一、CRA法规背景
CRA（Cyber Resilience Act，网络弹性法案），法规编号Regulation (EU) 2024/2847，是欧盟针对"含数字元素产品"（Products with Digital Elements）出台的横向网络安全立法，2024年12月10日生效，核心义务自2027年9月11日起适用，其中漏洞主动报告义务自2026年9月11日起先行适用。
CRA的管控逻辑与RED（无线电设备指令）形成互补：RED管射频与频谱合规，CRA管产品全生命周期的网络安全。路由器因同时具有无线发射与网络接入功能，属于两项立法叠加覆盖的对象。
二、路由器的产品归类：Class I关键产品
CRA附件III将联网设备划分为Class I与Class II两类关键产品。路由器被明确列入Class I清单（网络设备类目，与网络存储、接入控制设备同组）。
| 分类维度 | Class I（路由器所属） | Class II（更高风险） |
|---|---|---|
| 典型产品 | 路由器、交换机、网络存储 | 工控网关、安全网关、密码模块 |
| 风险定位 | 中等风险联网设备 | 高风险/安全关键设备 |
| 合格评定 | 内部控制+公告机构介入（可选路径） | 强制EU网络安全认证体系或B+D模块 |
归类判定流程如下：
#mermaid-svg-2IqWXi4BtBp09QDd{font-family:"trebuchet ms",verdana,arial,sans-serif;font-size:16px;fill:#333;}@keyframes edge-animation-frame{from{stroke-dashoffset:0;}}@keyframes dash{to{stroke-dashoffset:0;}}#mermaid-svg-2IqWXi4BtBp09QDd .edge-animation-slow{stroke-dasharray:9,5!important;stroke-dashoffset:900;animation:dash 50s linear infinite;stroke-linecap:round;}#mermaid-svg-2IqWXi4BtBp09QDd .edge-animation-fast{stroke-dasharray:9,5!important;stroke-dashoffset:900;animation:dash 20s linear infinite;stroke-linecap:round;}#mermaid-svg-2IqWXi4BtBp09QDd .error-icon{fill:#552222;}#mermaid-svg-2IqWXi4BtBp09QDd .error-text{fill:#552222;stroke:#552222;}#mermaid-svg-2IqWXi4BtBp09QDd .edge-thickness-normal{stroke-width:1px;}#mermaid-svg-2IqWXi4BtBp09QDd .edge-thickness-thick{stroke-width:3.5px;}#mermaid-svg-2IqWXi4BtBp09QDd .edge-pattern-solid{stroke-dasharray:0;}#mermaid-svg-2IqWXi4BtBp09QDd .edge-thickness-invisible{stroke-width:0;fill:none;}#mermaid-svg-2IqWXi4BtBp09QDd .edge-pattern-dashed{stroke-dasharray:3;}#mermaid-svg-2IqWXi4BtBp09QDd .edge-pattern-dotted{stroke-dasharray:2;}#mermaid-svg-2IqWXi4BtBp09QDd .marker{fill:#333333;stroke:#333333;}#mermaid-svg-2IqWXi4BtBp09QDd .marker.cross{stroke:#333333;}#mermaid-svg-2IqWXi4BtBp09QDd svg{font-family:"trebuchet ms",verdana,arial,sans-serif;font-size:16px;}#mermaid-svg-2IqWXi4BtBp09QDd p{margin:0;}#mermaid-svg-2IqWXi4BtBp09QDd .label{font-family:"trebuchet ms",verdana,arial,sans-serif;color:#333;}#mermaid-svg-2IqWXi4BtBp09QDd .cluster-label text{fill:#333;}#mermaid-svg-2IqWXi4BtBp09QDd .cluster-label span{color:#333;}#mermaid-svg-2IqWXi4BtBp09QDd .cluster-label span p{background-color:transparent;}#mermaid-svg-2IqWXi4BtBp09QDd .label text,#mermaid-svg-2IqWXi4BtBp09QDd span{fill:#333;color:#333;}#mermaid-svg-2IqWXi4BtBp09QDd .node