文章总结： 本文解析欧盟CRA核心标准EN40000-1-4与EN18031的映射关系。标准约70%控制项复用EN18031，新增数据最小化、外部影响限制等控制族填补合规缺口。预计2027年10月发布，建议企业立即基于EN18031搭建安全基线，提前布局差异项，同步推进漏洞管理流程，实现双线合规。 综合评分： 72 文章分类： 技术标准,政策法规,软文广告

一文搞懂CRA最核心技术标准：EN 40000-1-4 背景、映射关系与发布时间表

原创

GTG-Hardy GTG-Hardy

GTG网络安全实验室

2026年7月17日 09:00 广东

在小说阅读器读本章

去阅读

随着欧盟《网络弹性法案（CRA）》落地进入倒计时，面向欧盟市场的硬件、软件、物联网企业纷纷启动合规布局。在 CRA 的众多合规路径中，符合协调标准是最主流、最高效的方式 —— 产品满足标准要求，即可直接推定符合 CRA 对应的法律义务。

在整套 CRA 配套标准体系里，EN 40000-1-4（又称 PT2，《含数字元素产品的网络安全要求 — 通用安全要求》） 是所有带数字元素产品都绕不开的核心横向基线。最近很多从业者都在问：

• 这套标准是谁在制定？和我们熟悉的 EN 18031 什么关系，是同一拨人吗？
• 之前按 EN 18031 做的合规基础还能用吗？两者的映射关系是怎样的？
• 标准什么时候正式发布？现在该怎么提前准备？

本文基于 2026 年 3 月最新的标准草案资料，把这些问题一次性讲透。

一

先搞懂：EN 40000-1-4是什么来头？

1.法律出身：CRA 的官方配套标准

EN 40000-1-4 的编制依据，是欧盟委员会 2025 年 2 月发布的标准化请求 M/606（C (2025) 618），精准对应《网络弹性法案》（Regulation (EU) 2024/2847）附件 I 第一部分第 2 条 (a)-(m) 共 13 项产品安全基本要求。

简单说，它就是把 CRA 里抽象的法律条文，转化为可落地、可验证的产品技术安全规范，是企业证明产品符合 CRA 产品安全要求的核心技术依据。

2. 体系定位：所有数字产品的通用安全基线

CRA 的配套标准采用「横向通用标准 + 垂直产品标准」的两层架构：

• 横向标准：面向所有含数字元素的产品，提供通用方法论与安全基线，共 3 项核心标准：
• EN 40000-1-2（PT1）：网络弹性原则，规定基于风险的产品全生命周期安全流程
• EN 40000-1-4（PT2，本文主角）：通用安全要求，提供产品侧的技术安全控制清单
• EN 40000-1-3（PT3）：漏洞处理要求，规定全生命周期漏洞管理流程
• 垂直标准：针对路由器、操作系统、智能家居、密码管理器、可穿戴设备等特定品类，在横向标准基础上细化产品专属要求。

换句话说，EN 40000-1-4 是所有品类的 “通用安全大纲”，后续所有垂直产品标准都会在它的基础上做细化。

3. 技术底座：站在 EN 18031 的肩膀上

标准编制的核心原则之一是避免重复造轮子。文档明确说明，EN 40000-1-4 直接以已有的 EN 18031:2024 系列标准为技术基线 —— 这套标准原本面向互联网连接无线电设备，对应欧盟 RED 指令，已经在物联网、消费电子行业应用多年。

在此基础上，EN 40000-1-4 补充了大量新控制项，以覆盖 CRA 更宽泛的适用范围和更多的安全义务。

二

谁在制定这套标准？

和EN 18031是同一团队吗？

1. 归口与牵头主体

标准的官方编制单位是 CEN/CLC/JTC 13/WG 9：

• 上层是 CEN（欧洲标准化委员会）+ CENELEC（欧洲电工标准化委员会）联合技术委员会 JTC 13，负责网络安全与数据保护领域的欧洲标准制定；
• 下属第 9 工作组（WG 9）专门承接 CRA 横向通用标准的编制工作。

整个编制工作由欧盟 STAN4CR 项目（欧洲创新委员会 EISMEA 与 EFTA 资助）提供资金与技术支持，参与方涵盖欧盟各国标准化机构代表、行业企业、科研机构等多方专家。

2. 和 EN 18031 是同一拨人吗？

技术强继承，团队有重叠，但范围更广。

• 技术层面：EN 40000-1-4 70% 以上的技术控制项直接复用自 EN 18031，底层的安全逻辑、控制项定义完全对齐，保证了标准的连贯性；
• 团队层面：参与 EN 18031 编制的核心专家、各国标准化机构代表，多数也参与了 EN 40000-1-4 的工作，确保技术延续性；
• 范围差异：EN 18031 仅面向无线电设备 / 物联网品类，团队以通信、物联网领域专家为主；而 EN 40000-1-4 覆盖所有含数字元素的产品（工业设备、纯软件、消费电子等），因此新增了工业自动化、软件安全、通用 IT 等领域的专家，团队整体规模和领域覆盖远大于前者。

三

核心干货：EN 40000-1-4

与EN 18031完整映射关系

整体关系可以用一句话总结：以 EN 18031 为底座，做了「继承复用 + 结构优化 + 新增补全」三件事。对于已经符合 EN 18031 的企业，大部分合规基础可以直接复用，只需要补齐新增的差异项。

