 标志前必须满足的安全要求。

我不是律师，本文也不构成法律意见。但我多年来一直从事嵌入式安全产品的工作，在许多团队中看到同样的模式：人们把这部法规当作合规文件来读，而它所要求的大部分内容其实是一种工程能力。

2026 年 9 月发生了什么变化

第一项可执行的义务是报告。当制造商得知其产品中存在被积极利用的漏洞，或发生影响产品安全的严重事件时，必须在 24 小时 内通过 ENISA 运营的统一报告平台发出早期预警。

有两个细节很重要。

• 这项义务同样适用于已经上市的产品，而不仅仅是新产品。
• 24 小时不足以开始寻找信息，只够用来使用你已经掌握的信息。

所以真正的问题不是“我们是否了解这条规定”，而是“我们能否在几个小时内说清楚：哪些产品包含受影响的组件，现场有哪些版本，谁负责修复”。

2027 年 12 月起适用的内容

自 2027 年 12 月起，CRA 的基本要求全面适用。具体来说，带有数字元素的产品必须在整个支持期内以安全为前提进行设计和维护。这包括：

• 产品上市时不存在已知的可利用漏洞；
• 默认配置安全；
• 能够提供安全更新，并在可能时与功能更新分开；
• 保护数据的机密性和完整性，包括采用符合技术现状的密码学；
• 建立漏洞处理流程，并提供软件物料清单（SBOM）；
• 规定支持期限并告知用户。

违规代价高昂：对于基本要求，罚款最高可达 1500 万欧元或全球年营业额的 2.5%，以较高者为准。

被低估的部分：了解产品内部有什么

上面的每一项义务都依赖于一件事：对产品构成有准确、最新的认识。

不仅是一份软件组件清单，而是它们之间如何相互关联。

• 哪个固件镜像运行在哪个硬件版本上？
• 哪些密钥为哪些更新签名？
• 哪些证书确立了设备的身份？
• 哪些第三方库负责密码学功能，版本是什么？

许多组织其实拥有这些信息，只是分散在工程团队、生产系统、供应商和旧文档之中。这种状态可以维持，直到你只有 24 小时来采取行动的那一天。

密码学是“技术现状”的一部分

CRA 并未指定具体算法，而是要求保护措施符合技术现状。

这个说法有它的时间表。NIST 于 2024 年 8 月发布了首批后量子密码标准。欧盟的协调路线图要求成员国在 2026 年底前启动迁移，并在 2030 年前保护高风险用例。一款在 2028 年上市、支持期为十年或十五年的联网产品，将完全处于这一过渡期之中。

这并不意味着每款产品明天就必须搭载后量子算法，而是意味着你需要知道密码学用在哪里，以及你将如何更换它。更多内容见《我为什么要做 Shorium》。

我会从哪里开始

如果今天由我负责一系列联网产品，我会按以下顺序做四件事。

1. 梳理受影响的产品。 哪些产品带有数字元素，哪些已经上市，你能实际承诺多长的支持期。
2. 建立危机时需要的清单。 组件、版本、密钥、证书和供应商，并与现场的产品和版本关联起来。SBOM 只是起点，而不是终点。
3. 演练 24 小时报告。 选取去年一个真实的漏洞，计时回答以下问题：受影响的产品、受影响的版本、负责人、缓解措施。
4. 检查更新链。 你能否向仍在支持的每一款产品推送经过签名的安全更新？如果签名密钥或算法必须更换，会发生什么？

这些步骤都不需要第一天就引入新工具，它们需要的是有人对这个问题负责。

义务之中的机会

人们很容易把 CRA 看作成本。我认为它也是一种推动力。

能够清楚看到自己的产品、并能安全地修改它们的团队，会做出更好的产品。法规只是规定了一个日期，从那天起，这种能力不再是可选项。

如果你想交流你的组织是如何应对的，欢迎联系我。