rect,#mermaid-svg-2IqWXi4BtBp09QDd .node circle,#mermaid-svg-2IqWXi4BtBp09QDd .node ellipse,#mermaid-svg-2IqWXi4BtBp09QDd .node polygon,#mermaid-svg-2IqWXi4BtBp09QDd .node path{fill:#ECECFF;stroke:#9370DB;stroke-width:1px;}#mermaid-svg-2IqWXi4BtBp09QDd .rough-node .label text,#mermaid-svg-2IqWXi4BtBp09QDd .node .label text,#mermaid-svg-2IqWXi4BtBp09QDd .image-shape .label,#mermaid-svg-2IqWXi4BtBp09QDd .icon-shape .label{text-anchor:middle;}#mermaid-svg-2IqWXi4BtBp09QDd .node .katex path{fill:#000;stroke:#000;stroke-width:1px;}#mermaid-svg-2IqWXi4BtBp09QDd .rough-node .label,#mermaid-svg-2IqWXi4BtBp09QDd .node .label,#mermaid-svg-2IqWXi4BtBp09QDd .image-shape .label,#mermaid-svg-2IqWXi4BtBp09QDd .icon-shape .label{text-align:center;}#mermaid-svg-2IqWXi4BtBp09QDd .node.clickable{cursor:pointer;}#mermaid-svg-2IqWXi4BtBp09QDd .root .anchor path{fill:#333333!important;stroke-width:0;stroke:#333333;}#mermaid-svg-2IqWXi4BtBp09QDd .arrowheadPath{fill:#333333;}#mermaid-svg-2IqWXi4BtBp09QDd .edgePath .path{stroke:#333333;stroke-width:2.0px;}#mermaid-svg-2IqWXi4BtBp09QDd .flowchart-link{stroke:#333333;fill:none;}#mermaid-svg-2IqWXi4BtBp09QDd .edgeLabel{background-color:rgba(232,232,232, 0.8);text-align:center;}#mermaid-svg-2IqWXi4BtBp09QDd .edgeLabel p{background-color:rgba(232,232,232, 0.8);}#mermaid-svg-2IqWXi4BtBp09QDd .edgeLabel rect{opacity:0.5;background-color:rgba(232,232,232, 0.8);fill:rgba(232,232,232, 0.8);}#mermaid-svg-2IqWXi4BtBp09QDd .labelBkg{background-color:rgba(232, 232, 232, 0.5);}#mermaid-svg-2IqWXi4BtBp09QDd .cluster rect{fill:#ffffde;stroke:#aaaa33;stroke-width:1px;}#mermaid-svg-2IqWXi4BtBp09QDd .cluster text{fill:#333;}#mermaid-svg-2IqWXi4BtBp09QDd .cluster span{color:#333;}#mermaid-svg-2IqWXi4BtBp09QDd div.mermaidTooltip{position:absolute;text-align:center;max-width:200px;padding:2px;font-family:"trebuchet ms",verdana,arial,sans-serif;font-size:12px;background:hsl(80, 100%, 96.2745098039%);border:1px solid #aaaa33;border-radius:2px;pointer-events:none;z-index:100;}#mermaid-svg-2IqWXi4BtBp09QDd .flowchartTitleText{text-anchor:middle;font-size:18px;fill:#333;}#mermaid-svg-2IqWXi4BtBp09QDd rect.text{fill:none;stroke-width:0;}#mermaid-svg-2IqWXi4BtBp09QDd .icon-shape,#mermaid-svg-2IqWXi4BtBp09QDd .image-shape{background-color:rgba(232,232,232, 0.8);text-align:center;}#mermaid-svg-2IqWXi4BtBp09QDd .icon-shape p,#mermaid-svg-2IqWXi4BtBp09QDd .image-shape