CRA之前，日本先动手了：JC-STAR正式对接欧盟

原创

GTG-Hardy
GTG-Hardy

GTG网络安全实验室

2026年11月9日 09:26
广东

去阅读

同一台联网设备，如果卖去日本，要先通过 JC-STAR；如果卖去欧盟，2027 年 12 月 11 日之前必须符合 CRA。

两套标准、两轮测试、两份技术文档、两笔费用。这是所有同时做日本和欧洲市场的制造商，现在都在承担的成本。

10 月 26 日，布鲁塞尔。日本 JC-STAR 和欧盟 CRA 第一次被放进同一套比对机制：一份合作备忘录签下去，两套制度开始逐条比对。

对制造商来说，这件事的关键其实只有一个问题：以后能不能少做一遍？

01

先把事实说清楚：谁签了什么

2026年10月26日，比利时布鲁塞尔。

负责运营“JC-STAR 与 CRA 技术工作组（TWG）”的两方——在欧日系企业协议会（JBCE）和 StandICT.eu 事务局——签了一份合作备忘录（MoU）。

日本经济产业省（METI）和独立行政法人情報処理推進機構（IPA）一起参与，和 JBCE、StandICT.eu、Cyberstand.EU，以及欧洲的网络安全专家共同做一件事：

把 JC-STAR 和 CRA 这两套制度，连同它们背后的具体安全要求，逐条比对一遍。

IPA 在 11 月 4 日发布了这条消息。

说白了，这不是签互认，而是先把两边的要求摆出来，看哪些一样、哪些不一样。

02

这两套制度，各自是什么来头

JC-STAR，日本网络安全标签制度。2025 年 3 月起由 IPA 正式运营，按星级分级，★1 是入门档，往上按产品风险递进。日本推这套的逻辑，跟英国 PSTI、欧盟 CRA 是一样的：消费品一联网，就得有个安全底线。

CRA，欧盟网络韧性法案。2024 年 12 月 10 日生效，2026 年 9 月 11 日起报告义务开始适用，2027 年 12 月 11 日起，制造商的主体义务全面落地。到那天，出口欧盟的联网产品，没有合规文件、没有 CE 标志，根本进不去。

这两套制度的出发点几乎一样，但条款怎么写、怎么测、要交哪些文档，各写各的。

这就是“双重合规”的由来。

03

为什么这条值得看：日本这套，已经接过两次了

JC-STAR 不是第一次往外接。

• 2026 年 1 月起，与英国 PSTI互认；
• 2026 年 6 月起，与新加坡 CLS 互认。

这说明一件事：日本这套标签制度，愿意跟别人对接，而且已经对接成功过两次。

跟欧盟这条线，其实也不是从零开始。欧盟侧的 INSTAR 项目（现已并入 StandICT.eu）跟日本这边早就开过几轮研讨会：

• 2025 年 11 月 10 日，第 1 次，线上；
• 2026 年 1 月 27 日，第 2 次，布鲁塞尔；
• 2026 年 6 月 9 日，第 3 次，线上；
• 2026 年 9 月 14 日，StandICT.eu 侧第 1 次，线上。

到 10 月 26 日签 MoU，是把这些零散研讨会升级成一个有名字、有机制、有工作组的固定合作。

从“偶尔聊两句”到“建了个组”，这一步不小。

04

这里必须说清楚：制度比较，不等于互认

这是这条消息最容易被误读的地方。

签了 MoU，不代表：

• 拿到 JC-STAR ★1，就能直接算符合 CRA；
• 反过来，CRA 合规了，日本就自动认。

新闻稿写得很清楚：目标是明确两套制度的共同点和差异，降低日本企业在国内外“双重合规”的负担。它做的是比对，并非互相承认。

真正的互认，要走到“等效认定”那一步，两边监管机构各自走完自己的程序才有可能。这件事无法靠企业和专家开个工作组来定。

所以现在能说的只有一句：方向摆出来了，结论还没有。

05

还有个现实问题：欧盟自己也没完全就位

CRA 的合规推定，靠的是“协调标准”。到目前为止，EN 40000 系列还在推进，这批标准还没有在欧盟官方公报（OJ）上挂出引用。

意思就是：CRA 的“按标准做就等于合规”这条捷径，现在还没正式开通。真到了 2027 年 12 月，如果你的产品属于要做第三方评估的那一类，而协调标准还没挂出来，路径只会更绕。

看清这个背景，就更容易理解日欧为什么现在对接：两边都在赶时间，都还没跑完自己的流程。

06

对做出口制造的，现在该干什么

讲三件实在的。

第一，先别把“日欧要对接”当成“可以少做一套”。

现在两套还得各做各的。谁跟你说明年就能一张证书通吃，先请他出示官方文件。

第二，现在就能做的，是一次技术梳理、两套文档。

JC-STAR 和 CRA 的要求，重合度并不低。访问控制、身份鉴别、加密传输、漏洞管理、安全更新，这些两边都要。趁现在给产品做一份要求映射表：哪条对哪条、哪些是日本多出来的、哪些是欧盟多出来的。

一份梳理，两边都能用。这件事不用等互认，今天就能做，也是目前唯一真能省钱的举措。

第三，盯住两个时间点。

一个是 CRA 的 2027 年 12 月 11 日，这是必须完成的时间点。

一个是这个工作组后续的输出。如果真出了“共同点清单”，先动手做映射的厂商，验证成本会明显低于临时抱佛脚的。

07

最后说句实话

做出口这一行，最怕的是规则在变、还不知道往哪变；要求严并不可怕。

JC-STAR 和 CRA 这次坐在一起，至少说明一件事：两边都知道，“各写一套、让厂商做两遍”不划算。

至于什么时候能从“比对”走到“互认”，我的判断是：没那么快，但值得等。在那之前，把产品基本功做扎实、把两套要求的映射表先做出来，是唯一不会白花的钱。

网络安全、CRA、JC-STAR、出口认证，这几件事我们GTG网络安全实验室会继续盯着。真出了新东西，第一时间跟你讲。

更多相关内容

尽在视频号“GTG网络安全实验室”

广测电磁：全球数字安全合规优选伙伴

别让合规只停留在“拿证”。

面对欧盟CRA网络弹性法案、AI法案及GDPR/CCPA/数据法案等严苛监管，凭借CNAS(L18872)+A2LA(6947.01)双资质及前360/深信服核心网络安全专家团队，为您提供真正的“实战级”防护。

🏆 为什么GTG能为您降本避险？

• 拒绝模板：不只给报告，我们提供定制化漏洞修复方案，确保产品真安全。
• 极致省心：代写核心文档，免除繁琐填表，让合规效率提升70%。
• 全域覆盖：从消费电子到汽车、工控、医疗，一站式解决全球隐私与数据安全难题。

您的全球合规通行证，从这里开始。

[ 👉 CRA / AI法案 / 隐私合规 ]