CRA标准10月31日密集交付：横向打底、垂直定标，你的产品对表了吗？

原创

GTG-Hardy
GTG-Hardy

GTG网络安全实验室

2026年10月10日 10:00
广东

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

欧盟委员会7月修订M/606授权令，把两份核心横向标准推到10月31日交付，垂直产品标准推到12月31日。

标准\"交付\"不等于\"生效\"，但对出口欧盟的制造商来说，倒计时的发令枪已经响了。

做智能硬件、做出口欧盟的老板注意了——这件事不看不行：CRA（欧盟网络韧性法案）的配套标准，正在按新时间表密集交付。10月31日先交两份打底的横向标准，12月底垂直产品标准跟进。标准落地，意味着\"怎么合规\"从猜题变成开卷。

下面把这轮时间表掰开讲清楚。

01

划重点：CRA 标准是\"考卷\"，不是\"证书\"

很多人一听说\"CRA 标准要来了\"，第一反应是\"是不是又要办证了\"。不是。

CRA 是一部法规，它规定了产品必须达到的网络安全要求，但它不告诉你具体怎么做到。标准就是\"怎么做到\"的答案——制造商照着标准做，就能推定合规（法律上叫 presumption of conformity）。

所以标准的意义是：它是考卷，不是证书。 考卷什么时候出、出几份、每份考什么，决定了你备考的方向。

02

10月31日：两份横向标准交付，这是通用考纲

先说横向标准。它不针对某一类产品，而是对所有带数字元件的产品都适用——你是做路由器的、做摄像头的、做智能家电的，都得过这一关。

欧盟委员会在 M/606 授权令里要求制定 15 项横向标准，标准组织把它们合并成三类交付物：

重点看前两行：两份核心横向标准——安全开发框架 + 漏洞处理——原定 8 月 30 日交付，7 月修订后推到 10 月 31 日。只剩 22 天。

这两份为什么重要？因为它们是\"地基\"：

• 安全开发框架：告诉你在设计、开发、生产阶段怎么把安全做进去，而不是出厂前补。
• 漏洞处理：告诉你怎么发现漏洞、怎么分类、多快修复、怎么披露。

没有这两份，垂直标准（下面说的）也无从落地。它们是所有产品共同要过的第一关。

03

垂直标准：17份草案公开咨询，防火墙标准已走完批准程序

如果说横向标准是通用考纲，垂直标准就是分科考题——每一类产品一份，告诉你\"你这一行具体要考什么\"。

进展已经很快了：

• 2026 年 8 月 13 日：ETSI 开启 17 份 CRA 垂直产品标准的公开咨询，覆盖密码管理器、路由器、联网玩具等产品类别。
• 2026 年 10 月 5 日-6 日：EN 304 636（防火墙/入侵检测/入侵防御系统） 完成批准程序关闭和评估——这是 CRA 垂直标准里进度最快的，v1.0.0 已就绪。
• 正在排队：EN 304 626（操作系统）、EN 304 627（路由器/调制解调器/交换机）、EN 304 619（杀毒软件）、EN 304 625（网络接口）等，都在走咨询或批准流程。

ETSI 的 CRA 垂直标准覆盖18 类产品：路由器、防火墙、操作系统、杀毒、网络接口、电信设备、虚拟机/容器运行时等等。做哪类产品，就盯哪份标准。

04

划重点：交付≠生效，OJEU引用才是发令枪

这里必须给你泼盆冷水，免得白高兴：

标准\"交付\"给欧盟委员会，不等于它马上就能用。

标准要正式生效、能触发合规推定，必须走完最后一步——被引用进欧盟官方公报（OJEU）。目前没有任何一份 CRA 标准被引用进 OJEU。

所以时间表要这么读：

• 10 月 31 日：标准组织把草案交给欧盟委员会（交付）
• 之后数月：委员会审核、正式引用进 OJEU（生效）
• 生效之后：照着做才推定为合规

换句话说，10 月 31 日是\"交卷日\"，不是\"开考日\"。 但对制造商来说，交卷日就是倒计时的起点——因为从交卷到生效，窗口期越来越短。

05

出口制造商现在该做什么

给你一份对表清单，按优先级排：

1. 先认领你的产品类别。

翻一翻 CRA 附件 III（重要产品）和附件 IV（关键产品）——你的产品是路由器、是防火墙、是操作系统、还是\"其他\"？找不到自己产品对应的垂直标准，本身就是风险信号，说明可能要走通用路径。

2. 别等标准，先按横向要求打底。

安全开发框架和漏洞处理这两关，现在就可以动：开发流程里加安全评审、建漏洞响应机制、留好安全文档。这些动作不会因为标准细则出来而白做。

3. 盯两个日期。

• 2026 年 10 月 31 日：横向标准交付，看它和你的差距。
• 2027 年 12 月 11 日：CRA 全面适用（主要义务开始执行）。留给你的备考时间，其实只有一年多。

4. 别忘了报告义务已经生效。

很多人没意识到：CRA 的漏洞和事件报告义务 2026 年 9 月 11 日就已经生效了——标准还没齐，但\"出事要报\"已经开始了。被积极利用的漏洞、严重安全事件，都要通过 ENISA 单一报告平台报。别等到标准生效才想起报告这回事。

更多相关内容

尽在视频号“GTG网络安全实验室”

广测电磁：全球数字安全合规优选伙伴

别让合规只停留在“拿证”。

面对欧盟 CRA网络弹性法案、AI法案及 GDPR/CCPA/数据法案等严苛监管，凭借CNAS(L18872)+A2LA(6947.01)双资质及前360/深信服核心网络安全专家团队，为您提供真正的“实战级”防护。

🏆 为什么GTG能为您降本避险？

• 拒绝模板：不只给报告，我们提供定制化漏洞修复方案，确保产品真安全。
• 极致省心：代写核心文档，免除繁琐填表，让合规效率提升70%。
• 全域覆盖：从消费电子到汽车、工控、医疗，一站式解决全球隐私与数据安全难题。

您的全球合规通行证，从这里开始。

[ 👉 CRA / AI法案 / 隐私合规 ]