★ FEATURED ARTICLE 为什么需要关注 CRA Draft Guidance2026 年 3 月欧盟委员会发布了《Cyber Resilience ActCRADraft Guidance》征求意见稿旨在帮助企业更好地理解和落实 CRA 的具体要求。CRA 法规本身规定了企业需要履行的义务而 Draft Guidance 则进一步解释了这些要求在实际场景中的适用方式和监管预期。对于许多 IoT OEM 而言其中一个最值得关注的话题是在涉及 OEM、ODM、EMS、软件供应商以及运营服务商的复杂供应链中究竟谁应承担 CRA 下的制造商责任。这一问题的重要性在于产品安全责任往往不仅仅取决于谁开发了某个组件而取决于谁最终将产品推向市场并持续履行合规义务。在欧盟《网络韧性法案》CRA的讨论中企业最常提出的问题之一是**到底谁应该对合规负责**对于大多数联网产品而言产品开发、生产和运营通常涉及多个组织共同参与。硬件可能由 ODM 设计EMS 工厂负责生产软件来自第三方供应商后续运营则依赖云服务平台。当漏洞或合规问题出现时很多企业都会问**责任究竟属于谁**CRA 对这个问题给出了相对明确的答案。CRA 关注的是制造商根据 CRA 的定义主要责任通常由以自身品牌或商标将产品投放至欧盟市场的实体承担。在大多数情况下这意味着 OEM 或品牌拥有者需要承担最终责任。制造商需要确保产品在整个生命周期内满足安全要求建立漏洞管理机制能够提供安全更新保留必要的技术文档在监管要求时提供合规证明即使研发、生产或运营工作由第三方完成这些责任通常也不会随之转移。OEM 承担责任但合规需要整个供应链参与虽然 CRA 明确了制造商的责任主体但合规并不是 OEM 单独能够完成的工作。一个典型的联网产品通常涉及芯片厂商提供芯片、SDK 及安全能力模组厂商集成无线协议栈和固件ODM 负责硬件和软件平台开发EMS 工厂负责生产和设备身份配置云服务商负责设备生命周期运营这些参与方共同决定了产品最终的安全状态。因此CRA 合规实际上依赖于整个供应链的信息共享、流程协同和运营配合。OEM 可能承担最终责任但如果没有供应链伙伴的支持很多合规要求根本无法落地。真正的挑战是协同许多关于 CRA 的讨论集中在具体技术要求上例如SBOM漏洞管理安全更新访问控制密码学保护这些能力当然重要。但对于制造商而言更大的挑战往往来自于跨组织协同。企业需要能够回答哪些产品版本受到漏洞影响哪些设备已经完成安全更新受影响组件来自哪家供应商企业采取了哪些措施这些措施发生在什么时间这些问题涉及产品生命周期中的多个组织需要汇聚来自不同参与方的信息与操作记录。 没有任何单一团队能够独立掌握全部答案。它们需要贯穿研发、供应链、工厂和运营团队的协同管理。对于许多 IoT OEM 来说真正的挑战已经不再是部署某项安全功能而是让多个组织能够共同参与同一套合规流程。从安全功能走向安全治理CRA 体现了一种新的产品安全理念。过去企业往往通过是否具备某些安全功能来证明产品安全。而今天监管机构更关注的是企业如何持续管理产品安全。这意味着企业需要具备软件与设备资产管理能力漏洞响应能力安全更新管理能力生命周期记录留存能力合规活动追踪能力合规不再只是产品安全问题。它正在逐渐演变为一个跨组织的安全治理问题。结语CRA Draft Guidance 进一步强调了一个重要原则运营工作可以由多个组织共同完成但最终责任仍然由制造商承担。与此同时真正的 CRA 合规离不开 OEM、ODM、EMS、软件供应商以及服务运营方之间的持续协作。对于许多企业而言最大的挑战已经不是确定谁负责而是建立覆盖整个产品生命周期的可见性、协同能力和治理体系。
阅读完成 · 觉得有帮助？
