《网络韧性法案》合规检查清单：您的 CRA 准备度得分

《网络韧性法案》（Cyber Resilience Act）为带有数字元素的产品的制造商规定了一系列义务：报告、产品安全要求、漏洞处理以及文件。请针对您的产品逐项作答，了解目前的进度和尚未完成的事项，每一项都注明条款。

已于 2026年10月17日与来源核对

第 (EU) 2024/2847 号条例（《网络韧性法案》），第 13、14、69 和 71 条，附件 I 和 II

已于 2026年10月17日与来源核对

您的 CRA 准备情况

请针对一个产品逐行作答。得分只统计您的回答；不检查、不发送、也不保存任何内容。

报告义务（第 14 条）：自 2026 年 9 月 11 日起适用，已投放市场的产品也适用

被积极利用的漏洞：24 小时内提交预警，72 小时内提交通报，最迟在修复措施可用后 14 天内提交最终报告，均通过单一报告平台 (Article 14(1), (2))
影响产品安全的严重事件：24 小时内提交预警，72 小时内提交通报，通报后一个月内提交最终报告 (Article 14(3) to (5))
您知道由哪个被指定为协调者的 CSIRT 接收您的报告：您在欧盟的主要营业地所在成员国的 CSIRT；如无主要营业地，按第 14(7) 条规定的顺序确定 (Article 14(7))
已将漏洞或事件以及可采取的措施告知受影响的用户，并在适当时告知所有用户 (Article 14(8))

产品要求（附件 I 第 I 部分）：自 2027 年 12 月 11 日起

仅当您的网络安全风险评估表明不适用时才选“不适用”，并须在技术文件中说明理由（第 13(4) 条）。

与风险相适应的网络安全水平 (Annex I, Part I(1))
无已知可被利用的漏洞 (Annex I, Part I(2)(a))
默认安全配置，可恢复出厂状态 (Annex I, Part I(2)(b))
安全更新，默认自动安装 (Annex I, Part I(2)(c))
防止未经授权的访问 (Annex I, Part I(2)(d))
数据保密性 (Annex I, Part I(2)(e))
数据、命令和配置的完整性 (Annex I, Part I(2)(f))
数据最小化 (Annex I, Part I(2)(g))
基本功能的可用性 (Annex I, Part I(2)(h))
限制对其他设备和网络的影响 (Annex I, Part I(2)(i))
限制攻击面 (Annex I, Part I(2)(j))
缓解漏洞利用 (Annex I, Part I(2)(k))
安全日志记录和监控，可选择退出 (Annex I, Part I(2)(l))
安全删除所有数据和设置 (Annex I, Part I(2)(m))

漏洞处理（附件 I 第 II 部分）：自 2027 年 12 月 11 日起

已识别并记录漏洞和组件，并编制至少涵盖顶层依赖项的软件物料清单 (Annex I, Part II(1))
及时处理和修复漏洞，提供安全更新；在技术可行时与功能更新分开提供 (Annex I, Part II(2))
对产品安全进行有效且定期的测试和审查 (Annex I, Part II(3))
安全更新发布后，公开披露已修复漏洞的信息 (Annex I, Part II(4))
已制定并执行协调漏洞披露政策 (Annex I, Part II(5))
提供报告漏洞的联系地址，并采取措施分享漏洞信息，包括第三方组件中的漏洞 (Annex I, Part II(6))
以安全方式分发更新；对于安全更新，在适用时自动分发 (Annex I, Part II(7))
及时免费分发安全更新（与商业用户就定制产品另有约定的除外），并附带安全公告 (Annex I, Part II(8))

