文章总结： 本文解析欧盟《网络弹性法案》的七个核心合规术语，涵盖CE标志、合格评定、公告机构及协调标准等关键概念。文章构建了从遵循标准、完成评定到出具声明、加贴标志的完整合规流程链，明确了不同风险等级产品的评定要求与法律责任。内容旨在帮助企业理解法律义务，规避入欧合规风险，为带数字元素产品顺利进入欧盟市场提供了详尽的实操指引与避坑建议。 综合评分： 85 文章分类： 政策法规,技术标准,安全建设,解决方案
《网络弹性法案》（CRA）核心术语解析（3）｜7个合规核心名词，带数字元素产品入欧必看
原创
网络安全实验室 网络安全实验室
GTG网络安全实验室
2026年3月12日 16:22 广东
。
随着欧盟《网络弹性法案》（Regulation (EU) 2024/2847，简称CRA）的全面生效，任何想进入欧盟市场的带数字元素产品，都必须闯过“合规关”。而这道关的核心，就是搞懂7个关键合规名词——它们串联起产品从设计、检测到投放市场的全流程，是企业规避处罚、顺利入欧的“通行证”。
不同于单纯的技术名词，这7个概念环环相扣，本质是欧盟为带数字元素产品（如智能设备、工业组
件、APP等）搭建的“合规准入体系”：从产品需遵循的标准，到检测验证的流程，再到最终投放市场的凭证，每一个名词都对应着明确的法律义务和实操要求。今天就一次性讲透，帮你理清入欧合规的核心逻辑，避开常见误区。
先理清核心逻辑：7个名词的“合规流程链”
在解读具体名词前，先记住一个关键逻辑（对应产品入欧全流程）： 「遵循标准（协调标准/欧洲标准）→ 完成合格评定（由合格评定机构/公告机构执行）→ 出具欧盟符合性声明 → 加贴CE标志 → 合法投放欧盟市场」 这7个名词，就是这条流程链上的核心节点，缺一不可。
1
CE marking（CE标志）：
产品入欧的“准入身份证”
法案核心定义（Article 3(2)） CE标志是产品符合欧盟相关法规（包括《网络弹性法案》）要求的可视化标识，是制造商向欧盟监管机构和消费者证明产品合规的核心凭证，贴有该标志的产品可在欧盟全境内自由流通。
关键细节（必看实操要点）
1. 贴标要求：
必须清晰、可永久保留（不易磨损、不易脱落），高度不低于5mm（特殊产品可酌情调整，但需清晰可辨），可贴在产品本身、包装或随附文件上；
2. 贴标前提：
只有完成合格评定、出具欧盟符合性声明后，才能加贴CE标志，严禁无合规依据擅自贴标（属于违法行为，最高可面临产品下架、高额罚款）；
- CRA新增要求：
不同于传统CE标志（侧重物理安全、电磁兼容），CRA下的CE标志，额外绑定“网络安全合规”——产品需满足法案规定的全生命周期网络安全要求（如漏洞修复、安全更新），才算具备贴标资格；
4. 责任关联：
贴标即意味着制造商承诺产品符合所有相关欧盟法规，若后续发现产品不合规，制造商需承担全部法律责任，监管机构可强制召回产品。
通俗类比：相当于产品进入欧盟市场的“签证”，没有它，再优质的产品也无法通关。
2
conformity assessment（合格评定）：
产品合规的“检测验证流程”
法案核心定义（Article 3(20)） 合格评定是指用以直接或间接确定带数字元素产品是否满足本法规及相关欧盟要求的所有活动，涵盖产品设计、测试、审核、认证等全流程，是判断产品能否贴标、投放市场的核心环节。
关键细节（必看实操要点）
1. 核心目的：
验证产品是否符合《网络弹性法案》的核心要求（如设计安全、默认安全配置、漏洞处理、支持期等），以及相关协调标准/欧洲标准的技术规范；
2. 评定方式（CRA明确两类，按需选择）：
· 内部控制（自我评定）：适用于普通风险产品，由制造商自行开展风险评估、测试，出具评定报告，证明产品合规（需留存完整技术文档，供监管机构核查）；
· 第三方评定：适用于重要类（II类）、关键类产品，需委托欧盟认可的公告机构开展评定，出具第三方评定报告（强制要求，无法自行评定）；
3. 全生命周期要求：
合格评定不仅针对产品投放市场前，还需覆盖产品支持期内的重大修改——若产品进行重大修改（如改变核心功能、影响网络安全），需重新开展合格评定；
4. 与其他名词关联：
合格评定是出具欧盟符合性声明、加贴CE标志的前提，没有完成合格评定，就无法获得后续的合规凭证。
通俗类比：相当于产品入欧前的“体检”，合格评定就是“体检流程”，只有体检通过（评定合格），才能拿到“体检报告”（符合性声明），进而获得“签证”（CE标志）。
3
