-98.jpg)
欧盟 CRA 法案深度解析：MCU 全生命周期安全合规与 GD32 合规实践
《网络弹性法案》（Cyber Resilience Act）是欧盟为提升网络安全颁布的一项法案，已于2024年12月正式生效，它明确规定了适用于“具有数字元素的产品”的网络安全需求， 这类产品包括能够直接或者间接连接到设备或网络的硬件产品和软件产品；该法案将于2027 年 12 月11日强制执行。
本文系统拆解 CRA 的核心要点，并结合 GD32 的合规实践，帮助上下游合作伙伴建立完整的 CRA 认知与行动路径。
一、CRA 的要求
CRA 采用「产品法规」模式，对带数字元素、能直接或间接连接其他设备或网络的产品，从设计、开发、上市、运维到退市的全生命周期提出强制性安全要求。
1. 关键时间线
时间 | 事件 |
2024-12-10 | CRA 正式生效 |
2026-09-11 | 第十四条报告义务正式生效 + ENISA 单一报告平台上线 |
2027-12-11 | CRA 全面强制执行（EU 符合性声明 + CE 标志） |
强制执行之前，一系列协调标准会陆续发布，用于合规参考。
2. CRA 适用范围
CRA 适用对象是「具有数字元素的产品」，判断一个产品是否落入 CRA 范围，可按以下要素核对：
如果该对象可以传输 / 存储 / 处理数据，即落入CRA适用范围；
或者如果该对象包含软件并且可以物理连接或通过 API连接其他设备且在欧盟市场销售，即落入 CRA 范围。
经兆易创新按上述要素核对，GD32 MCU 全系列均落入 CRA 适用范围。
CRA 同时明确排除4 类已受其他欧盟立法约束的具有数字元素的产品：
医疗器械：受 EU 2017/745 (MDR) / EU 2017/746 (IVDR) 监管的医疗器械。
航空产品：受 EU 2018/1139 / EU 748/2012 监管的航空产品。
船用设备：受 EU 2014/90 / EU 2023/1230 监管的船用设备。
汽车产品：受 UN R 2019/2144 / UN R155（网络安全）/ R156（OTA）监管的汽车产品。
3. 不达标的后果
CRA 第六十四条明确规定，违反附件Ⅰ基本网络安全要求及第十三条、第十四条规定的制造商义务和报告义务，可处最高1500万欧元的行政罚款；如违法主体为企业，可处其上一财政年度全球年营业总额最高2.5%的罚款，二者以较高者为准；罚金可与召回、下架等其他纠正措施叠加执行。第六十五条另设程序性义务违规罚则：报告、文档、标签等违规最高1000万欧元或2%，向监管机构提供误导性信息最高500万欧元或1%。
除罚款外，第六十六条还赋予市场监督机构更严厉的处置权：要求产品下架、召回，甚至禁止产品进入欧盟市场。合规失效的代价远高于合规投入。
4. 产品分类与合格评定方式
CRA 附件Ⅲ将产品分为四类，对应不同的合格评定深度：
产品类别 | 合格评定方式 |
默认类别 | CE 自我宣称 |
重要Ⅰ类 | CE自我宣称 或 机构认证 |
重要Ⅱ类 | 机构认证 |
关键类别 | EUCC认证 |
CRA附件Ⅲ附件Ⅳ中明确罗列了重要类和关键类产品清单，客户可以查看清单进行对标。
兆易创新对标后确认，GD32 MCU 在 CRA 适用范围内：大部分型号归属重要Ⅰ类（Class I），可由制造商自声明；含防篡改功能的少量型号归属重要Ⅱ类（Class II），需第三方公告机构评估。相关评估材料可作为客户开展整机 CRA 合规评定的参考输入证据，帮助客户降低整机合规工作量，整机合规责任仍由整机制造商承担。评定结果可直接被客户在整机层面复用。
5. CRA 网页链接
