4、CRA合规安全标签的法规框架：EN 18031系列标准、ETSI EN 303 645、RED指令与CRA的衔接
欧盟《无线电设备指令》（Radio Equipment Directive, RED）2014/53/EU 的授权法规（Delegated Regulation）2022/30/EU 已于2025年8月1日起强制实施，要求所有接入互联网的无线设备在投放市场前完成网络安全合规评估。而《网络弹性法案》（Cyber Resilience Act, CRA）作为欧盟层面的横向立法，将于2027年12月全面适用，对包含数字元素的产品提出更广泛的网络安全要求。这两套法规体系并非彼此孤立，而是通过 EN 18031 系列标准与 ETSI EN 303 645 建立了技术衔接的桥梁。理解这一法规框架的层次关系、适用边界与评估逻辑，是获取 CRA 合规安全标签的前提。
4.1 法规体系的层次结构与核心原理
理解 CRA 合规安全标签的法规框架，首先需要厘清四个关键法规文件之间的逻辑关系。CRA 是欧盟层面的横向立法（Regulation (EU) 2024/2847），其法律位阶高于指令（Directive），直接适用于所有成员国，无需转化为国内法。CRA 的适用范围涵盖所有"包含数字元素的产品"（Products with Digital Elements），包括硬件、软件和独立软件产品，而不仅限于无线设备。相比之下，RED 指令是纵向的行业立法，仅适用于无线电设备，其网络安全要求通过授权法规 2022/30/EU 落地，并引用 EN 18031 系列标准作为协调标准（Harmonised Standards）来推定符合性。
EN 18031 系列标准分为三个部分：EN 18031-1 针对互联网连接的无线电设备（如 Wi-Fi 设备、蜂窝设备），EN 18031-2 针对可处理数据的无线电设备（如医疗设备、可穿戴设备），EN 18031-3 针对儿童相关设备或玩具类无线设备。这三部分标准分别对应 RED 授权法规中不同的网络安全要求条款，是制造商进行符合性评估的主要技术依据。而 ETSI EN 303 645 则是一个更基础的消费类 IoT 安全基线标准，它定义了 13 项安全要求，涵盖默认密码、漏洞管理、软件更新、安全通信等方面，虽然本身不是协调标准，但被 EN 18031 系列标准大量引用，也是 CRA 技术规范的重要参考基线。
核心原理：CRA 与 RED 的关系可以概括为"横向覆盖 + 纵向细化"。CRA 提供了适用于所有数字产品的通用安全框架，而 RED 针对无线设备提供了更具体的网络安全要求。EN 18031 系列标准是 RED 网络安全要求的技术实现路径，ETSI EN 303 645 则是更广泛 IoT 产品的安全基线。制造商在获取 CRA 合规安全标签时，需要同时满足横向法规和纵向指令的要求，而 EN 18031 和 ETSI EN 303 645 提供了可操作的技术评估依据。
4.2 判断方法：确定适用标准与评估路径
制造商在启动 CRA 合规安全标签评估时，首先需要判断产品属于哪一类，进而确定适用的标准组合。判断流程可以分为以下四个步骤：
- 第一步：判断产品是否属于"无线电设备"。如果产品包含无线通信模块（如 Wi-Fi、蓝牙、蜂窝、Zigbee、Z-Wave 等），则同时受 RED 指令和 CRA 管辖；如果产品仅通过有线方式连接（如以太网、USB），则仅受 CRA 管辖。
- 第二步：判断产品是否"接入互联网"。RED 授权法规 2022/30/EU 的适用范围是"能够接入互联网的无线电设备"。如果无线设备仅支持本地通信（如遥控器、无线鼠标），不直接或间接接入互联网，则可能不在 RED 网络安全强制范围内，但仍需满足 CRA 的要求。
