引言
欧盟《网络弹性法案》（Cyber Resilience Act, CRA）已正式生效，对投放到欧盟市场的所有含数字元素产品（PDE）提出了强制网络安全要求。对于汽车电子出口企业而言，CRA 已成为继 UN R155 之后又一道必须跨越的合规门槛。
一、CRA 是什么？管什么？
CRA 是欧盟针对含数字元素产品（软硬件）的网络弹性法案。只要产品具备直接或间接的数据连接（4G、蓝牙、Wi-Fi、以太网等），就可能属于 PDE，需要满足 CRA 要求并打 CE 标。
二、CRA 与 R155 / ISO 21434 的关系
| 维度 | UN R155 / ISO 21434 | EU CRA |
|---|---|---|
| 性质 | 车辆型式批准法规 / 工程标准 | 产品市场法规（CE/DoC） |
| 管辖 | 纳入型式批准的专用系统 | 独立流通的产品 SKU |
| 边界 | 车端安全 | 售后配件、后装外设、通用备件 |
三、CRA 核心要求
- 设计即安全（Security by Design）：产品设计和开发阶段就要考虑安全。
- 漏洞管理：建立漏洞报告和处理机制。
- SBOM 要求：提供机器可读的软件物料清单（CycloneDX/SPDX）。
- 报告义务：Article 14 报告时限（24 小时早期预警、72 小时漏洞通知、14 天/1 月最终报告）。
四、汽车电子企业如何应对
- 先做 CRA 适用性判定：判断产品是否属于独立 PDE。
- 差距分析：对照 CRA Annex I 要求排查现有文档。
- 补齐 SBOM、扩展 TARA、建立应急响应流程。
- 准备技术文档卷宗，对接认证机构。
结语
CRA 不是可选项，而是出口欧盟的强制合规要求。越早布局，越能在海外市场抢占先机。
需要合规支持？
不确定您的产品是否需要做 CRA？信安擎科技提供 CRA 适用性判定与合规差距分析，助您清晰定位出口合规路径。