制造业领导者的重要启示
- 这两项法规很可能都适用于您。如果您生产联网产品并在欧盟开展业务，则需遵守《消费品安全条例》（CRA）（产品方面）以及 NIS2 （运营方面）同时进行。
- 2026年9月是第一个硬性截止日期。CRA漏洞报告义务将在全面实施前一年多开始生效。请立即着手建立您的报告流程。
- IEC 62443 是您最高效的合规框架。它通过一项获得业界认可的统一标准，将 CRA 产品要求与 NIS2 运营要求有机结合。
- 供应链安全需要采取合同措施。这两项法规都将责任推向了上游和下游。请对供应商进行审核，并据此更新相关协议。
- 不确定性不能成为不作为的借口。协调标准仍在不断发展，但核心义务是明确的。那些等待最终指导意见的组织将错失良机。
《网络弹性法案》与《网络安全指令2》（NIS2）
欧盟在网络安全领域划下了红线。两项重要法规——《网络弹性法案》（CRA）和修订后的《网络与信息安全指令》（NIS2）——将在现在至2027年期间共同作用于制造业。这两项法规都旨在增强欧洲数字基础设施的韧性，以应对日益加剧的威胁。 但两者的切入角度各不相同，制造商需要准确了解每项法规的具体适用范围。
如果您开发带有嵌入式软件的产品、运营联网生产线，或向欧盟市场销售产品，这两项法规很可能都与您相关。本指南将详细解析各项要点、法规间的重叠部分以及后续行动方案。
两项法规，一个目标：提升欧盟网络安全标准
《关键基础设施安全条例》（NIS2）于2023年1月生效，各成员国须在2024年10月前完成国内法转化，该条例主要针对关键基础设施和基本服务的运营商。 《消费品法规》（CRA）于2024年11月在《官方公报》上发布，其适用对象为投放到欧盟市场的含有数字元素的产品，其核心义务自2026年9月11日起生效。
实际上，一家中型工业传感器制造商可能同时受这两项法规的约束：一方面，由于其在制造业中作为关键或重要实体运营，因此受《NIS2》约束；另一方面，由于其销售的可编程逻辑控制器（PLC）、人机界面（HMI）或工业物联网（IIoT）网关属于含有数字元素的产品，因此受《CRA》约束。 厘清每项法规的适用范围，是制定切实可行的合规策略的第一步。
CRA 与 NIS2 一览
| 维度 | 《网络弹性法案》（CRA） | 《NIS2指令》 |
| 范围 | 欧盟市场上含有数字元素的产品 | 欧盟各地的必要和重要服务运营商 |
| 哪些主体必须遵守 | 联网产品的制造商、进口商和分销商 | 包括制造业在内的18个关键领域的中大型企业 |
| 主要要求 | 设计安全、漏洞处理、软件成分清单（SBOM）、CE标志、符合性评估 | 风险管理、事件报告（24小时/72小时）、供应链安全、治理问责制 |
| 处罚 | 最高1500万欧元或全球年营业额的2.5% | 最高1000万欧元或全球年营业额的2% |
| 时间轴 | 报告提交：2026年9月；完整申请：2027年12月11日 | 转为国内法截止日期：2024年10月；正在执行中 |
《网络弹性法案》对制造商意味着什么
含有数字元素的产品：您是否在适用范围内？
《CRA》适用于任何含有数字元素的产品，即任何具备数据连接功能且在欧盟市场销售的软件或硬件产品（第2条）。 对于制造商而言，这包括可编程逻辑控制器（PLC）、人机界面（HMI）、工业物联网（IIoT）网关、工业路由器、智能传感器以及任何运行嵌入式固件的设备。如果您的产品能够连接到网络，并且在欧盟销售，那么您几乎肯定属于该法规的适用范围。
《CRA》附件三进一步将产品划分为“重要”和“关键”两类。 工业自动化 船舶信息与控制系统（IACS）属于重要类别，因此需进行第三方符合性评估，而非自我评估。
“安全设计”（Secure-by-Design）、软件物料清单（SBOM）和CE标志
《网络安全法案》（CRA）要求制造商在产品的整个生命周期中全面融入网络安全措施。附件一列出了基本要求：安全的默认配置、防范未经授权的访问、数据完整性以及安装安全更新的能力。制造商还必须生成并维护软件物料清单（SBOM），以确保其软件供应链的透明度。
对于OT环境而言，这具有重大影响。没有更新机制的旧版产品将需要重新设计或淘汰。CE认证流程现将纳入网络安全符合性评估，这意味着如果无法证明符合CRA要求，产品将无法在欧盟合法销售。
2026年9月——这个不容错过的截止日期
