欧盟网络韧性法案（Cyber Resilience Act，CRA，Regulation (EU) 2024/2847）要求带有数字组件的产品在上市前和上市后都必须符合网络安全要求。网络设备属于适用的硬件类型，欧盟委员会也将路由器列为“重要产品”的例子。
重要时程
日期 事项
2024-12-10 CRA生效
2026-06-11 合格评定机构的通知程序（第四章）开始适用
2026年9月11日 漏洞和事件通报义务开始适用
2027-12-11 CRA 全面适用
通报义务已经生效，并涵盖已在市场上的产品。在全面适用日期之前已上市的产品，只有在发生实质性修改时，才适用CRA的其他要求。
通报时限
遇到实际被利用的漏洞，制造商需在知情后24小时内提交早期预警，72小时内提交正式通报，并在修复或缓解措施可用后14天内提交最终报告。对于严重的网络安全事件，前两个时限相同，最终报告需在72小时通报后1个月内提交。所有通报均通过CRA统一通报平台提交。
合规性评估
一般产品可以自我评估。重要产品如果没有采用协调标准，就需要有认证机构（Notified Body）参与，关键产品一律需要认证机构。
范围与排除
汽车、医疗器械与体外诊断器械、航空设备和海事设备不在范围内。
支持期
制造商应规定支持期限，并在购买时明确标注结束的年份和月份。欧盟法规前言提到，支持期限不应少于5年，除非产品的预期使用期限更短。
现在可以先做的事情
盘点产品线，对照附件 III 与 IV 判断分级。
建立24小时和72小时的内部通报流程，因为这已经生效。
制定每个产品的支持周期。
阅读执委会于2026年7月27日发布的实务指引。
提醒：请留意法规更新状态
CRA 仍在分阶段实施，相关指引、标准和分类说明都有可能更新。以下项目本文未获得条文原文，或仅引用第三方来源，使用前请务必对照最新官方资料。
路由器和AP的分级：官方页面只说明路由器属于“重要产品”，并未明确指出是Class I还是Class II。关于AP是否适用，也请以附件III和执委会的类别说明为准。
支持期的条文：“不少于5年”出自法规前言，第13条的正式条文请自行核对。
文件保存年限：官方页面未注明，本文不提供具体数字。
罚款金额：官方页面未公布具体金额，本文不提供数字，处罚规定另有成员国的相关规定。
开源软件和独立SaaS是否适用：第三方页面没有明确说明，请参考执委会的实务指引。
无线电设备指令（RED）与 EN 18031：本文未获得 RED 网络安全要求的适用日期，以及在 CRA 全面适用后，二者如何衔接的官方依据。
本文的查证时间：资料查证于2026年10月，如之后有新的指引、标准或修订，请以官方最新公告为准。
数据来源
欧盟委员会：网络韧性法案
欧盟委员会：CRA摘要
欧盟委员会：CRA 合规性评估
欧盟委员会：2026年7月27日实务指引
EUR-Lex：法规（欧盟）2024/2847
DEKRA 台湾：网络韧性法案