- 第三步：根据产品类型选择 EN 18031 的对应部分。EN 18031-1 适用于通用互联网连接设备；EN 18031-2 适用于可处理个人数据的设备（如健康监测设备、智能门锁）；EN 18031-3 适用于儿童相关设备（如智能玩具、儿童手表）。部分产品可能同时涉及多个部分，需要分别评估。
- 第四步：对照 ETSI EN 303 645 进行基线差距分析。即使产品不直接适用 ETSI EN 303 645，该标准中的 13 项安全要求也是 CRA 技术规范的重要参考。建议制造商将 ETSI EN 303 645 作为内部安全设计基线，再叠加 EN 18031 的特定要求。
| 产品类型 | 适用法规 | 适用标准 | 评估路径 |
|---|---|---|---|
| Wi-Fi 智能摄像头（接入互联网） | RED + CRA | EN 18031-1 + ETSI EN 303 645 | RED 符合性评估 + CRA 技术文档 |
| 蓝牙耳机（不接入互联网） | RED（仅基本要求）+ CRA | ETSI EN 303 645（参考） | RED 基本合规 + CRA 安全评估 |
| 智能玩具（Wi-Fi 联网） | RED + CRA | EN 18031-3 + ETSI EN 303 645 | RED 符合性评估 + CRA 儿童安全专项 |
| 智能门锁（蓝牙 + Wi-Fi） | RED + CRA | EN 18031-1 + EN 18031-2 + ETSI EN 303 645 | 多标准联合评估 |
| 有线工业传感器（以太网） | CRA | ETSI EN 303 645（参考）+ CRA 技术规范 | CRA 符合性评估 |
4.3 案例拆解：智能家居网关的合规评估实战
某智能家居网关产品计划于 2026 年 3 月投放欧盟市场。该产品集成了 Wi-Fi 6、Zigbee 3.0 和蓝牙 5.2 三种无线通信模块，支持通过 Wi-Fi 接入互联网，同时作为 Zigbee 协调器管理多个终端传感器节点。产品还具备本地数据存储功能，可缓存传感器数据并在网络恢复后上传。制造商需要为该产品获取 CRA 合规安全标签。
初始评估与约束条件：产品开发已完成，硬件方案基于双核 ARM Cortex-A53 处理器，运行 Linux 系统，软件栈包含第三方开源组件（如 OpenSSL、BusyBox、Zigbee 协议栈）。制造商计划在 2026 年 3 月前完成合规评估，预留了 6 个月的整改窗口。关键约束是：产品已经进入量产阶段，硬件改动成本极高，只能通过固件和配置层面进行安全加固。
合规评估过程：
第一步，确认产品属于"能够接入互联网的无线电设备"，同时受 RED 授权法规 2022/30/EU 和 CRA 管辖。第二步，由于产品同时具备互联网连接和数据存储功能，适用 EN 18031-1（互联网连接设备）和 EN 18031-2（数据处理设备）两个部分。第三步，对照 EN 18031-1 和 EN 18031-2 的具体条款进行差距分析，发现以下主要问题：
- 默认凭据管理：产品出厂时使用统一的默认管理员密码 "admin123"，且未强制用户在首次使用时修改。这违反了 EN 18031-1 第 5.3 条关于默认凭据的要求。
- 软件更新机制：产品支持 OTA 更新，但更新包未进行数字签名验证，且更新服务器使用 HTTP 而非 HTTPS 传输。这违反了 EN 18031-1 第 5.6 条关于安全更新机制的要求。
- 漏洞报告渠道：产品未提供公开的漏洞披露政策，也未建立安全研究人员联系渠道。这违反了 EN 18031-1 第 5.2 条关于漏洞管理的要求。
- 数据保护：Zigbee 网络密钥以明文形式存储在文件系统中，且备份数据未加密。这违反了 EN 18031-2 第 5.4 条关于敏感数据保护的要求。
整改措施与实施：
针对上述差距，制造商在固件层面实施了以下整改：