https://digital-strategy.ec.europa.eu/en/policies/cyber-resilience-act
二、GD32 的应对与已具备的能力
1. CRA 全生命周期应对框架
兆易创新以 EN 40000-1-2（MCU 类产品协调标准）为依据，将 CRA 合规要求贯穿产品开发、发布&推广、全生命周期维护三个阶段，确保每一颗 MCU 出厂即具备 CRA 合规基因。
阶段 | 关键动作 |
产品开发 | 安全开发计划 / 安全需求分析 / 威胁分析 / 安全架构设计 / 安全实现 / 验证与测试 / 安全生产 |
产品发布 & 推广 | 合规评定与上市 / 发布渠道安全 / EU 符合性声明 / CE 标志 / 官网 CRA 专区与 FAQ / 产品合规应用笔记 / 客户与销售培训及研讨会 |
产品全生命周期维护 | PSIRT 安全事件响应团队 / 漏洞管理体系文档与执行 / 产品支持周期至少5年 / 提供安全更新服务至少10年 / 技术文档保存至少10年 / 产品退役流程文档与执行 |
2. 专业的 PSIRT 漏洞响应机制
兆易创新高度重视产品安全，成立了专门的产品安全事件响应团队（PSIRT），负责接收和响应与兆易创新MCU产品相关的潜在安全漏洞报告。客户可经官网渠道，或通过 PSIRT 专用邮箱（psirt@gigadevice.com）上报漏洞。
PSIRT 小组根据「漏洞发现与预警→评估与分级→应急响应→修复与验证→披露与分发」五阶段要求，已经围绕制度与流程、技术能力、组织与运营三大维度建立了完整的漏洞管理体系，以满足 CRA 漏洞披露与义务要求。
针对 CRA 特别关注的「已被利用漏洞」与「严重安全事件」两类特殊情况，PSIRT 承诺：知悉后 24h 内完成早期预警，72h 内完成漏洞通报。
2.1 五阶段闭环流程
漏洞发现与预警：互联网漏洞监控 + CVE / NVD 跟踪 + 客户与内部上报。
评估与分级：CVSS 评分 + 影响范围分析 + 优先级判定。
应急响应：启动应急响应计划 + 24h 内完成研判 + 组件处置团队。
修复与验证：补丁开发 + 安全自验证 + 回归测试。
披露与分发：安全补丁发布 + 安全公告发布 + 客户通知。
2.2 三大支撑体系
制度与流程：漏洞预警应急响应管理制度、应急响应计划模板、漏洞补丁全发布流程、协调漏洞披露（CVD）政策。
技术能力：PSIRT 漏洞上报与披露网站、PSIRT PGP Key 管理、内部漏洞跟踪系统（Mantis）、SBOM 生成与管理、漏洞信息监控预警平台。
组织与运营：PSIRT 组织建设与人员名单、产品安全应急响应团队、漏洞扫描与静态检查计划、客户 PSIRT 联络清单维护、安全更新分发机制。
3. 以 F50x 为标杆的全流程合规体系
我们正以 GD32F50x 为代表项目，与 TÜV 莱茵实验室合作，依据 EN 40000-1-2 / 1-3 + CRA Annex I 基本要求进行 MCU 第三方 CRA 评审，覆盖产品开发、发布、推广、销售、退市全生命周期，2026 年 Q1 启动、计划 Q4 完成，2027 年起将经验与模板推广到 GD32 MCU 全产品线。
GD32 MCU 承诺满足产品支持周期至少5年、提供安全更新服务至少10年、技术文档保存至少10年的要求。
3.1 审查范围
• 技术文档（10 年留存）。
• 风险评估报告 + 测试报告。
• PSIRT 流程（24h 早期预警 / 72h 正式通报）。
• 安全更新机制 + SBOM。
• EU 符合性声明样板。
3.2 关键产出（4 大件）
• 完整 CRA 评估文档（MCU行业首例）。
• 合格评定流程模板（可复用其他型号）。
• PSIRT 协同机制（行业范本）。
