CRA 标准追踪

具数字元素产品的网络安全横向法规：Annex I 安全要求、Art. 13 制造商义务、Art. 14 报告义务（2026-09-11 起）、2027-12-11 全面适用。

对 Annex III（19+4 类 Important）与 Annex IV（3 类 Critical）给出权威技术描述，含 AVA_VAN 量化门槛。

依据 CRA Art. 2(5) 把 Reg. 168/2013 覆盖的 L 类两轮/三轮/四轮车排除出 CRA（带踏板 L1e 除外），改由 UN R155 车辆网络安全框架覆盖。

基于 Common Criteria 的欧盟网络安全认证方案（自愿性）；CRA 下 ≥substantial 级认证可支持符合性推定/免第三方评估。

全系列通用术语与定义（16 条新增术语），CRA 法规定义优先。

4 大安全原则 + 风险管理要素 + 11 项全生命周期安全活动；单独使用不产生符合性推定。

漏洞处理六阶段过程要求（准备/接收/验证/修复/发布/发布后），把 ISO 29147/30111/TR 5895 的建议升格为强制要求，整合 SBOM/CSAF/security.txt；Annex ZA 映射 Annex I Part II。

独立与嵌入式浏览器（Class I §2）。

密码管理器（Class I §3）。

防病毒/反恶意软件（Class I §4）。

VPN（Class I §5）。

网络管理系统（Class I §6）。

安全信息与事件管理系统（Class I §7）。

启动管理器（Class I §8）。

PKI 与数字证书签发软件（Class I §9）。

物理与虚拟网络接口（Class I §10）。

操作系统（Class I §11）。

路由器/调制解调器/交换机（Class I §12）。

智能家居通用虚拟助手（Class I §16）。

智能家居安全类产品（Class I §17）。

联网玩具（Class I §18）。

健康监测/儿童可穿戴（Class I §19）。

Hypervisor 与容器运行时（Class II §1）。

防火墙/IDS/IPS（Class II §2）。

RED Art. 3.3(d)：网络保护。可直接联网的无线电设备适用。

RED Art. 3.3(e)：个人数据与隐私保护（儿童设备、可穿戴等）。

RED Art. 3.3(f)：处理货币价值的设备防欺诈。

SBOM 规范性技术要求：CycloneDX ≥1.6 / SPDX ≥3.0.1、组件 10 必填字段、SHA-512、一版本一 SBOM、SBOM 内禁含漏洞信息。

漏洞接收侧 CVD 流程规范：security.txt（RFC 9116）、PSIRT/CSIRT 双角色、5/10 工作日响应 SLA、90 天披露时限、EUVD 同步。

17 国机构联署的国际基线：数据字段 7→17（新增签名/工具溯源/生成上下文等），Coverage 全传递依赖，强制显式标注 unknown/withheld。

供应商对外接口：接收报告能力（7 天确认）、advisory 16 要素、披露政策、签名与安全通信。

供应商内部流程：六阶段（准备/接收/验证/修复/发布/发布后）+ PSIRT 组织模型。

MPCVD 场景指南：mitigating/dependent vendor 角色、依赖映射、embargo 管理与同步发布。