p{background-color:rgba(232,232,232, 0.8);padding:2px;}#mermaid-svg-2IqWXi4BtBp09QDd .icon-shape .label rect,#mermaid-svg-2IqWXi4BtBp09QDd .image-shape .label rect{opacity:0.5;background-color:rgba(232,232,232, 0.8);fill:rgba(232,232,232, 0.8);}#mermaid-svg-2IqWXi4BtBp09QDd .label-icon{display:inline-block;height:1em;overflow:visible;vertical-align:-0.125em;}#mermaid-svg-2IqWXi4BtBp09QDd .node .label-icon path{fill:currentColor;stroke:revert;stroke-width:revert;}#mermaid-svg-2IqWXi4BtBp09QDd :root{--mermaid-font-family:"trebuchet ms",verdana,arial,sans-serif;} 是
否
否
网络设备类目
路由器产品
是否含数字元素且联网
是否属于附件II例外
不在CRA管控范围
附件III清单核对
归类为Class I关键产品
确定合格评定路径
依据附件I开展安全评估
三、附件I基本安全要求
CRA附件I规定产品在设计、制造与交付环节须满足的网络安全要求，路由器评估的核心维度包括：
| 要求条目 | 路由器对应实现 |
|---|---|
| 风险评估设计 | 识别攻击面：管理界面、WAN口、固件接口 |
| 无已知可利用漏洞 | 出厂状态不得存在已知未修复漏洞 |
| 安全默认配置 | 默认关闭未用服务、强制首次修改口令 |
| 认证与授权机制 | 管理界面会话超时、口令强度校验 |
| 通信安全 | 管理通道HTTPS、固件下载校验 |
| 安全更新机制 | 更新包签名验证、支持自动推送 |
| 数据保护 | 配置备份加密、日志脱敏 |
四、附件II漏洞处理义务
附件II是CRA区别于传统产品安全法规的显著特征------将漏洞治理纳入制造商持续性义务：
- SBOM（软件物料清单）：以机器可读格式编制，覆盖固件与预装软件组件；
- 安全支持期 ：路由器Class I产品支持期不少于5年（自投放市场起算，短于预期使用期的除外），须在产品信息中明示；
- 协调漏洞披露政策：提供漏洞提报通道，明确处理流程；
- 漏洞报告义务 （2026年9月11日起）：发现被 actively exploited（在野利用）的漏洞及未公开漏洞，须在24小时内向ENISA提交初步报告，72小时内提交进展报告，30天内提交最终报告------这一时限体系借鉴了金融业事件报送的分级逻辑。
#mermaid-svg-hhHGjh7yoxqFg6jj{font-family:"trebuchet ms",verdana,arial,sans-serif;font-size:16px;fill:#333;}@keyframes edge-animation-frame{from{stroke-dashoffset:0;}}@keyframes dash{to{stroke-dashoffset:0;}}#mermaid-svg-hhHGjh7yoxqFg6jj .edge-animation-slow{stroke-dasharray:9,5!important;stroke-dashoffset:900;animation:dash 50s linear infinite;stroke-linecap:round;}#mermaid-svg-hhHGjh7yoxqFg6jj .edge-animation-fast{stroke-dasharray:9,5!important;stroke-dashoffset:900;animation:dash 20s linear infinite;stroke-linecap:round;}#mermaid-svg-hhHGjh7yoxqFg6jj .error-icon{fill:#552222;}#mermaid-svg-hhHGjh7yoxqFg6jj .error-text{fill:#552222;stroke:#552222;}#mermaid-svg-hhHGjh7yoxqFg6jj .edge-thickness-normal{stroke-width:1px;}#mermaid-svg-hhHGjh7yoxqFg6jj .edge-thickness-thick{stroke-width:3.5px;}#mermaid-svg-hhHGjh7yoxqFg6jj .edge-pattern-solid{stroke-dasharray:0;}#mermaid-svg-hhHGjh7yoxqFg6jj .edge-thickness-invisible{stroke-width:0;fill:none;}#mermaid-svg-hhHGjh7yoxqFg6jj .edge-pattern-dashed{stroke-dasharray:3;}#mermaid-svg-hhHGjh7yoxqFg6jj .edge-pattern-dotted{stroke-dasharray:2;}#mermaid-svg-hhHGjh7yoxqFg6jj .marker{fill:#333333;stroke:#333333;}#mermaid-svg-hhHGjh7yoxqFg6jj .marker.cross{stroke:#333333;}#mermaid-svg-hhHGjh7yoxqFg6jj svg{font-family:"trebuchet ms",verdana,arial,sans-serif;font-size:16px;}#mermaid-svg-hhHGjh7yoxqFg6jj p{margin:0;}#mermaid-svg-hhHGjh7yoxqFg6jj .label{font-family:"trebuchet ms",verdana,arial,sans-serif;color:#333;}#mermaid-svg-hhHGjh7yoxqFg6jj .cluster-label text{fill:#333;}#mermaid-svg-hhHGjh7yoxqFg6jj .cluster-label span{color:#333;}#mermaid-svg-hhHGjh7yoxqFg6jj .cluster-label span p{background-color:transparent;}#mermaid-svg-hhHGjh7yoxqFg6jj .label text,#mermaid-svg-hhHGjh7yoxqFg6jj span{fill:#333;color:#333;}#mermaid-svg-hhHGjh7yoxqFg6jj .node rect,#mermaid-svg-hhHGjh7yoxqFg6jj .node circle,#mermaid-svg-hhHGjh7yoxqFg6jj .node ellipse,#mermaid-svg-hhHGjh7yoxqFg6jj .node polygon,#mermaid-svg-hhHGjh7yoxqFg6jj .node path{fill:#ECECFF;stroke:#9370DB;stroke-width:1px;}#mermaid-svg-hhHGjh7yoxqFg6jj .rough-node .label text,#mermaid-svg-hhHGjh7yoxqFg6jj .node .label text,#mermaid-svg-hhHGjh7yoxqFg6jj .image-shape .label,#mermaid-svg-hhHGjh7yoxqFg6jj .icon-shape .label{text-anchor:middle;}#mermaid-svg-hhHGjh7yoxqFg6jj .node .katex path{fill:#000;stroke:#000;stroke-width:1px;}#mermaid-svg-hhHGjh7yoxqFg6jj .rough-node .label,#mermaid-svg-hhHGjh7yoxqFg6jj .node .label,#mermaid-svg-hhHGjh7yoxqFg6jj .image-shape .label,#mermaid-svg-hhHGjh7yoxqFg6jj .icon-shape .label{text-align:center;}#mermaid-svg-hhHGjh7yoxqFg6jj .node.clickable{cursor:pointer;}#mermaid-svg-hhHGjh7yoxqFg6jj .root .anchor path{fill:#333333!important;stroke-width:0;stroke:#333333;}#mermaid-svg-hhHGjh7yoxqFg6jj .arrowheadPath{fill:#333333;}#mermaid-svg-hhHGjh7yoxqFg6jj .edgePath .path{stroke:#333333;stroke-width:2.0px;}#mermaid-svg-hhHGjh7yoxqFg6jj .flowchart-link{stroke:#333333;fill:none;}#mermaid-svg-hhHGjh7yoxqFg6jj .edgeLabel{background-color:rgba(232,232,232, 0.8);text-align:center;}#mermaid-svg-hhHGjh7yoxqFg6jj .edgeLabel p{background-color:rgba(232,232,232, 0.8);}#mermaid-svg-hhHGjh7yoxqFg6jj .edgeLabel rect{opacity:0.5;background-color:rgba(232,232,232, 0.8);fill:rgba(232,232,232, 0.8);}#mermaid-svg-hhHGjh7yoxqFg6jj .labelBkg{background-color:rgba(232, 232, 232, 0.5);}#mermaid-svg-hhHGjh7yoxqFg6jj .cluster rect{fill:#ffffde;stroke:#aaaa33;stroke-width:1px;}#mermaid-svg-hhHGjh7yoxqFg6jj .cluster text{fill:#333;}#mermaid-svg-hhHGjh7yoxqFg6jj .cluster