跳至内容

面向机械的网络弹性法案：义务、期限与报告

法律依据已对照官方公报核实

如果您的机械带有配备以太网端口的控制器、远程维护路由器或无线手持终端，欧盟网络弹性法案几乎肯定适用于它。其中一部分已经适用：自 2026 年 9 月 11 日起，制造商必须报告被积极利用的漏洞和严重安全事件，即使涉及多年前交付的机械。设计、漏洞处理和文档方面的要求将于 2027 年 12 月 11 日随后适用。本指南说明适用范围、期限、分类以及需要准备的事项，并附上您自行核对所需的条款引用。

关键日期

2024-11-20

在官方公报上公布

2024 年 10 月 23 日的法规 (EU) 2024/2847，官方公报 L 辑，2024/2847。经 2025 年 7 月 2 日的官方公报 L 辑 2025/90555（第 13 条第 8 款和第 64 条第 10 款）以及 2025 年 10 月 17 日的官方公报 L 辑 2025/90828（第 67 条）更正。

2024-12-10

生效

公布后二十日生效（第 71 条第 1 款）。在这一日期，制造商尚不承担任何义务。

2026-06-11

公告机构

第四章（第 35 条至第 51 条）开始适用，因此合格评定机构可以依据 CRA 获得公告（第 71 条第 2 款）。

2026-09-11

报告义务开始适用

被积极利用的漏洞和严重安全事件必须报告，包括在该日期之前已投放市场的产品（第 71 条第 2 款和第 69 条第 3 款）。ENISA 的统一报告平台（Single Reporting Platform）同日以初始版本上线。

2027-12-11

全面适用

自该日期起投放市场的产品必须满足全部要求：附录 I、风险评估、合格评定、声明和 CE 标志（第 71 条第 2 款）。此前已投放市场的产品，只有在该日期之后发生实质性修改时才会被纳入（第 69 条第 2 款）。

2028-06-11

证书过渡有效期结束

依据其他欧盟协调立法签发的、涉及网络安全要求的欧盟型式检验证书和批准决定，在该日期之前仍然有效，除非其提前失效或该立法另有规定（第 69 条第 1 款）。

因此，决定适用哪些义务的，是产品在欧盟市场上投放的日期。对于正在生产的产品线，欧盟委员会指南 C(2026) 5252（内容已于 2026 年 7 月 27 日获批；截至 2026 年 9 月 15 日未发现正式通过的记录）提供了一定的缓解：在 2027 年 12 月 11 日之前设计、之后投放市场的产品，如果风险评估表明已采取适当措施，则无需重新设计。合格评定、声明和 CE 标志仍然必不可少。

您的机械在适用范围内吗？

第 2 条第 1 款涵盖在市场上提供的含数字元素的产品，“其预期用途或可合理预见的使用包括与设备或网络的直接或间接逻辑或物理数据连接”。含数字元素的产品是指任何软件或硬件产品及其远程数据处理解决方案（第 3 条第 1 点）；根据第 3 条第 2 点，这包括由制造商设计或开发、或在其责任下设计或开发的远程数据处理软件，例如机械某项功能所依赖的云应用。

机械上的典型触发因素

  • 连接工厂网络或其他机械的以太网或现场总线接口
  • 通过路由器、VPN 或门户进行的远程维护访问
  • 用于加载程序或配方的 USB 端口
  • Wi-Fi、蓝牙或蜂窝网络，包括无线手持终端
  • 与制造商云应用的连接

第 2 条第 2 款至第 7 款的排除范围

  • 医疗器械和体外诊断医疗器械（法规 (EU) 2017/745 和 2017/746）
  • 法规 (EU) 2019/2144 规定的车辆，以及依据法规 (EU) 2018/1139 认证的航空产品
  • 指令 2014/90/EU 规定的船用设备
  • 通过授权法案排除的产品，目前为法规 (EU) No 168/2013 所涵盖的产品（第 2 条第 5 款，授权法规 (EU) 2025/1535）
  • 相同的备件（第 2 条第 6 款）
  • 专为国家安全或国防而开发的产品（第 2 条第 7 款）