✅ 第一类：完整继承，直接复用

以下核心控制族全部来自 EN 18031，技术要求基本没有变化，是标准的主体内容：

1. 通用设备能力（GEC）：无已知可利用漏洞、接口暴露限制、输入验证、产品完整性等基础要求；
2. 认证机制（AUM）：密码强度、暴力破解防护、认证因子验证与修改等；
3. 访问控制机制（ACM）：权限管控、访问授权等；
4. 安全更新机制（SUM）：更新的完整性与真实性校验、自动更新能力等；
5. 安全存储 / 通信机制（SSM/SCM）：静态数据的完整性与机密性、传输数据的加密与重放防护等；
6. 密钥与密码学（CCK/CRY）：密钥生成与管理、最佳实践密码算法要求等；
7. 日志机制（LGM）：日志持久化存储、事件数量与时间戳要求等；
8. 数据删除机制（DLM）：基础的安全数据删除能力；
9. 网络与流量控制（NMM/TCM）：网络监控、流量管控能力。

🔄 第二类：结构优化，合并精简

这部分没有新增技术要求，主要是对 EN 18031 的条款结构做了简化：

• 将原标准中大量独立的 “适用性条款”（如 ACM-1、AUM-1、SCM-1）直接合并到对应的主控制项中，不再单独列项；
• 整体逻辑更简洁，减少了冗余的条款层级，企业落地时更易理解。

➕ 第三类：全新增补，填补 CRA 要求缺口

这部分是 EN 18031 完全没有覆盖的内容，也是企业落地 CRA 需要重点补充的差异项，主要分为两类：

1. 原有控制族内新增控制项

在已有控制框架下，针对 CRA 的特定义务补充了新要求：

• 通用设备能力：新增安全启动配置、出厂重置、漏洞利用缓解机制、无不必要软件组件、未授权访问与损坏事件上报；
• 安全更新机制：新增「延期更新」功能，对应 CRA 要求的 “用户可临时推迟更新”；
• 日志机制：新增日志禁用功能、日志排除敏感个人信息，对应用户的 opt-out 选择权；
• 数据删除机制：新增用户数据导出的机密性、完整性保护与身份认证，对应 CRA 的数据迁移安全要求；
• 弹性机制：新增事件恢复、网络 / 资源优先级管控、资源管理、控制系统备份等要求；
• 用户通知机制：新增安全更新通知、异常检测通知。

1. 完全新增的控制族

以下 3 个控制族是为满足 CRA 全新设立的，在 EN 18031 中没有对应内容：

• 数据最小化（DTM）：要求仅处理与预期用途必要的数据，支持默认最小化处理、可选数据处理的可配置开关；
• 外部影响限制（LIM）：要求产品被攻陷后，限制对其他设备、网络的负面影响，具备攻击传播防护能力；
• 安全活动监控（MON）：要求对内部安全相关活动进行监控，并支持用户关闭监控功能。

映射关系小结

EN 18031 已经覆盖了 CRA 约 70% 的产品技术安全要求，剩余缺口主要集中在数据最小化、事件对外影响、漏洞利用缓解、用户可关闭的日志监控等 CRA 特有义务上。对于已有 EN 18031 合规基础的企业，不需要推倒重来，只需要针对性补齐新增控制项即可。

四

标准什么时候落地？最新进度与时间线

根据标准化请求 M/606 的要求，以及官方给出的指示性规划，整套标准的时间节点如下：

| 标准 | 预计正式发布时间 | 当前状态（2026 年 3 月） | | — | — | — | | EN 40000-1-2 /-1-3（流程类横向标准） | 2026 年 8 月 30 日 | 编制推进中，早于通用安全标准发布 | | 各类垂直产品标准 | 2026 年 10 月 30 日 | 先行基于 EN 18031 基线编制，后续对齐横向标准 | | EN 40000-1-4（通用安全要求） | 2027 年 10 月 30 日 | 早期草案阶段，已完成控制框架与映射关系，正在面向行业征集意见 |

在正式发布前，标准还会经过公开质询（Public Enquiry）、意见处理、最终投票等标准化流程，具体时间可能会有小幅调整，但整体时间框架基本确定。

五

给企业的几点准备建议

1. 不用等正式版，现有基础完全能用既然 70% 以上的内容继承自 EN 18031，企业完全可以先基于 EN 18031 搭建产品安全基线，这部分工作在新标准正式发布后依然有效，不会白费。
2. 提前布局新增差异项重点关注 EN 18031 没有覆盖的内容：数据最小化设计、攻击面管理、漏洞利用缓解技术、日志 / 监控的用户选择权、产品对外影响限制等。这些是 CRA 的特有要求，也是合规的差异化难点，越早布局成本越低。
3. 流程与技术双线并行CRA 合规不只是产品技术，还有漏洞管理、风险评估等流程要求。对应的 EN 40000-1-3 发布更早（2026 年 8 月），企业可以同步启动漏洞管理体系建设，做到 “产品技术 + 流程管理” 两条腿走路。

后续我们也会持续跟进 EN 40000 系列标准的最新动态，第一时间同步条款更新与落地要点。

广测电磁：全球数字安全合规优选伙伴

别让合规只停留在“拿证”。

面对欧盟 CRA网络弹性法案、AI法案及 GDPR/CCPA/数据法案等严苛监管，凭借CNAS(L18872)+A2LA(6947.01)双资质及前360/深信服核心网络安全专家团队，为您提供真正的“实战级”防护。

🏆 为什么GTG能为您降本避险？

• 拒绝模板：不只给报告，我们提供定制化漏洞修复方案，确保产品真安全。
• 极致省心：代写核心文档，免除繁琐填表，让合规效率提升70%。
• 全域覆盖：从消费电子到汽车、工控、医疗，一站式解决全球隐私与数据安全难题。

您的全球合规通行证，从这里开始。

[👉 立即咨询 CRA / AI法案 / 隐私合规]

更多相关内容

欢迎关注视频号“GTG网络安全实验室”

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：GTG网络安全实验室 GTG-Hardy GTG-Hardy《一文搞懂CRA最核心技术标准：EN 40000-1-4 背景、映射关系与发布时间表》