欧盟CRA与CE、RED、IEC 62443关系详解：工业IoT合规新要求

在做工业级 IoT 产品（网关、PLC、边缘计算盒子、传感器这类）的这几年，合规矩阵越铺越厚，从 CE 到 RED 再到 IEC 62443，说实话已经够让人头疼了。最近团队在梳理下一代产品的市场准入计划，CE、RED、IEC 62443 都排上了，结果法务甩过来一句话：“CRA 怎么办？” 当时我脑子里的第一反应也是：CRA 不是号称 2027 年才强制执行吗？急什么？

但这个想法在仔细看完法规原文之后很快就消失了。CRA（Cyber Resilience Act，欧盟网络弹性法案）跟 CE、RED、IEC 62443 都不是一回事，它不是一个可以“再等等看”的选项，而是一部已经生效的欧盟法规，并且它会直接改变你现有 CE 体系的内涵。这篇文章我会站在一个做工业 IoT 设备的工程师视角，把 CRA 和 CE、RED、IEC 62443 的关系彻底捋清楚，讲明白为什么已经有这么多认证还不够，以及从今天开始你该做什么。

1. 先搞清楚 CRA 到底是个什么来头

1.1 为什么这个法规值得你花一整天去搞懂

CRA 全称 Cyber Resilience Act，是欧盟针对“带有数字元素的产品”（products with digital elements）制定的网络安全法规。它覆盖的对象非常广，只要是“通过数字连接方式传输数据的设备或软件”，基本都跑不掉。工业 IoT 产品更是重点关照对象，因为这类产品一旦出安全问题，影响的往往不只是单个设备，而是整个生产网络的稳定性。

这个法规背后的逻辑是：过去十几年物联网设备的安全问题太多了，默认密码、永不更新的固件、裸奔的调试接口、被塞了后门的供应链组件，这些问题靠厂商自觉解决不现实，欧盟干脆用立法的形式把“安全义务”变成“法律义务”。所以 CRA 不是一个行业自律倡议，也不是一个可选认证，它就是一部法律，和 RED、EMC 指令、低电压指令一样，是进入欧盟市场的硬门槛。

1.2 CRA 的真正身份：一部法律，不是一个认证

不少朋友第一次听到 CRA 时都有一个误解：觉得它像 IEC 62443 一样，是一个“做完了能拿证书”的东西。其实不是。CRA 的合规结果虽然也落在 CE 标志和符合性声明上，但它的本质是一部法规，和“认证”是两套逻辑。

这里我习惯用一个类比来跟团队解释：IEC 62443 像是一套健身教程，你照着练能增强体质，但没人逼你；而 CRA 像是交通法规，不遵守就是违法，不是“练不练”的问题，是你上路就必须满足。而 CE 标志呢？它是你车上的年检标志，证明你这辆车符合了所有适用法规，CRA 来了之后，年检项目里会多出一大项“网络安全专项”。

从时间线上看，CRA 的推进节奏是这样的：法规文本于 2024 年 10 月正式通过，2024 年 12 月 10 日生效。它设置了分阶段适用期——2025 年 9 月 11 日起，成员国需要完成监管机构指定和处罚规则制定；2026 年 8 月 1 日起，RED 的网络安全授权法案重新启动；2026 年 12 月 11 日起，与 RED 修订相关的部分条款开始执行；而完整的核心义务，也就是所有人最关注的那部分，正式从 2027 年 12 月 11 日开始全面强制执行。注意，这里“生效”和“强制执行”是两回事，法规生效那天起，监管框架就开始运转了，只是给你留了过渡期。如果现在什么都不做，等 2027 年再启动，从 SSDLC 建设到产品改造再到符合性评估，大概率是赶不上的。

2. CRA 和 CE、RED 到底什么关系？会不会重复？

2.1 RED 3(3)(d)(e)(f) 的延期与并入

之前做无线产品的同学对 RED（Radio Equipment Directive 2014/53/EU）应该很熟，尤其对 RED 第 3(3) 条里的 d、e、f 三项网络安全要求印象更深。这三项分别涉及网络与数据保护、个人隐私保护、防欺诈保护，原本配套的授权法规 (EU) 2022/30 要求 2024 年 8 月 1 日起，所有 WiFi、蓝牙等无线设备都要强制满足这些网络安全条款。

后来因为 CRA 要落地，欧盟调整了策略。CRA 第 8 条直接修订了 RED，把 3(3)(d)(e)(f) 的强制执行日期往后推，同时留下了一