• EU 符合性声明样板（可借鉴）。
4. 可提供的 SBOM
• 同时支持 CycloneDX v1.5 与 SPDX v2.3 两种主流格式。
• 覆盖固件依赖、第三方组件、开源许可证声明。
• 随固件版本同步发布，可通过 GD32 官方渠道获取。
5. 重点产品已通过 SESIP L2 认证
GD32F50x 系列已正式取得 SESIP L2（Security Evaluation Standard for IoT Platforms, Level 2）认证，可作为客户申请 IEC 62443 等工业安全认证的关键证据。SESIP 评估结果在 IEC 62443 体系中具备互认关系，客户的整机安全认证可直接复用 GD32F50x 的评估材料，省去重复评估的时间与费用。
6. 持续扩大的安全认证版图
除 SESIP L2 外，GD32 已在 PSA、ISO 21434、TISAX 等领域取得相应认证或评估结论，覆盖产品级安全、车辆网络安全与汽车信息安全管理体系全维度。
面向未来，我们已规划 GD32F527、GD32H73x、GD32H75x、GD32H77x、GD32H78x 等产品陆续进入 SESIP L2 认证计划，认证清单将随项目进展持续公布。
三、CRA 附件 I 条款逐项对标
CRA 附件 I 第 1 部分按 (a)~(m) 列出了 13 项网络安全要求，覆盖从上市到退役的全生命周期能力。下表把 GD32 MCU 的硬件安全能力逐条对标，方便客户在自身整机产品的 CRA 评定中直接引用。
条目标号 | Annex I 要求 | GD32 对应能力 |
(a) | 上市时无已知可利用漏洞 | GD 漏洞管理机制（PSIRT 主动响应 + 漏洞扫描 + 官网漏洞公告） SESIP L2 / PSA / ISO 21434 / TISAX 认证背书 |
(b) | 默认安全配置（含重置出厂） | GD 芯片提供安全机制，在开发中按需使能相关安全机制，如使能读出保护、Flash 保护等 |
(c) | 支持安全升级补丁 | 双bank交换升级，rww 安全数据交互所需aes算法硬件或软件库 数据完整性校验的hash，ecc，rsa算法硬件或软件库 完整方案demo简化客户开发 |
(d) | 防未授权访问 | CPU可通过MPU进行线程级权限控制 关键数据具备硬件级访问控制管理 调试口授权访问或锁定调试口 开发对外接口时最小权限、参数检查 |
(e) | 保护数据机密性 | 关键数据具备硬件级访问控制管理，保证机密性 aes算法硬件或软件库对数据进行加密，保证数据机密性 外部数据密文存储，MCU加载或者使用时实时解密，保证外部存储机密性 通过“仅可执行区”保证代码机密性 |
(f) | 保护数据完整性 | 安全启动机制保证程序、数据、配置完整性 OTP或Efuse区域，保证关键用户数据不可改变 hash，ecc，rsa算法硬件或软件库保证用户数据完整性 |
(g) | 最小化系统设计 | 每个组件不会有冗余、不相干功能，不接触不相干数据 |
(h) | 保护基本功能可用性 | 硬件看门狗监控程序运行 功能接口可用性设计 |
(i) | 最小化内部或者外部负面影响 | 设备间身份确认与状态确认机制 通讯信息完整性所需硬件算法或软件库，如hash，ecc |
(j) | 限制外部接口，减少恶意攻击面 | 减少不必要的对外接口 对外接口严格检查参数输入 对外接口做模糊测试 |
(k) | 采用合适的机制或技术进行产品设 计、研发和生产，减少安全事件的影响 | 电压、温度、时钟监测和报警功能 安全启动和错误处理 程序只可执行区域 MPU隔离纵深防御机制并提供demo，降低客户使用成本 |
