欧盟CRA网络韧性法案是什么？卖带软件产品的中国卖家要准备哪些合规材料？

一、欧盟CRA网络韧性法案是什么？

CRA全称Cyber Resilience Act，中文叫《网络韧性法案》，欧盟法规编号EU 2024/2847，2024年12月10日正式生效。它的管法是：凡是带数字元素、能联网的产品，从设计、生产到投放欧盟市场后的整个生命周期，都必须达到一定的网络安全标准。跟以前只管"安全认证"的思路不同，CRA把"上线后还得持续打补丁、报漏洞"写进了法律，等于给联网产品加了全生命周期的安全责任。时间线上要分清两层：漏洞和安全事件的报告义务，已经从2026年9月11日起先行适用；主要的产品合规义务，要等到2027年12月11日才全面落地。所以现在不是"还有一年多再管"，而是报告义务已经开始了，合规文件该备的窗口期就是现在。

简单讲，就是产品不光要'能卖'，还要'上线后持续安全'，这是监管思路的根本变化。

报告义务已经从今年9月11日跑了，不是明年才管。

二、哪些带软件的产品会被CRA管到？

范围比很多人想的大。按亚马逊卖家后台的指引口径，CRA管的是所有直接或间接联网的产品，包括但不限于：笔记本、手机、平板、路由器、智能家电、监控摄像头这类联网家居；手环、智能手表等可穿戴；操作系统、手机App、游戏、VPN等软件；传感器、条码扫描器、机器人等工业IoT；甚至CPU、安全芯片这类组件。二手、翻新、维修件和备件也都在内。豁免只有两类：已被其他产品安全法规覆盖的（比如医疗器械、民航、机动车），以及国家安全国防用途产品。绝大多数消费电子和IoT产品都跑不掉。做这些品类的中国卖家，别以为"我只是个小卖家"就不在范围，平台是把法规义务一层层传导到卖家身上的。

连带固件的模组、传感器都不例外，只要能联网就算，别以为只有成品才管。

二手、翻新、备件也都在管，别以为只有全新成品。

三、卖家要准备哪些合规材料？

核心就两件：CE标志和技术文档。CRA要求产品投放欧盟市场前证明符合性，表现形式就是带CE标志，并保存能证明安全的全套技术文档。卖家现在最该做的，是尽快向供应商索取CRA相关文件——包括风险评估、安全设计说明、漏洞处理流程、软件物料清单SBOM、以及EU符合性声明。如果文件缺失，亚马逊欧洲站已经明确：不宜上架。技术文档要能经得起公告机构或市场监督机构审查，不是填张表就完事。组件类的（比如你卖的设备里用了带固件的模组），也要能追溯到上游制造商的CRA合规状态。建议把"向供应商要CRA文件"列进新品上架前必查清单，跟CE、RoHS、电池法并列，缺一样就先别发。

文件这块最容易被忽略，很多工厂根本没有现成SBOM，得现在就开始建。

技术文档要能经得起公告机构审查，不是填张表就完事。

四、不合规会有什么后果？

后果分两层。平台层，亚马逊欧洲站已经把CRA合规写进卖家政策，没有合规文件和CE标志的产品，会被要求下架或限制销售，旺季前链路一断，损失的是实打实的流量和库存。法律层，CRA是欧盟法规不是平台建议，成员国市场监督机构有权查处不合规产品，轻则撤市、通报，重则罚款，且追责追到制造商和进口商或经销商。对卖家更现实的风险是：2027年12月全面义务落地后，没技术文档、没CE的产品根本进不了欧盟关、上不了架。现在离那个节点还有一年多，但报告义务已经跑了，意味着你现在上架的联网产品若出被利用的漏洞，制造商二十四小时内没报ENISA，链条上的人都可能连带。合规宜早不宜迟。

眼下先把在售联网品类的合规缺口摸一遍，比明年临近节点再补要从容。

2027年12月全面义务落地前，没文件的根本进不了欧盟。