制造商义务（第 13 条）：自 2027 年 12 月 11 日起

已完成网络安全风险评估，形成文件，在支持期内更新，并纳入技术文件 (Article 13(2) to (4))
对第三方组件和开源组件履行尽职调查；在其中发现的漏洞已报告给其制造者或维护者 (Article 13(5), (6))
已根据产品的预期使用时间确定支持期：至少五年，预期使用时间较短的除外 (Article 13(8))
每个安全更新在发布后至少保留 10 年可供获取，如支持期剩余时间更长，则保留至支持期结束 (Article 13(9))
购买时已清楚说明支持期的结束时间，至少包括月份和年份 (Article 13(19))
产品上标有型号、批次号或序列号；无法标注时，标在包装上或随附文件中 (Article 13(15))
产品、包装或随附文件上载有名称、邮政地址以及电子邮件或其他数字联系方式，并为用户设立单一联络点 (Article 13(16), (17))
随产品提供用户信息和说明（附件 II），并至少保留 10 年；如支持期更长，则保留至支持期结束 (Article 13(18), Annex II)
在产品投放市场之前编制技术文件（附件 VII） (Article 13(12), Article 31, Annex VII)
已选择并完成合格评定程序（第 32 条）；重要产品和关键产品可选的程序较少 (Article 13(12), Article 32)
已编制欧盟符合性声明并加贴 CE 标志；随产品提供声明副本或简化声明 (Article 13(12), (20), Articles 28 and 30)
技术文件和声明在产品投放市场后至少保存 10 年；如支持期更长，则保存至支持期结束 (Article 13(13))

准备度：0%

已完成：0 / 38 个适用项

未作答：38（按未完成计）

按领域

报告义务0%
产品要求0%
漏洞处理0%
制造商义务0%

尚未完成

被积极利用的漏洞：24 小时内提交预警，72 小时内提交通报，最迟在修复措施可用后 14 天内提交最终报告，均通过单一报告平台 (Article 14(1), (2); 未作答) CRA 报告登记册
影响产品安全的严重事件：24 小时内提交预警，72 小时内提交通报，通报后一个月内提交最终报告 (Article 14(3) to (5); 未作答) CRA 报告登记册
您知道由哪个被指定为协调者的 CSIRT 接收您的报告：您在欧盟的主要营业地所在成员国的 CSIRT；如无主要营业地，按第 14(7) 条规定的顺序确定 (Article 14(7); 未作答) CRA 报告登记册
已将漏洞或事件以及可采取的措施告知受影响的用户，并在适当时告知所有用户 (Article 14(8); 未作答) CRA 报告登记册
与风险相适应的网络安全水平 (Annex I, Part I(1); 未作答)
无已知可被利用的漏洞 (Annex I, Part I(2)(a); 未作答)
默认安全配置，可恢复出厂状态 (Annex I, Part I(2)(b); 未作答)
安全更新，默认自动安装 (Annex I, Part I(2)(c); 未作答)
防止未经授权的访问 (Annex I, Part I(2)(d); 未作答)
数据保密性 (Annex I, Part I(2)(e); 未作答)
数据、命令和配置的完整性 (Annex I, Part I(2)(f); 未作答)
数据最小化 (Annex I, Part I(2)(g); 未作答)
基本功能的可用性 (Annex I, Part I(2)(h); 未作答)
限制对其他设备和网络的影响 (Annex I, Part I(2)(i); 未作答)
限制攻击面 (Annex I, Part I(2)(j); 未作答)
缓解漏洞利用 (Annex I, Part I(2)(k); 未作答)
安全日志记录和监控，可选择退出 (Annex I, Part I(2)(l); 未作答)
安全删除所有数据和设置 (Annex I, Part I(2)(m); 未作答)
已识别并记录漏洞和组件，并编制至少涵盖顶层依赖项的软件物料清单 (Annex I, Part II(1); 未作答) SBOM 生成器
及时处理和修复漏洞，提供安全更新；在技术可行时与功能更新分开提供 (Annex I, Part II(2); 未作答)
对产品安全进行有效且定期的测试和审查 (Annex I, Part II(3); 未作答)
安全更新发布后，公开披露已修复漏洞的信息 (Annex I, Part II(4); 未作答)
已制定并执行协调漏洞披露政策 (Annex I, Part II(5); 未作答)
提供报告漏洞的联系地址，并采取措施分享漏洞信息，包括第三方组件中的漏洞 (Annex I, Part II(6); 未作答)
以安全方式分发更新；对于安全更新，在适用时自动分发 (Annex I, Part II(7); 未作答)
及时免费分发安全更新（与商业用户就定制产品另有约定的除外），并附带安全公告 (Annex I, Part II(8); 未作答)
已完成网络安全风险评估，形成文件，在支持期内更新，并纳入技术文件 (Article 13(2) to (4); 未作答) CRA 文件包（付费）
对第三方组件和开源组件履行尽职调查；在其中发现的漏洞已报告给其制造者或维护者 (Article 13(5), (6); 未作答)
已根据产品的预期使用时间确定支持期：至少五年，预期使用时间较短的除外 (Article 13(8); 未作答)
每个安全更新在发布后至少保留 10 年可供获取，如支持期剩余时间更长，则保留至支持期结束 (Article 13(9); 未作答)
购买时已清楚说明支持期的结束时间，至少包括月份和年份 (Article 13(19); 未作答)
产品上标有型号、批次号或序列号；无法标注时，标在包装上或随附文件中 (Article 13(15); 未作答)
产品、包装或随附文件上载有名称、邮政地址以及电子邮件或其他数字联系方式，并为用户设立单一联络点 (Article 13(16), (17); 未作答)
随产品提供用户信息和说明（附件 II），并至少保留 10 年；如支持期更长，则保留至支持期结束 (Article 13(18), Annex II; 未作答) CRA 文件包（付费）
在产品投放市场之前编制技术文件（附件 VII） (Article 13(12), Article 31, Annex VII; 未作答) CRA 文件包（付费）
已选择并完成合格评定程序（第 32 条）；重要产品和关键产品可选的程序较少 (Article 13(12), Article 32; 未作答) CRA 类别检查
已编制欧盟符合性声明并加贴 CE 标志；随产品提供声明副本或简化声明 (Article 13(12), (20), Articles 28 and 30; 未作答) CRA 文件包（付费）
技术文件和声明在产品投放市场后至少保存 10 年；如支持期更长，则保存至支持期结束 (Article 13(13); 未作答)