虽然《CRA》的全面实施将于2027年12月11日开始，但制造商必须在2026年9月11日前履行漏洞报告义务。这意味着必须建立相关流程，确保在24小时内向ENISA报告正在被积极利用的漏洞。 如果贵组织目前尚未建立结构化的漏洞披露和事件响应流程，那么您只有几个月（而非几年）的时间来建立这样的流程。
NIS2对制造商意味着什么
“不可或缺”与“重要”的区别：如何定位自己
《NIS2》将实体分为两类。关键实体包括高关键性行业中的大型企业（员工250人以上或营业额5000万欧元以上）。 重要实体包括同一领域或其它领域内拥有50名以上员工或营业额1000万欧元以上的中型企业。制造业在该指令的附件一中被明确列出，特别是电气设备、机械、机动车和医疗器械的制造。
分类决定监管力度：关键实体将接受主动式监管，而重要实体则接受被动式执法。这两个层级的实体均承担相同的基准义务。
风险管理与事件报告
《NIS2》第21条规定了一系列风险管理措施，包括事件处理、业务连续性、供应链安全以及在适当情况下进行加密。第23条要求建立分级事件报告流程：24小时内发出预警，72小时内提交完整通报，一个月内提交最终报告。
对于运行融合型IT/OT环境的制造商而言，这带来了真正的运营挑战。传统OT网络上的安全监控往往十分有限，而在运行着15年前PLC的扁平化网络段上检测安全事件，与监控现代IT环境在根本上截然不同。
供应链安全现在是您的责任
《NIS2》明确要求各实体应对其供应链中的网络安全风险（第21条第2款第d项）。这意味着制造商必须评估其零部件供应商、软件供应商和系统集成商的安全措施。与安全相关的合同义务需要向下游传递。
CRA 与 NIS2 的重叠之处
这两项法规均要求实施漏洞管理、事件报告以及基于风险的安全措施。两者都规定了董事会层面的问责制。此外，两者都将供应链安全列为核心义务。对于既生产联网产品又运营联网基础设施的制造商而言，这两项法规的重叠之处相当显著。
将IEC 62443作为您的合规桥梁
IEC 62443 是关于工业自动化和控制系统安全的国际标准系列。 该系列标准既涵盖产品开发（IEC 62443-4-1、4-2），也涉及运行安全（IEC 62443-2-1、3-3），因此自然成为连接CRA产品要求与NIS2运行要求之间的桥梁。 尽管欧盟委员会仍在最终确定针对 CRA 的协调标准，但业界普遍预期 IEC 62443 将作为主要参考依据。现在就与该标准保持一致，可使制造商在两项法规下都具备可辩护的合规地位。
2026-2027年合规时间表
- 即日起至2026年年中：开展差距分析，启动软件物料清单（SBOM）工具开发，建立漏洞报告流程。
- 2026年9月11日：《CRA》漏洞报告义务正式生效。制造商必须向欧洲网络与信息安全局（ENISA）报告正在被积极利用的漏洞。
- 2024年10月起：NIS2的转化截止日期已过。各成员国的执行时间表虽有差异，但相关义务已正式生效。
- 2027年12月11日：全面实施《网络安全法规》（CRA）。所有在欧盟市场投放且含有数字元素的产品，必须符合附件I的要求，并加贴带有网络安全符合性声明的CE标志。
值得注意的是，目前仍存在一些不确定性。《网络安全法》（CRA）下的协调标准仍在制定中，且各成员国对《网络安全指令2》（NIS2）的转化情况参差不齐。合规团队应密切关注欧盟委员会和欧洲网络安全局（ENISA）发布的最新动态。
制定统一的合规路线图
步骤 1：差距分析
根据《CRA附件一》的要求和《NIS2》第21条规定的义务，评估贵单位当前的安全状况。确定哪些产品属于《CRA》的适用范围，以及贵单位是否符合《NIS2》中“关键”或“重要”实体的认定标准。请特别关注缺乏基本安全控制措施的运营技术（OT）资产。
步骤 2：符合 IEC 62443 和 ISO 27001 标准
在产品和运营技术（OT）系统安全方面，应采用 IEC 62443 标准；在全企业范围的信息安全管理方面，则应采用 ISO 27001 标准。这两项标准相结合，既涵盖了相关法规中绝大多数的要求，又能提供可审计的合规证据。
第 3 步：更新供应商合同
审查与零部件供应商、软件供应商和系统集成商的合同。合同中应包含网络安全要求、漏洞通知条款以及软件物料清单（SBOM）交付义务。无论是《网络和信息系统安全条例2》（NIS2）还是《网络安全法案》（CRA），都将供应链安全视为一项共同责任。
第 4 步：建立跨职能责任制
合规工作不能仅由IT部门承担。产品工程、运营技术（OT）运营、采购和法务部门都应各司其职。应成立一个职责明确、直接向高管层汇报的跨职能工作组，因为这两项法规均规定了管理层的责任。