网络韧性法案要求什么
CRA 适用于预期用途包括与设备或网络直接或间接连接的含数字元素的产品。制造商须做到（包括但不限于）：
- 按与风险相称的网络安全水平设计产品，销售时不存在已知可被利用的漏洞；
- 提供安全的默认设置，并在支持期内提供安全更新；
- 在整个支持期内处理漏洞，并记录软件组件；
- 报告被积极利用的漏洞和严重事件。
需要记住的日期
- 2026 年 9 月 11 日：报告被积极利用的漏洞和严重事件的义务开始适用。
- 2027 年 1 月 20 日：机械法规开始适用，包括其关于防篡改保护和控制系统的要求。
- 2027 年 12 月 11 日：CRA 的其他所有义务开始适用。
报告期限很短，以小时和天计：最好在需要之前就把流程准备好。
CRA 与机械法规
机械法规对防篡改保护和与安全相关的控制系统有自己的要求：攻击或被篡改的软件不得导致危险情况。CRA 则关注产品在整个生命周期内的整体网络安全。两者可以同时适用于同一台机械。
如果您采购 PLC 或工业路由器等含数字元素的部件，其制造商有各自的义务。您投放市场的机械需要什么，仍需与顾问一起评估。
实际应该怎么做
- 按型号和序列号盘点所装的软件和固件。
- 确定支持期以及安全更新的发布方式。
- 建立接收漏洞报告的渠道和按时通报的流程。
在 TARGA 中，每个序列号都有软件版本历史，包括日期和发布说明，对 CRA 和重大改装都很有用。
常见问题
网络韧性法案已经适用了吗？
报告被积极利用的漏洞和严重事件的义务自 2026 年 9 月 11 日起适用。其他义务自 2027 年 12 月 11 日起适用。
没有互联网连接的机械属于 CRA 范围吗？
CRA 适用于预期用途包括与设备或网络直接或间接连接的产品，不仅限于互联网。一个服务端口或工厂网络就可能足够。需要逐案评估。
如果我使用已符合 CRA 的 PLC，是否就没问题了？
不一定。PLC 制造商对 PLC 负责；将机械投放市场的一方必须对整机进行评估，包括其增加的软件、网络和远程访问。