conformity assessment body（合格评定机构）：
产品合规的“专业检测机构”
法案核心定义（Article 3(21)） 合格评定机构是指具备相应技术能力，能够开展合格评定活动（如测试、审核、认证），并出具评定结果的自然人或法人，包括制造商自行设立的内部评定部门、第三方专业检测机构。
关键细节（必看实操要点）
1. 资质要求：
无论内部机构还是第三方机构，都需具备与评定产品相匹配的技术能力（如检测设备、专业人员），且需遵循欧盟统一的评定规则；
2. 适用场景：
· 内部机构：仅适用于普通风险产品的自我评定，由制造商自行负责，评定结果需接受欧盟市场监督机构的核查；
· 第三方机构：可承接各类产品的合格评定，但只有获得欧盟官方认可（公告机构或国际认可实验室组织），才能承接重要类、关键类产品的强制第三方评定；
3. 责任义务：
需对评定结果的真实性、准确性负责，若因评定失误导致不合规产品流入市场，需承担相应的行政责任（如罚款、取消资质）；
4. 与公告机构的关系：
公告机构是“特殊的合格评定机构”——所有公告机构都是合格评定机构，但并非所有合格评定机构都是公告机构（需额外获得欧盟官方授权）。
4
notified body（公告机构）：
高风险产品的“合规权威审核方”
法案核心定义（Article 3(22)） 公告机构是指经欧盟成员国主管机构认可、并在欧盟官方公报上公示（“通知”）的合格评定机构，具备开展重要类、关键类带数字元素产品强制第三方合格评定的资质，是欧盟监管体系的重要组成部分。
关键细节（必看实操要点）
1. 核心区别：
与普通合格评定机构相比，公告机构拥有“官方授权”，其评定结果具有欧盟范围内的法律效力，可直接作为产品合规的证明依据；
2. 强制适用场景：
CRA明确规定，重要类（II类）、关键类带数字元素产品（如防火墙、工业控制系系统、密码学模块等），必须委托公告机构开展第三方合格评定，制造商无法自行评定；
3. 监管要求：
公告机构需接受欧盟成员国主管机构和欧洲网络安全局（ENISA）的监督，定期接受资质审核，若出现违规评定、弄虚作假等行为，将被取消公告机构资质，且需承担相应法律责任；
4. 实操提示：
企业在选择公告机构时，需确认其资质范围涵盖自身产品类别（如工业组件、智能设备等），避免因机构资质不符导致评定结果无效。
通俗类比：相当于高风险产品的“权威体检中心”，普通产品可自行体检（内部评定），但高风险产品必须去官方认可的“权威机构”体检，体检报告才被欧盟认可。
5
EU declaration of conformity（欧盟符合性声明）：
产品合规的“官方书面承诺”
法案核心定义（Article 3(23)） 欧盟符合性声明（简称DoC）是制造商出具的、证明产品符合《网络弹性法案》及相关欧盟法规、标准要求的正式书面文件，是产品合规的核心法律凭证，与CE标志配套使用。
关键细节（必看实操要点）
1. 出具前提：
必须在完成合格评定（自我评定或第三方评定）后，由制造商或其授权代表出具，严禁未完成评定就出具声明；
2. 必备内容（缺一不可）：
· 制造商（或授权代表）的名称、地址、联系方式；
· 产品的名称、型号、序列号（或批次号），确保产品可追溯；
· 适用的欧盟法规（明确标注《网络弹性法案》及相关配套法规）；
· 适用的协调标准/欧洲标准（注明标准编号及版本）；
· 合格评定方式（自我评定/第三方评定，若为第三方评定，需注明公告机构编号）；
· 签署人姓名、职务，以及声明出具日期；
3. 留存要求：
需留存至少10年（自产品投放市场之日起），供欧盟市场监督机构核查，若无法提供或声明内容虚假，将被认定为不合规；
4. 法律效力：
声明是制造商的法律承诺，若产品后续被发现不合规，无论评定方式如何，制造商都需承担全部责任（如产品召回、罚款）。
通俗类比：相当于产品的“合规承诺书”，制造商签字盖章后，就意味着承诺产品符合欧盟所有要求，是CE标志的“书面支撑文件”。
6
harmonised standard（协调标准）：
产品合规的“统一技术模板”
法案核心定义（Article 3(24)） 协调标准是指由欧洲标准化组织（CEN、CENELEC、ETSI）制定，经欧盟官方公告，与本法规核心要求相匹配的技术标准，是制造商设计、生产、检测产品的“参考模板”，遵循协调标准可推定产品符合法规要求。
关键细节（必看实操要点）
1. 核心作用：
