澄清与常见误解

概述

本节汇集了一系列「澄清」——针对那些关于市场准入的常见假设与网络弹性法案 (Cyber Resilience Act, CRA) 实际运作方式相背离的情形。本节尤其面向那些来自以证书为核心的监管文化、并将产品证书视为一次性入场券的制造商。

CRA 并非如此运作。它是一项全生命周期义务，而不是一份一次性取得的证书。下面每条澄清都聚焦于一个常见误解，解释 CRA 为何不同，并指向展示「具体应该做什么」的操作章节。

本节面向谁

非欧盟的含数字元素产品制造商——尤其是工业通信硬件（交换机、网关、路由器）——他们持有或计划取得 IEC 62443、ISO 9001 或 ISO 27001 证书，并认为该证书已满足 CRA。事实并非如此。本节解释原因，以及在此之外还需要什么。

#	澄清	一句话概括
1	欧盟委员会 CRA 指南 (Art. 26)	委员会本身对 CRA 的解释——它说了什么、具有何种法律效力，以及被纳入本手册的位置。
2	证书 vs. CRA 全生命周期	证书是一次性的关口；CRA 是由制造商负责、贯穿整个产品生命周期的持续流程。
3	IEC 62443、ISO 与 CRA	IEC 62443 与 ISO 9001 / 27001 与 CRA 有重叠，但都不涵盖 CRA 的任何持续运营与报告义务。
4	行业法规与既有证书	车辆豁免比看上去更窄；既有的 EU 型式检验证书只覆盖其实际评估过的风险——且截至 2028.06.11。

请先从指南页面开始

若您在 2026 年中之后重新查阅本手册，请先阅读欧盟委员会 CRA 指南。该页列出了改变本手册操作实践的十项解释——包括对实质性修改判定标准的更正，以及对支持期默认值的更正。

本节会随时间扩充。未来的其他界定（如 CRA 与 NIS2、CRA 与「仅 CE 标志」思维）将作为独立的澄清在此补充。