- 将默认密码机制改为"首次开机强制设置强密码"，密码复杂度要求至少 12 位且包含大小写字母、数字和特殊字符；同时移除所有后门账户。
- OTA 更新包增加 Ed25519 数字签名验证，更新通道切换为 HTTPS，并在固件中内置证书固定（Certificate Pinning）机制。
- 建立公开的 security.txt 文件和安全公告页面，明确漏洞报告流程和响应时间承诺（48 小时内确认，30 天内修复）。
- Zigbee 网络密钥改用硬件安全单元（Secure Element）存储，备份数据使用 AES-256-GCM 加密，密钥由设备唯一派生。
结果对比与复盘：整改后，产品通过了 EN 18031-1 和 EN 18031-2 的符合性评估，同时对照 ETSI EN 303 645 的 13 项要求进行了自查，确认全部满足。整个整改周期耗时 4 个月，比预期提前 2 个月完成。复盘经验表明：在硬件设计阶段就应考虑安全元件的集成，避免后期通过软件模拟安全存储带来的性能损失；同时，安全评估应尽早启动，与产品开发并行推进，而非等到开发完成后再进行合规检查。
风险提示：如果产品同时涉及 EN 18031 的多个部分（如同时适用 -1 和 -2），制造商需要分别评估并保留完整的评估记录。欧盟公告机构（Notified Body）在审核时可能要求提供每个部分的详细测试报告和风险评估文档。此外，EN 18031 系列标准目前仍在持续更新中，制造商应关注欧盟官方公报（OJEU）发布的最新协调标准版本。
4.4 常见误区与总结复盘
在辅导多家企业完成 CRA 合规安全标签评估的过程中，我们发现以下常见误区值得特别注意：
误区一：认为 CRA 与 RED 是二选一的关系。实际上，CRA 和 RED 是并行适用的。CRA 是横向法规，覆盖所有数字产品；RED 是纵向指令，针对无线设备。两者在网络安全要求上存在重叠，但评估路径和文档要求不同。制造商不能因为满足了 RED 的网络安全要求就认为自动满足 CRA，反之亦然。
误区二：混淆 EN 18031 与 ETSI EN 303 645 的定位。EN 18031 是 RED 授权法规的协调标准，具有法律推定符合性效力；而 ETSI EN 303 645 是行业基线标准，本身不产生法律效力，但被 EN 18031 和 CRA 技术规范引用。制造商应优先确保满足 EN 18031 的强制性要求，再将 ETSI EN 303 645 作为增强安全性的参考。
误区三：忽视 CRA 对软件更新的持续要求。CRA 不仅要求产品在投放市场时满足安全要求，还要求制造商在产品生命周期内持续提供安全更新，并建立漏洞协调披露机制。这意味着合规不是一次性的，而是持续性的义务。制造商需要建立安全事件响应团队和漏洞管理流程。
误区四：低估技术文档的复杂度。CRA 要求制造商编制完整的技术文档，包括产品安全架构说明、风险评估报告、安全测试报告、软件物料清单（SBOM）等。这些文档需要以欧盟官方语言之一编写，并保存至少 10 年。许多制造商在评估时只关注技术整改，忽略了文档编制的合规要求。
经验建议：建议制造商建立"安全合规三阶段"策略：第一阶段（产品定义期）进行安全需求分析和威胁建模，确定适用的法规和标准；第二阶段（开发期）实施安全编码规范、进行安全测试并记录证据；第三阶段（上市期）编制技术文档、完成符合性声明并持续监控漏洞。将合规工作嵌入产品开发生命周期，而非作为上市前的最后一步。
总结而言，CRA 合规安全标签的法规框架是一个多层次、相互衔接的体系。CRA 提供横向安全要求，RED 提供纵向行业要求，EN 18031 系列标准提供技术评估路径，ETSI EN 303 645 提供安全基线参考。制造商需要根据产品类型和功能，准确判断适用的标准组合，建立系统化的合规评估流程，并在产品全生命周期内持续维护安全状态。只有深入理解这四个法规文件之间的衔接关系，才能高效、准确地获取 CRA 合规安全标签，顺利进入欧盟市场。