“推定合规”——若制造商能证明产品符合相关协调标准，无需额外开展复杂的合规验证，即可推定产品满足《网络弹性法案》的核心要求，大幅降低合规成本；
2. 官方属性：
协调标准由欧盟官方公告（发布在欧盟官方公报上），具有强制性参考意义，且会根据技术发展和法规更新定期修订；
3. 适用范围：
覆盖产品设计、生产、测试、漏洞处理、支持期等全流程，例如：产品默认安全配置的技术要求、安全更新的技术规范、漏洞检测的方法等；
4. 灵活性：
制造商可选择不遵循协调标准，但需自行证明产品符合《网络弹性法案》的核心要求（难度更高，需开展更全面的风险评估和测试）；
5. 与CRA的关联：
欧盟委员会会根据《网络弹性法案》的要求，推动欧洲标准化组织制定配套的协调标准，确保标准与法规要求一致，方便企业合规。
7
European standard（欧洲标准）：
合规标准的“基础支撑”
法案核心定义（Article 3(25)） 欧洲标准是指由欧洲标准化组织（CEN、CENELEC、ETSI）制定的、适用于欧盟范围内的技术标准，涵盖带数字元素产品的技术特性、安全要求、测试方法等，是协调标准的“基础来源”。
关键细节（必看实操要点）
1. 与协调标准的区别（重点区分，避免混淆）：
· 欧洲标准：是“基础技术标准”，不一定与《网络弹性法案》直接绑定，可能适用于多个欧盟法规，或仅规定产品的通用技术要求；
· 协调标准：是“针对性合规标准”，由欧洲标准转化而来，经欧盟官方公告后，与《网络弹性法案》核心要求绑定，具有“推定合规”的作用；
简单说：协调标准是“被欧盟选中的欧洲标准”，专门用于匹配CRA的合规要求；
2. 适用场景：
若没有对应的协调标准，制造商可参考相关欧洲标准，结合《网络弹性法案》的核心要求，设计、生产产品，并证明产品合规；
3. 关联性：
欧洲标准是协调标准的基础，欧盟会根据CRA的需求，从现有欧洲标准中筛选、修订，形成协调标准，确保标准的适用性和统一性。
总结：7个名词的“合规闭环”，一文记牢
对于想进入欧盟市场的带数字元素产品而言，这7个名词不是孤立的，而是形成了一个完整的“合规闭环”：
1. 制造商先参考「欧洲标准」，遵循「协调标准」设计、生产产品；
2. 选择「合格评定机构」（普通产品可自行评定，高风险产品需选择「公告机构」），完成「合格评定」；
3. 评定合格后，出具「欧盟符合性声明」；
4. 加贴「CE标志」，产品即可合法投放欧盟市场。
最后提醒：《网络弹性法案》的合规要求具有强制性，未满足上述任何一个环节，都可能导致产品被禁止入境、下架，甚至面临高额罚款（最高可达1500万欧元或全球年营业额2.5%）。
掌握这7个核心名词，就抓住了CRA合规的关键，后续无论是产品设计、检测，还是投放市场，都能清晰把控方向，避免踩坑。
收藏本文，入欧合规不迷路～
🔒 安全升级！GTG认证护航物联⽹安全新时代
GTG网络安全实验室
🔐 GTG⼴测集团是国内领先的 IoT安全认证专家，尤其擅⻓ EN 18031标准（欧洲物联⽹安全法规）的测试与认证！
支持全球网络安全认证检测项目：
🏆 GTG如何为您的IoT产品保驾护航？
✅ EN 18031合规认证：确保您的产品符合欧洲市场准⼊要求
✅ 渗透测试 & 漏洞评估：模拟⿊客攻击，提前发现安全隐患
✅ 安全架构设计咨询：从底层优化产品安全性能
✅ 全球法规适配：协助企业满⾜不同国家的IoT安全标准（如中国GB/T、英国PSTI）
💡 为什么选择GTG？
· 国内专业的IoT安全检测机构
· 已经为多家企业提供安全认证服务
· ⾃有攻防实验室，配备专业红队模拟APT攻击场景
更多相关内容
欢迎关注视频号“GTG网络安全实验室”
私信可获取“EN 18031自测工具包”
免责声明：
本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。
任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。
本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。
本文转载自：GTG网络安全实验室 网络安全实验室 网络安全实验室《《网络弹性法案》（CRA）核心术语解析（3）｜7个合规核心名词，带数字元素产品入欧必看》
版权声明
本站仅做备份收录，仅供研究与教学参考之用。
读者将信息用于其他用途的，全部法律及连带责任由读者自行承担，本站不承担任何责任。
评论