自信应对欧盟《网络弹性法案》(CRA)
安全专业知识 30多 年
安全功能 5,000多种 产品
安全创新 200多项 专利
意法半导体已做好充分准备，在遵守CRA法规的同时，全程助力客户实现合规。
什么是欧盟《网络弹性法案》？
欧盟《网络弹性法案》是一部法规，针对所有在欧盟市场销售的包含数字元件的产品，规定了强制性网络安全要求。意法半导体提供完整的解决方案、专家的专业指导和经过验证的认证，助力客户更快、更高效地实现CRA合规。
CRA规定的制造商义务
安全设计
产品必须从设计之初就确保安全，最大限度地减少网络安全漏洞
有义务执行风险评估
符合性
通过自行评估或第三方评估验证产品是否符合基本要求
出具欧盟符合性声明并加贴CE标志
漏洞处理
建立漏洞处理流程及机制
报告已被积极利用的漏洞
维护
在产品停止销售后，提供至少5年的技术支持
提供至少10年的安全更新
意法半导体如何助力客户满足CRA要求
采用安全设计的产品
- 意法半导体提供能够满足CRA基本要求（附录I第I部分）的产品
- 流程级认证（通用标准、SESIP、PSA、ISO 21434）体现系统化安全方案
- 提供产品分类支持以及符合性评估指南
符合性文件及支持
- 意法半导体旨在基于全面质量保证体系（模块 H）开展符合性评估
- 提供完备的技术文档与安全生态系统
- 通过文档、网络研讨会和技术资源，为客户提供支持
已确立的漏洞处理流程
- 设立安全应急响应团队 (PSIRT)，遵循ISO/IEC 29147、30111标准开展协同漏洞披露
- 采用DevSecOps方案，将安全性融入产品的整个生命周期
- 自动进行漏洞检测与软件组成分析
维护
- 在既定支持期内持续提供安全更新，为产品提供长期支持
- 为部分产品提供安全配置与更新机制
CRA实施时间表
2024年12月10日
发布CRA最终文本
2026年6月11日
公告机构框架投入运作
2026年9月11日
报告义务开始生效
需在24小时和72小时内报告漏洞
2027年12月11日
合规监管全面启动
在欧盟市场销售的所有包含数字元件的产品，都必须符合基本要求
2024年12月10日
发布CRA最终文本
2026年6月11日
公告机构框架投入运作
2026年9月11日
报告义务开始生效
需在24小时和72小时内报告漏洞
2027年12月11日
合规监管全面启动
在欧盟市场销售的所有包含数字元件的产品，都必须符合基本要求
意法半导体获得的认证
安全认证
- 通用标准 (EUCC)
- EMVCo
- SESIP
- PSA认证
- ISO 21434（汽车网络安全）
流程认证
- ISO 9001
- ISO 27001
- TISAX（汽车网络安全）
其他后续流程
- ISO/IEC 29147：漏洞披露
- ISO/IEC 30111：漏洞处理流程
欧盟无线电设备指令 (RED) 与CRA
欧盟无线电设备指令 (RED) 2014/53/EU对投放在欧洲市场的无线电设备进行了规范。RED于2022年进行了修订，相关网络安全要求自2025年8月1日起生效，强制规定制造商保护网络接口和用户数据，并实施漏洞管理流程。RED专门面向具备无线电功能的设备，是对《网络弹性法案》的有力补充。
意法半导体提供的CRA和RED相关资源
| 文档 | 类型 | |
|---|---|---|
| 在线研讨会 | ||
| 社区 | ||
| 新的物联网安全标准（SESIP 3级） | 白皮书 | |
| 开发具备网络韧性的铁路组件 | 白皮书 | |
| 在线研讨会 | ||
| 在线研讨会 | ||
| Wiki | ||
| Wiki | ||
| Wiki | ||
| Wiki |
意法半导体提供的CRA和RED相关资源
意法半导体提供的安全相关资源
| 文档 | ||
|---|---|---|
| STM32软件安全策略问答 | Wiki | |
| STM32Trust软件安全策略 | Wiki | |
| 嵌入式安全解决方案及产品 | 应用 | |
| STM32Trust安全框架 | 产业生态系统 | |
| STSECURE - 安全MCU产品组合 | 产品 | |
| 安全硬件平台 | 平台 | |
| 嵌入式Linux安全 | 博文 |
意法半导体提供的安全相关资源
合作伙伴资源
| 合作伙伴 | 文档 | |
|---|---|---|
| Avnet Silica | 欧盟《网络弹性法案》- 对OEM的影响及合规之道 | |
| EBV | 无线电设备指令 (RED) 与网络弹性法案 (CRA) – 对MCU相关网络安全应用的影响 |
支持
我们的全球安全专家团队随时准备助您应对CRA要求并部署合规的解决方案。
常见问题
The Cyber Resilience Act (CRA) is a European cybersecurity law aiming at increasing security of connected digital elements. 该法律摘要已向公众公开，并作了详细说明。请点击此处查看。
CRA适用于所有包含互连数字元件的产品，通过规定在开发生命周期中产品和流程的强制性要求来增强安全性。产品根据其对安全性的影响进行分类。受现行强制性应用安全法规监管的产品不在适用范围之内。
2024年12月生效。漏洞报告义务自2026年9月起开始生效。2027年12月必须完全合规。
意法半导体获得流程和安全认证的组件，可构成经第三方验证的安全证据，从而显著缩短CRA认证的时间，降低其成本。
意法半导体通过在线社区论坛、应用工程、培训计划和网络研讨会提供全方位支持。