CRA实施进入倒计时！2026最新进展公布，企业合规进入关键阶段

监管框架逐步明确：CRA实施进入关键阶段

2026年，欧盟围绕《网络韧性法案》（CRA）的实施持续推进。其中，欧盟委员会于3月发布了《网络韧性法案》指导文件草案（Draft Commission Guidance），进一步对CRA法律条文进行了官方解读，为企业理解法规要求和开展合规工作提供了重要参考。最终版本预计将于2026年底或2027年初正式发布。

与此同时，欧盟正式确认，自2027年12月11日《网络韧性法案》（CRA）全面适用起，《无线电设备指令》（Radio Equipment Directive, RED）第3.3条(d)、(e)、(f)项中的网络安全要求将不再适用。届时，针对具有数字元素产品（Products with Digital Elements, PDEs）的网络安全要求将统一纳入CRA监管框架，进一步减少重复监管要求，提升法规体系的一致性。

标准体系加速完善：协调标准逐步落地

除监管框架不断完善外，CRA相关标准化工作也在持续推进。其中，首个横向CRA标准prEN 40000-1-2《数字元素产品的网络安全要求——第1-2部分：网络韧性原则》（Cybersecurity requirements for products with digital elements – Part 1-2: Principles for cyber resilience）已完成起草并进入最终审查阶段。该标准有望成为支撑CRA实施的重要协调标准，为企业理解法规要求、开展产品开发及符合性评定（Demonstration of Conformity）提供统一的技术依据。

与此同时，工业自动化与控制系统领域广泛采用的IEC 62443系列标准是否能够作为CRA符合性推定（Presumption of Conformity）的依据，目前仍处于讨论阶段。这表明，CRA配套标准体系仍处于不断完善阶段，企业应持续关注协调标准及行业标准的最新进展，及时调整产品合规策略。

CRA实施提速，企业应提前开展合规准备

随着CRA实施不断推进，企业应结合产品特点及业务布局，尽早开展合规规划。建议重点关注以下几个方面：

• 开展产品适用性分析（Scope Assessment）

确认产品是否属于CRA监管范围内的具有数字元素产品（PDEs），并识别适用的法规要求，为后续合规工作奠定基础。

• 开展差距分析（Gap Assessment）

对照CRA要求，系统评估企业现有产品开发流程、网络安全管理措施及技术文档与法规要求之间的差距，明确整改重点，制定合规实施计划。

• 建立网络安全风险管理机制

将网络安全要求贯穿产品全生命周期（Product Lifecycle），落实“设计即安全”（Security by Design）和“默认安全”（Security by Default）原则，持续提升产品网络安全能力。

• 完善技术文档及漏洞管理机制

建立并维护技术文档（Technical Documentation），完善漏洞管理（Vulnerability Handling）和安全更新（Security Updates）流程，满足CRA对产品持续合规的要求。

• 持续关注法规及标准动态

目前，CRA配套指导文件、协调标准及认证机制仍在持续完善。企业应及时关注相关进展，动态调整合规策略，为2027年CRA全面实施做好准备。

DQS观察：认证将成为CRA合规的重要支撑

随着CRA配套标准、认证体系及符合性评定机制（Conformity Assessment）逐步完善，认证将在企业证明产品符合CRA要求、增强市场信任和提升国际竞争力方面发挥越来越重要的作用。对于部分产品而言，依据法规要求开展第三方符合性评定，也将成为进入欧盟市场的重要环节。

作为国际认证机构，DQS将持续关注CRA相关法规、标准及认证要求的最新进展，为企业提供专业的法规解读、差距分析及认证支持，帮助企业构建符合CRA要求的产品网络安全管理能力，提升产品进入欧盟市场的合规保障。