网络弹性法案（CRA）

CRA对制造商的影响

• 要求汇总

• 漏洞处理流程

• 信息与标识要求

• 要求汇总

  • 

    设计与开发阶段

    产品在设计、开发与生产过程中应遵循安全设计原则，从源头确保产品安全。

  • 

    产品交付阶段

    产品在交付时须满足基本网络安全要求，确保不存在已知安全漏洞。

  • 

    产品运行阶段

    产品在运行过程中应保障自身及其他设备的安全，持续维持稳定的安全状态。

  • 

    流程与组织能力阶段

    相关流程与组织能力应遵循基于安全风险的最佳实践，以有效应对各类网络安全风险。

  
• 漏洞处理流程

  • 

    识别与文档管理

    识别并记录产品相关的依赖关系与安全漏洞信息，包括软件物料清单（SBOM）。

  • 

    技术验证与影响评估

    对已报告的安全漏洞进行技术分析，明确受影响的产品范围，并对数字产品开展安全测试，以评估其安全能力。

  • 

    风险评估与严重性分级

    采用行业认可的方法对已确认漏洞进行严重性评估，分析其潜在影响，确保产品及时消除已知安全风险。

  • 

    修复与安全更新支持

    在产品预期生命周期或声明的支持周期内，提供相应的漏洞修复措施与安全更新支持，及时发布安全补丁，并配套必要的说明信息。

  • 

    信息披露

    对已修复的安全漏洞信息进行公开披露，并遵循协调漏洞披露机制。

  
• 信息与标识要求

  • CE 标志

    产品须加贴 CE 标志，以表明其符合相关欧盟法规与标准要求。

  • 漏洞报告联系方式

    提供用于报告安全漏洞的联系方式，便于用户和相关方反馈安全问题。

  • 制造商支持信息

    明确制造商所提供的支持类型及支持期限。

  • 使用与数据处理说明

    提供安全使用指南及安全数据删除的相关说明。

  • 欧盟符合性声明

    随产品提供欧盟符合性声明文件，以证明产品符合相关法规要求。