《網絡安全彈性法案》

《網絡安全彈性法案》（CRA）預計在2024年4月迎來投票，隨后將實施為期三年的過渡期。該法案為歐盟內具備數字功能的硬件與軟件產品確立了網絡安全標準。

隨著CRA的正式實施，歐盟市場上的硬件和軟件產品制造商、進口商和分銷商將有36個月的時間來適應新規定并確保合規。為了更好地迎接CRA的到來，以下是您需要了解的關鍵信息。

什么是網絡安全彈性法案？

《網絡安全彈性法案》（Cyber Resilience Act，簡稱CRA）是一項法律框架，它為歐盟的硬件和軟件產品全生命周期設定了強制性的網絡安全標準。該法案適用于各種硬件和軟件產品，包括筆記本電腦、移動設備、傳感器、攝像頭、路由器、固件、應用程序、視頻游戲機、視頻卡和CPU等，無論是在歐盟制造、進口還是分銷。

CRA的核心目的是確保所有帶有軟硬件數字化功能的產品在進入歐盟市場時，都能夠遵循全面的網絡安全指導原則。該法案推行CE標志制度，以證明數字產品符合新的安全標準。

CRA的目標是減少帶有數字元素產品的網絡安全缺陷，并確保在整個產品生命周期中，制造商、進口商和分銷商都能夠有效地管理網絡安全問題。通過提升硬件和軟件產品的安全性與可靠性透明度，CRA旨在增強消費者對產品的信任，并保護他們的安全。

為何《網絡安全彈性法案》很重要？

《網絡安全韌性法案》（Cyber Resilience Act，CRA）的重要性在于其致力于全面提升歐盟國家、企業和重要基礎設施的網絡安全水平。通過在硬件和軟件產品的整個生命周期中實施強制性安全標準，CRA 有助于強化聯網設備的安全防護，從而使歐盟成為一個更加安全且具有緩沖能力的地區。

誰將受到影響？

CRA 將對歐盟市場上銷售硬件和軟件產品的制造商、進口商和分銷商產生影響。為了確保符合 CRA 的規定，這些實體需確認其產品是否在法案的適用范圍內，并據此采取相應的合規措施。

盡管《網絡安全彈性法案》（Cyber Resilience Act，CRA）覆蓋范圍廣泛，但它排除了以下幾種情況：

• 非商業性項目，包括開源軟件，前提是這些項目不涉及商業活動；
• 服務類業務，例如云服務與軟件即服務（SaaS）等商業模式；
• 以及那些已經受到高度監管的產品和行業，特別是那些在網絡安全領域已有充分監管的領域，比如汽車、醫療設備、體外診斷設備、認證的航空器材，以及專為國家安全或軍事目的而開發的產品。

如果您的產品未能遵守《網絡安全彈性法案》（Cyber Resilience Act，CRA）的規定，可能會面臨以下后果：

對于 CRA 規定的 I 類和 II 類產品，非合規行為可能招致罰款，最高的罰款額度可達 1500 萬歐元，或違法行為者的全球年營業額的 2.5%。

此外，監管機構可能會下令從市場上撤銷或限制銷售非合規產品。市場監督機構還將執行合規性“巡查”，以識別對 CRA 規定的任何違反行為。

對于所有數字產品，包括風險較低的 I 類產品，嚴格遵守 CRA 所規定的網絡安全和漏洞處理的基本要求至關重要。這不僅能夠避免重罰，還能夠確保制造商、進口商和分銷商遵守歐盟的網絡安全法規。

TÜV南德攜手助您合規

作為網絡安全測試的領軍企業，TÜV南德擁有深厚的專業知識，能夠評估產品的安全性和可靠性，有效降低漏洞和事故風險，增強用戶信心。我們提供的一站式網絡安全服務旨在助您滿足 CRA 的要求，遵守歐盟的網絡安全法規，并為您產品的數字化功能（PDEs）獲得 CE 標志：

• 網絡安全培訓咨詢：我們提供專業的培訓和咨詢服務，幫助企業優化網絡安全政策和實踐，確保與 CRA 的要求保持一致。
• 合規性評估：我們執行詳細評估，協助企業理解 CRA 的合規要求，并對產品進行合規性評估。
• 漏洞管理：我們協助企業識別和管理產品漏洞，滿足 CRA 對漏洞處理的要求。
• 第三方評估：針對高風險產品，我們提供強制性的第三方評估服務，以確保符合 CRA 的規定。
• 事件報告支持：我們幫助企業建立符合 CRA 要求的事件報告流程。
• 通過與TÜV南德的合作，您可以確保您的產品滿足最新的網絡安全標準，避免合規風險，并在歐盟市場上保持競爭力。

為何選擇TÜV南德？

TÜV南德是在產品網絡安全測試領域內的佼佼者。我們的專家團隊在網絡安全風險評估和安全認證項目方面擁有豐富經驗，已成功協助眾多企業提升其網絡安全水平。憑借對全球網絡安全標準深入的專業知識，我們能夠全程陪伴您準備并符合 CRA 的要求。

我們深入了具備豐富的行業經驗與法規知識，從而構建了嚴苛的網絡安全測試方案，使TÜV南德能夠跨行業支持企業。我們幫助組織遵循全球網絡安全標準，確保客戶能夠順利進入國際市場。

現在就與TÜV南德一起為 CRA 做好準備。聯系我們，了解更多關于我們網絡安全服務的信息。