CRA的全称是《网络弹性法案》（Cyber Resilience Act，即法规 (EU) 2024/2847）。这是一部由欧盟推出的、针对数字产品的强制性网络安全法规。它的核心目的是确保带有数字元素的产品在设计、开发、生产和整个生命周期内都是安全的，从而将安全责任从消费者转移到制造商身上。如果违规，企业最高可能面临1500万欧元或全球年营业额2.5%的巨额罚款（以较高者为准）。

CRA适用范围

CRA适用于具有数字元素，并且直接或者间接连接到网络或者其他设备的产品。包括但不限于：

豁免范围：哪些产品不归CRA管？

CRA并非覆盖所有带电设备。以下三类领域明确豁免：

1. 纯SaaS产品

仅在云端运行、无需用户下载安装客户端或代理组件的软件服务，不归CRA管辖。但此类产品需纳入**NIS2指令**管理范围。

2. 已有专属法规的行业

医疗器械、汽车及车载组件、航空设备、航海设备、国防与国家安全产品等领域，已有严格的专门法规，豁免于CRA。

3. 非商业性质的开源软件

社区免费开源的代码，不涉及商业变现，不受CRA管辖。但企业将开源代码集成至商业产品中销售时，需为该部分代码承担合规责任。

CRA核心要求