欧盟委员会《关于〈网络韧性法〉（Regulation (EU) 2024/2847）适用的委员会指南》及《批准其内容的委员会通讯》（C(2026) 5252 final，2026年7月27日）
简称：欧盟网络韧性法适用指南（CRA指南）
法规简介
2026年7月27日，欧盟委员会依《网络韧性法》第26条通过《关于〈网络韧性法〉适用的委员会指南》（C(2026) 5252 final，正文通讯2页+附件指南84页），是CRA实施前最重要的官方解释文件。指南回应业界最集中的合规疑问，共七章：①适用范围——「投放市场」的时点认定、软件作为含数字要素的产品、计算机代码、软硬件组合、数据连接与复杂系统的边界，以及CRA生效前已设计完成的数字产品如何处理；②自由与开源软件（FOSS）——判定FOSS是否落入自身责任，以及何种情形构成「投放欧盟市场」（收费、通过其他服务变现或要求处理个人数据、支持服务、捐赠、资助模式、非营利实体、被其他制造商集成），开源软件管理者（stewards）的持续支持与存续义务，贡献者与下游使用者的地位，并附示例场景；③实质性修改（substantial modification）与备件——物理维修、备件、软件更新何时构成实质性修改及其后果（由非原制造商实施/由原制造商实施两种路径）；④支持期（support period）；⑤重要与关键数字产品——核心功能判定、合格评定与合规推定；⑥网络安全风险评估与产品集成；⑦其他实施问题。时间表方面：CRA于2024年12月10日生效，第四章自2026年6月11日起适用，第14条漏洞与事件通报义务自2026年9月11日起适用，全面适用时间为2027年12月11日。指南正式通过须待全部欧盟官方语言版本齐备，届时方才产生适用效力。对中国出海企业（智能家居、消费电子、工业物联网、软件与开源组件供应商）而言，该指南基本决定了CRA合规的边界与工作量，特别是「开源组件被集成到产品后责任如何分配」与「何种软件更新会触发重新合格评定」两个高频问题。
· 文件名称：Communication to the Commission – Approval of the content of the draft Communication from the Commission – Commission guidance on the application of Regulation (EU) 2024/2847 (Cyber Resilience Act)，编号 C(2026) 5252 final，布鲁塞尔2026年7月27日。
· 法律依据：《网络韧性法》（CRA，Regulation (EU) 2024/2847，2024年10月23日通过）第26条要求欧盟委员会发布指南，协助经济运营者适用CRA，并特别着眼于便利微型、小型和中型企业合规。
· 关键时间表：CRA于2024年12月10日生效；第四章（合格评定等）自2026年6月11日起适用；第14条通报义务自2026年9月11日起适用；CRA整体自2027年12月11日起全面适用。
· 生效条件：指南须在全部欧盟官方语言版本齐备后由委员会正式通过，自通过之日起适用。本通讯为通过其内容的内部程序文件，附件即指南草案正文。
二、第一章 引言
· 1.1 CRA概述：对含数字要素产品（products with digital elements）设定横向、强制性的网络安全要求，覆盖产品全生命周期。
· 1.2 指南目的：为经济运营者提供及时指引，减少合规不确定性。
三、第二章 适用范围（Scope）
· 2.1 「投放市场」（placing on the market）的认定时点与含义。
· 2.2 软件作为「含数字要素的产品」。
· 2.3 计算机代码（computer code）的处理。
· 2.4 硬件与软件组合构成含数字要素产品的情形。
· 2.5 数据连接（data connection）是否为必要要素。
· 2.6 复杂系统（complex systems）的界定与责任划分。
· 2.7 CRA生效（适用）前已设计的含数字要素产品如何处理。
四、第三章 自由与开源软件（FOSS）
· 3.1 判断FOSS是否处于自身责任范围。
· 3.2 判断FOSS是否构成「投放欧盟市场」，考量因素包括：是否收费；是否通过其他服务变现或要求处理个人数据（3.2.2）；是否提供支持服务（3.2.3）；捐赠（3.2.4）；FOSS的资助模式（3.2.5）；以实现非营利目标设立的非营利实体（3.2.6）；被其他制造商集成（3.2.7）。
· 3.3 开源软件管理者（open-source software stewards）：持续支持义务与FOSS存续性的保障。
· 3.4 贡献者（contributors）与下游使用者的地位。
· 3.5 示例场景（illustrative scenarios），以具体案例说明责任归属。
五、第四章 实质性修改与备件
· 4.1 物理维修。
· 4.2 备件（spare parts）。
· 4.3 软件更新在何种情形下构成实质性修改（substantial modification）。
· 4.4 实质性修改的后果：4.4.1 由原制造商以外的人实施；4.4.2 由原制造商实施。
六、第五章 支持期（Support period）
· 支持期的确定与理解方式，以及实质性修改对支持期的影响。
七、第六章 重要与关键数字产品
· 6.1 核心功能（core functionality）的判定。
· 6.2 重要与关键数字产品的合格评定。
· 6.3 对合规推定（presumption of conformity）的影响。
八、第七章 网络安全风险评估与产品集成
· 网络安全风险的评估与处理方式；将含数字要素产品集成到更大系统时的责任与评估衔接。
九、对中国出海企业的要点
· 「软件即产品」：中国厂商的固件、App、SDK、云端组件只要随产品投放欧盟市场，即落入CRA范围，不再区分硬件与软件。
· 开源组件的责任边界：指南以「变现/收费/要求处理个人数据/提供支持」等多项因素判断FOSS是否投放欧盟市场，中国厂商使用开源组件时需做供应链尽调，并注意被认定为「开源软件管理者」后的持续支持义务。
· 软件更新陷阱：部分软件更新会被认定为实质性修改，从而触发重新合格评定、技术文档更新与制造商身份变更（若由他方实施）。
· 时间窗口：第14条漏洞与严重事件通报义务自2026年9月11日起适用，全面合规期限为2027年12月11日，产品路线图与合规预算需据此倒排。
