股票 
板块 
用户 
资讯 CRA，全称 Cyber Resilience Act，即欧盟《网络韧性法案》，法规编号为 (EU) 2024/2847，是欧盟针对搭载数字组件产品推出的横向强制性网络安全法规。
CRA覆盖范围广泛，所有搭载数字组件、可直接或间接联网的软硬件产品均在管辖范畴内，包括安全芯片、安全元件（SE）、USB Key、FIDO Authenticator、智能卡、加密模块、工控控制器、物联网设备、嵌入式固件、各类应用软件等等。根据CRA的规定，只要企业将具备数字或联网能力的软硬件投放至欧盟市场，就需要对产品全生命周期安全承担法定责任。
（完全离线、不含数字逻辑的产品被CRA排除在外；纯公益、不以商业经营为目的的开源软件可豁免；单纯云服务一般不直接受 CRA 约束，仅配套绑定的远程产品组件纳入管控。）
CRA 的核心导向，是将安全前置至产品研发阶段，摒弃 “产品定型后再补安全能力” 的传统模式。CRA规定的企业核心义务包括：
上市前开展风险评估，产品出厂默认配置不得存在弱口令等不安全配置项；
落实供应链尽职调查，对第三方组件、芯片、固件进行追溯，输出软件物料清单（SBOM）；
建立常态化漏洞管理机制，接收漏洞报告后完成评估、处置，必要时推送安全补丁；
明确产品安全生命周期承诺，向用户公示安全维护周期，产品终止支持（EOL）信息也需公开告知；
重大安全漏洞、安全事件须向欧盟统一上报平台履行通报义务；
留存完整技术文档、符合性声明，接受市场监管部门抽查，违规产品可被召回。
CRA 按照风险等级将产品划分为三类，分级结果决定评估路径与合规成本：
Class I（低风险）：厂商自我声明合规，自行评估并留存资料，无需第三方机构介入；
Class II（中风险）：厂商自主评估，妥善保管技术文件，监管机构可随时抽查；
Class III（高风险，安全关键产品）：必须由欧盟授权的公告机构（Notified Body）实施第三方符合性评估，取得相关证明后方可加施 CE 标识、进入欧盟市场。
对于飞天诚信所处的身份认证赛道，身份认证设备、加密硬件等产品以及安全元件、密码模块等关键部件大多归属 III 类，相关企业普遍面临评估周期长、成本高、各成员国执行口径仍在磨合等现实挑战。
CRA于2024年11月20日由欧盟官方公报发布，同年12月10日起正式生效。到2027 年 12 月 11 日，法案全部条款将强制落地实施。今年9 月 11 日，漏洞上报义务已经落地。
CRA 处罚力度较高，违规企业最高可处以全球年营业额 2% 的罚款，是欧盟市场不可忽视的硬性准入门槛。
——THE END——
新加坡金融管理局 (MAS)要求银行逐步淘汰一次性口令（OTP）
飞天诚信前沿科技追踪：“国产PQC”（我国新一代商用密码算法）进展
评论 (0)