这是您自己的回答，不是评估：得分并不表明产品符合该法规。

检查涵盖的内容

报告义务（第 14 条）：被积极利用的漏洞和严重事件，通过单一报告平台报告给被指定为协调者的 CSIRT 和 ENISA，并告知用户。
产品的基本网络安全要求（附件 I 第 I 部分）：一项总体要求和十三项具体要求。
漏洞处理要求（附件 I 第 II 部分）：八项，包括软件物料清单。
制造商的其他义务（第 13 条）：风险评估、组件、支持期、更新、产品标识、用户信息、技术文件、合格评定、声明和 CE 标志、文件保存。

日期

第 14 条（报告义务）自 2026 年 9 月 11 日起适用，也适用于 2027 年 12 月 11 日之前投放市场的产品（第 69(3) 条和第 71(2) 条）。
法规的其余部分自 2027 年 12 月 11 日起适用。在此之前投放市场的产品，只有自该日期起进行实质性修改时才受其约束（第 69(2) 条）。

得分如何计算

只有答“已完成”的项才计入。“部分完成”“未开始”和未作答的项都按未完成计，因此得分绝不会高于您的回答。“不适用”会将该项从总数中去除；只有附件 I 第 I 部分第 2 点的具体要求可选此项，因为这些要求根据网络安全风险评估并在适用时才适用，且技术文件必须说明理由（第 13(4) 条）。百分比向下取整。

检查不做什么

它不测试、也不评估您的产品：得分只统计您自己的回答，高分并不表明产品符合该法规。它只涵盖制造商，不涵盖进口商（第 19 条）、经销商（第 20 条）或开源软件管理者（第 24 条）。如需确定产品类别和合格评定程序，请使用 CRA 检查；报告时限请使用 CRA 报告登记册；软件物料清单请使用 SBOM 生成器。

您的回答不会离开浏览器，也不会被保存：重新加载页面即会清除。如需保留，请复制或打印结果。

来源

第 (EU) 2024/2847 号条例（《网络韧性法案》），第 13、14、69 和 71 条，附件 I 和 II