您需要了解的欧盟网络弹性法案

了解CRA包含的内容以及如何遵守。

什么是CRA？

《网络弹性法案》（CRA）是即将出台的欧盟法规，旨在确保在欧盟销售的所有数字产品和服务（如连接到互联网的软件和硬件）都采用强大的网络安全措施。

该法案要求制造商在整个产品生命周期内确保其安全。

CRA适用于哪些人？

CRA适用于所有“带有数字元素的产品”（PDE），包括任何软件或硬件产品及其远程数据处理解决方案。

“远程数据处理”是指任何作为产品核心功能的数据处理（没有它，PDE就无法实现其功能），并由PDE制造商开发。

PDE可以源自：

软件开发商：创建软件应用程序和系统的公司或个人。
硬件制造商：生产带有数字组件的物理设备（例如物联网设备、智能手机和计算机）的制造商。
服务提供商：云解决方案只有符合法规定义时才构成远程数据处理解决方案。例如，使用云托管平台进行远程控制的智能家居设备属于法规范围。

根据现有法规，某些行业（例如专业医疗设备、机动车辆、民航系统和船舶设备）不属于CRA范围。

CRA何时实施？

欧洲议会(EP)于2024年3月12日通过了CRA最终文本的“临时”版本。

然而，这仍然不是该文件的最终版本。CRA的正式签署和发布预计将在2024年10月左右进行。

一旦最终文本正式通过，大部分内容将在三年后（约2027年10月）生效。

但是，事故报告要求将在颁布两年后（2026年10月）对制造商适用。

在CRA实施日期之前，欧盟将制定协调标准，以便制造商更好地进行合格评定。欧盟委员会还将发布指南，协助公司应用CRA。

CRA的要求是什么？

根据附件1，CRA安全要求分为两部分：

第1部分–与具有数字元素(PDE)的产品属性相关的安全要求

1. PDE的设计、开发和生产应根据其面临的风险，确保适当的网络安全水平。

2. 在适用的情况下，含有数字元素的产品应：

采用安全的默认配置进行销售
防止未经授权的访问
保护其处理的数据的机密性和完整性，将数据限制在必要的最低限度
和更多

第2部分-漏洞处理要求

1. 识别并记录PDE组件及其漏洞。立即解决漏洞。
2. 定期测试和审查PDE的安全性。
3. 制定全面的漏洞处理计划，其中包含：

自动安全更新，及时修复漏洞
提供相关信息的咨询信息
漏洞报告平台
漏洞披露政策

制造商的义务是什么？

该文件第10条描述了制造商在上述要求方面的义务。

要将PDE投放市场，制造商需要制定PDE风险评估，并定期记录和更新。

评估需要包括以下内容：

根据PDE的目的、用途和环境对网络风险进行分析。
第1部分第3点的要求适用于PDE。
制造商将如何应用第1部分第1点，以及他们将如何处理第2部分的漏洞要求。

当将PDE投放到市场时，制造商应将此信息包含在产品的技术文档中。

除了风险评估之外：

制造商必须验证第三方组件（包括开源组件）的完整性，以免危及PDE的安全性。
制造商应该在PDE投放市场之前和之后的整个支持期内处理其漏洞。

报告安全事件

该文件的第11条规定了PDE中的事件报告指南。

制造商必须在指定时间范围内（初始警报为24小时，详细报告为72小时，最终报告为14天）通过单一报告平台向指定的CSIRT（计算机安全事件响应小组）协调员和ENISA（欧洲网络安全局）通报其产品中任何被主动利用的漏洞。

同样，严重安全事件也必须在24小时内报告初步警报，72小时内报告详细信息，并在一个月内报告全面的最终报告，并通过同一平台向CSIRT和ENISA提交通知。

产品分类

默认类别：包括所有不属于高风险类别的含有数字元素的产品。此类别的产品通常需要制造商进行自我评估。

重要产品（第一类和第二类）：

I类：这些产品很重要，但不是关键产品。与默认类别相比，它们可能需要更严格的自我评估和记录。

II类：这些产品比I类产品更为关键，通常需要第三方评估以确保符合要求。

关键产品：这些产品在网络安全漏洞和潜在影响方面的风险最高。它们必须遵守最严格的合格评定程序，包括强制性的第三方评估和可能更频繁的重新评估

合格评定

CRA下的合格评定流程旨在验证产品是否符合指定的网络安全要求。评估的复杂性取决于产品的分类。以下是所涉及的步骤：

1. 自我评估：对于不太重要的产品，制造商可以进行自我评估，以证明其符合CRA的要求。这涉及创建一份技术文档文件，概述产品如何满足必要的网络安全标准。

2. 第三方评估：对于更关键的产品，必须由独立的第三方合格评定机构（公告机构）进行评估。这确保对产品的安全特性进行公正的评估，并符合CRA的要求

3. 持续合规：制造商还必须通过定期更新产品来应对新的漏洞和威胁，从而确保持续合规。这可能包括由制造商或第三方进行的定期重新评估，具体取决于产品类别。

不合规处罚

不遵守CRA规定可能会招致巨额罚款。

制造商和其他利益相关者可能面临高达1500万欧元或全球年营业额2.5%的罚款（以较高者为准）。

向监管机构提供不准确或误导性信息也会受到特定处罚。