(l) | 安全日志及审计 | 内部高速存储或外部大容量存储支持日志记录 硬件或软件算法库支持日志存储、传输安全性 |
(m) | 退役安全处置 | flash安全降级与回退功能 产品退役功能，并具备清除机密敏感信息的能力 |
上述对标覆盖了 Annex I, Part 1 的全部 13 项基本要求（(a)~(m)）。GD32 也已支持客户将这些能力材料化为 CRA 合规证据包，直接接入客户整机的合规评定流程，缩短整体评定周期。
四、长期支持与认证规划
1. 长期支持
默认承诺 5年安全支持期；GD32F50x 等关键产品承诺不低于 10年的长生命周期支持，支持期内持续提供安全更新与漏洞修复。
2. 已通过的认证
•SESIP L2
•PSA Certified
•ISO 21434
•TISAX
完整认证清单与证书扫描件将在兆易创新官网 CRA 专区同步发布。
3. 后续认证规划
已规划 GD32F527、GD32H73x、GD32H75x、GD32H77x、GD32H78x 等料号陆续进入 SESIP L2 认证计划；PSA、ISO 21434 等认证范围也将持续扩展。
4. 客户支持与文档
合规包：技术文档（SBOM、芯片说明，配置说明）。
开发支持：安全开发指南，含安全配置示例、推荐实践、常见误区。
FAE 咨询：专业 FAE 团队一对一咨询，针对客户产品形态定制合规路径。
培训赋能：定期举办 CRA 合规专题培训与工作坊。
五、CE 标志
满足 CRA 全部要求后，制造商可在产品上加贴 CE 标志，这是产品进入欧盟市场的「通行证」。CE 标志的合法使用需同时满足 EU Declaration of Conformity（DoC）与技术文档的可追溯要求。GD32 在以完整元器件形式销售给欧盟客户时，会配套提供符合 CE 标识所需的技术文档。
六、小结
总结来说，面对 2027-12-11 的 CRA 强制实施日，GD32 在产品、流程与服务三个层面为客户提供了完整的合规支撑，让客户的整机产品可以以最小投入承接 CRA 要求。
「产品」层面：GD32 已在硬件安全模块、固件安全启动、加密算法引擎、安全隔离与生命周期管理等关键能力上具备 Annex I 全部 13 项要求的对标能力，并以 GD32F50x 为代表完成行业首例 MCU 第三方 CRA 评审，评定结果可直接被客户在整机层面复用。
「流程」层面：GD32 已建立 PSIRT 漏洞管理体系（24h 早期预警，72h 正式通报）、CVD 协调披露政策、SBOM 双格式发布机制与全生命周期支持承诺，为客户提供可审计、可追溯的合规证据包。
「服务」层面：GD32 在信息安全方向提供以下交付物和服务，帮助客户在自身整机产品上高效承接 CRA 合规要求：
PSIRT 漏洞响应：psirt@gigadevice.com 邮箱接收漏洞报告；24h 早期预警 / 72h 正式通报。
CRA 合规培训：CRA 合规培训，含客户问卷支持/GD32F50x 案例分享。
技术支持 + FAE：项目级 FAE 支持 + CRA 合规咨询。
安全公告订阅：公开漏洞页面 + 官网 / 公众号定期推送。
SBOM 提供：CycloneDX 1.5 / SPDX 2.3 双格式支持。
客户 workshop：CRA 工作组 + PSIRT 联合支持，定期组织行业 workshop。
【免责提示】CRA 将于 2027/12/11 全面强制执行。本文所述为 GD32 MCU 元器件层面预合规能力与预评估项目，不代表产品已完成 CRA 法定合格评定；整机 CRA 合规义务由整机制造商承担，元器件评估材料仅作为整机合规的参考证据，不替代整机制造商的欧盟符合性声明（DoC）与 CE 标识相关义务。