span{color:#333;}#mermaid-svg-hhHGjh7yoxqFg6jj div.mermaidTooltip{position:absolute;text-align:center;max-width:200px;padding:2px;font-family:"trebuchet ms",verdana,arial,sans-serif;font-size:12px;background:hsl(80, 100%, 96.2745098039%);border:1px solid #aaaa33;border-radius:2px;pointer-events:none;z-index:100;}#mermaid-svg-hhHGjh7yoxqFg6jj .flowchartTitleText{text-anchor:middle;font-size:18px;fill:#333;}#mermaid-svg-hhHGjh7yoxqFg6jj rect.text{fill:none;stroke-width:0;}#mermaid-svg-hhHGjh7yoxqFg6jj .icon-shape,#mermaid-svg-hhHGjh7yoxqFg6jj .image-shape{background-color:rgba(232,232,232, 0.8);text-align:center;}#mermaid-svg-hhHGjh7yoxqFg6jj .icon-shape p,#mermaid-svg-hhHGjh7yoxqFg6jj .image-shape p{background-color:rgba(232,232,232, 0.8);padding:2px;}#mermaid-svg-hhHGjh7yoxqFg6jj .icon-shape .label rect,#mermaid-svg-hhHGjh7yoxqFg6jj .image-shape .label rect{opacity:0.5;background-color:rgba(232,232,232, 0.8);fill:rgba(232,232,232, 0.8);}#mermaid-svg-hhHGjh7yoxqFg6jj .label-icon{display:inline-block;height:1em;overflow:visible;vertical-align:-0.125em;}#mermaid-svg-hhHGjh7yoxqFg6jj .node .label-icon path{fill:currentColor;stroke:revert;stroke-width:revert;}#mermaid-svg-hhHGjh7yoxqFg6jj :root{--mermaid-font-family:"trebuchet ms",verdana,arial,sans-serif;} 是
否
漏洞信息流入
是否在野利用
24h内ENISA初报
纳入内部漏洞台账
72h内进展报告
30天内终报
安全补丁开发
免费发布更新
五、合格评定路径
Class I产品的合格评定存在两条并行路径：
| 路径 | 构成 | 特征 |
|---|---|---|
| 路径一 | 附件II模块A（内部控制）+ 公告机构介入 | 欧盟符合性声明+CE标志，技术文档自留存 |
| 路径二 | 模块A + EU网络安全认证体系 | 依据未来发布的EU认证方案实施 |
模块A的核心动作：
#mermaid-svg-kyI2NNpEwpnrEq0v{font-family:"trebuchet ms",verdana,arial,sans-serif;font-size:16px;fill:#333;}@keyframes edge-animation-frame{from{stroke-dashoffset:0;}}@keyframes dash{to{stroke-dashoffset:0;}}#mermaid-svg-kyI2NNpEwpnrEq0v .edge-animation-slow{stroke-dasharray:9,5!important;stroke-dashoffset:900;animation:dash 50s linear infinite;stroke-linecap:round;}#mermaid-svg-kyI2NNpEwpnrEq0v .edge-animation-fast{stroke-dasharray:9,5!important;stroke-dashoffset:900;animation:dash 20s linear infinite;stroke-linecap:round;}#mermaid-svg-kyI2NNpEwpnrEq0v .error-icon{fill:#552222;}#mermaid-svg-kyI2NNpEwpnrEq0v .error-text{fill:#552222;stroke:#552222;}#mermaid-svg-kyI2NNpEwpnrEq0v .edge-thickness-normal{stroke-width:1px;}#mermaid-svg-kyI2NNpEwpnrEq0v .edge-thickness-thick{stroke-width:3.5px;}#mermaid-svg-kyI2NNpEwpnrEq0v .edge-pattern-solid{stroke-dasharray:0;}#mermaid-svg-kyI2NNpEwpnrEq0v .edge-thickness-invisible{stroke-width:0;fill:none;}#mermaid-svg-kyI2NNpEwpnrEq0v .edge-pattern-dashed{stroke-dasharray:3;}#mermaid-svg-kyI2NNpEwpnrEq0v .edge-pattern-dotted{stroke-dasharray:2;}#mermaid-svg-kyI2NNpEwpnrEq0v .marker{fill:#333333;stroke:#333333;}#mermaid-svg-kyI2NNpEwpnrEq0v .marker.cross{stroke:#333333;}#mermaid-svg-kyI2NNpEwpnrEq0v svg{font-family:"trebuchet ms",verdana,arial,sans-serif;font-size:16px;}#mermaid-svg-kyI2NNpEwpnrEq0v p{margin:0;}#mermaid-svg-kyI2NNpEwpnrEq0v .label{font-family:"trebuchet ms",verdana,arial,sans-serif;color:#333;}#mermaid-svg-kyI2NNpEwpnrEq0v .cluster-label text{fill:#333;}#mermaid-svg-kyI2NNpEwpnrEq0v .cluster-label span{color:#333;}#mermaid-svg-kyI2NNpEwpnrEq0v .cluster-label span p{background-color:transparent;}#mermaid-svg-kyI2NNpEwpnrEq0v .label text,#mermaid-svg-kyI2NNpEwpnrEq0v span{fill:#333;color:#333;}#mermaid-svg-kyI2NNpEwpnrEq0v .node rect,#mermaid-svg-kyI2NNpEwpnrEq0v .node circle,#mermaid-svg-kyI2NNpEwpnrEq0v .node ellipse,#mermaid-svg-kyI2NNpEwpnrEq0v .node polygon,#mermaid-svg-kyI2NNpEwpnrEq0v .node path{fill:#ECECFF;stroke:#9370DB;stroke-width:1px;}#mermaid-svg-kyI2NNpEwpnrEq0v .rough-node .label text,#mermaid-svg-kyI2NNpEwpnrEq0v .node .label text,#mermaid-svg-kyI2NNpEwpnrEq0v .image-shape .label,#mermaid-svg-kyI2NNpEwpnrEq0v .icon-shape .label{text-anchor:middle;}#mermaid-svg-kyI2NNpEwpnrEq0v .node .katex path{fill:#000;stroke:#000;stroke-width:1px;}#mermaid-svg-kyI2NNpEwpnrEq0v .rough-node .label,#mermaid-svg-kyI2NNpEwpnrEq0v .node .label,#mermaid-svg-kyI2NNpEwpnrEq0v .image-shape .label,#mermaid-svg-kyI2NNpEwpnrEq0v .icon-shape .label{text-align:center;}#mermaid-svg-kyI2NNpEwpnrEq0v .node.clickable{cursor:pointer;}#mermaid-svg-kyI2NNpEwpnrEq0v .root .anchor path{fill:#333333!important;stroke-width:0;stroke:#333333;}#mermaid-svg-kyI2NNpEwpnrEq0v .arrowheadPath{fill:#333333;}#mermaid-svg-kyI2NNpEwpnrEq0v .edgePath .path{stroke:#333333;stroke-width:2.0px;}#mermaid-svg-kyI2NNpEwpnrEq0v .flowchart-link{stroke:#333333;fill:none;}#mermaid-svg-kyI2NNpEwpnrEq0v .edgeLabel{background-color:rgba(232,232,232, 0.8);text-align:center;}#mermaid-svg-kyI2NNpEwpnrEq0v .edgeLabel p{background-color:rgba(232,232,232, 0.8);}#mermaid-svg-kyI2NNpEwpnrEq0v .edgeLabel rect{opacity:0.5;background-color:rgba(232,232,232, 0.8);fill:rgba(232,232,232, 0.8);}#mermaid-svg-kyI2NNpEwpnrEq0v .labelBkg{background-color:rgba(232, 232, 232, 0.5);}#mermaid-svg-kyI2NNpEwpnrEq0v .cluster rect{fill:#ffffde;stroke:#aaaa33;stroke-width:1px;}#mermaid-svg-kyI2NNpEwpnrEq0v .cluster text{fill:#333;}#mermaid-svg-kyI2NNpEwpnrEq0v .cluster span{color:#333;}#mermaid-svg-kyI2NNpEwpnrEq0v div.mermaidTooltip{position:absolute;text-align:center;max-width:200px;padding:2px;font-family:"trebuchet ms",verdana,arial,sans-serif;font-size:12px;background:hsl(80, 100%, 96.2745098039%);border:1px solid #aaaa33;border-radius:2px;pointer-events:none;z-index:100;}#mermaid-svg-kyI2NNpEwpnrEq0v .flowchartTitleText{text-anchor:middle;font-size:18px;fill:#333;}#mermaid-svg-kyI2NNpEwpnrEq0v rect.text{fill:none;stroke-width:0;}#mermaid-svg-kyI2NNpEwpnrEq0v .icon-shape,#mermaid-svg-kyI2NNpEwpnrEq0v .image-shape{background-color:rgba(232,232,232, 0.8);text-align:center;}#mermaid-svg-kyI2NNpEwpnrEq0v .icon-shape p,#mermaid-svg-kyI2NNpEwpnrEq0v .image-shape p{background-color:rgba(232,232,232, 0.8);padding:2px;}#mermaid-svg-kyI2NNpEwpnrEq0v .icon-shape .label rect,#mermaid-svg-kyI2NNpEwpnrEq0v .image-shape .label rect{opacity:0.5;background-color:rgba(232,232,232, 0.8);fill:rgba(232,232,232, 0.8);}#mermaid-svg-kyI2NNpEwpnrEq0v .label-icon{display:inline-block;height:1em;overflow:visible;vertical-align:-0.125em;}#mermaid-svg-kyI2NNpEwpnrEq0v .node .label-icon path{fill:currentColor;stroke:revert;stroke-width:revert;}#mermaid-svg-kyI2NNpEwpnrEq0v :root{--mermaid-font-family:"trebuchet ms",verdana,arial,sans-serif;} 技术文档编制
附件I要求逐项评估
风险分析报告
依据附件V编制EU符合性声明
粘贴CE标志
技术文档留存10年
六、与RED/EN 18031的衔接关系
路由器此前依据RED第3.3(d)/(e)/(f)条完成EN 18031-2评估，CRA生效后两项体系叠加：
| 对比维度 | RED（EN 18031） | CRA |
|---|---|---|
| 法规性质 | 无线电产品专项指令 | 横向网络安全条例 |
| 覆盖范围 | 含无线发射功能设备 | 全部含数字元素产品 |
| 义务重心 | 上市前测试评估 | 上市后漏洞处理+支持期 |
| 更新机制 | 一次性评估 | 持续性安全维护义务 |
实务中EN 18031的评估结论（如访问控制、通信安全项）可作为CRA附件I对应条款的技术证据，但CRA的SBOM、支持期、报告义务为RED体系所不具备，须单独建立。
七、FAQ
Q1：CRA是否取代CE认证？
不取代。CRA是CE框架内的新增要求，路由器仍需完成RED射频评估，CRA合格评定结果与RED评估共同构成完整的符合性声明基础。
Q2：家用路由器与企业级路由器归类是否不同？
两者均属Class I网络设备类目，但企业级产品若集成VPN加密网关等安全功能，须逐项核对附件III是否触发Class II归类。
Q3：SBOM的最小数据集包含什么？
通常包括组件名称、版本号、供应商、依赖关系及已知漏洞关联标识，格式以机器可读清单为原则。
Q4：安全支持期从何时起算？
自产品投放欧盟市场之日起算。翻新或软件大幅升级后的重新投放，支持期重新起算。
八、小结
CRA将合规重心从"上市前测试"延伸至"上市后治理"，路由器作为Class I关键产品，须同时满足附件I安全设计要求与附件II漏洞处理义务。其中24小时漏洞报告、5年支持期、SBOM三项要求对现有研发与运维流程的改动最为直接，2026年9月报告义务先行生效前的准备窗口有限。
本文依据公开资料整理，相关法规条款以欧盟官方公报发布的 Regulation (EU) 2024/2847 原文为准。