机械不在该清单上。CRA 鉴于条款第 53 条走得更远：依据法规 (EU) 2023/1230 的机械制造商应同时遵守 CRA 和机械法规。欧盟委员会指南草案补充说明，数据连接要求存在编码的数字信息，因此没有控制器和接口的纯机械式机器不在 CRA 范围内。操作、配置或控制机械所需的软件视为产品的一部分，即使客户是单独下载的。

已经适用的报告义务

有两类事件会触发第 14 条。被积极利用的漏洞是指有可靠证据表明已被恶意行为人在未经系统所有者许可的情况下利用的漏洞（第 3 条第 42 点）。严重安全事件是指影响或可能影响产品保护敏感或重要数据或功能的可用性、真实性、完整性或保密性的能力，或者已经或可能导致在产品或用户网络中植入或执行恶意代码的事件（第 14 条第 5 款）。

步骤被积极利用的漏洞严重安全事件
预警自获悉起不得无故拖延，最迟 24 小时内发出，并列出据制造商所知产品已在其境内提供的成员国（第 14 条第 2 款 (a) 项）自获悉起不得无故拖延，最迟 24 小时内发出，并说明是否怀疑存在非法或恶意行为，以及（如适用）涉及的成员国（第 14 条第 4 款 (a) 项）
通报除非已提供，不得无故拖延并在 72 小时内提交：产品、利用行为和漏洞的一般性质、已采取的纠正措施以及用户可采取的措施（第 14 条第 2 款 (b) 项）除非已提供，不得无故拖延并在 72 小时内提交：事件的性质、初步评估、已采取的措施以及用户可采取的措施（第 14 条第 4 款 (b) 项）
中期报告应 CSIRT 要求提交（第 14 条第 6 款）应 CSIRT 要求提交（第 14 条第 6 款）
最终报告除非已提供，最迟在纠正或缓解措施可用后 14 天内提交（第 14 条第 2 款 (c) 项）除非已提供，在 72 小时通报后一个月内提交（第 14 条第 4 款 (c) 项）

报告依据第 16 条通过统一报告平台提交，经由制造商主要营业机构所在成员国被指定为协调方的 CSIRT 的电子端点，并同时可供 ENISA 访问（第 14 条第 7 款）。主要营业机构是主要作出有关产品网络安全决策的地方，否则是其在欧盟内员工人数最多的营业机构所在成员国。在欧盟没有主要营业机构的制造商，适用同一款规定的备选顺序：先是为其大多数产品行事的授权代表所在成员国，然后是将其大多数产品投放市场的进口商所在成员国，再然后是在市场上提供其大多数产品的经销商所在成员国，最后是其用户最多的成员国。还必须告知受影响的用户，必要时附上缓解措施（第 14 条第 8 款）。

期限自获悉时起算。根据欧盟委员会指南草案，当毫不迟延地进行的初步评估能够以合理的确定性认定已发生利用行为或严重安全事件时，制造商即视为获悉。第三方组件中的漏洞，只有在您自己的产品中被利用时才需要报告。要在 24 小时内完成，需要事先约定好流程：由谁评估、由谁报告，以及每种机型销往了哪些国家。

对小型制造商的减免：CRA 第 64 条的罚款不适用于微型企业和小型企业仅因未遵守 24 小时预警期限的情形（第 64 条第 10 款 (a) 项，经官方公报 L 辑 2025/90555 更正）。报告义务本身和其他期限仍然有效。但请注意时间安排：根据第 71 条第 2 款，第 64 条自 2027 年 12 月 11 日起才适用，因为提前适用的只有第 14 条和第四章。在此之前能否以及如何处罚违反报告义务的行为，取决于成员国国内法；在德国，截至 2026 年 9 月 15 日未发现国内实施法的公布。

普通、重要还是关键？

合格评定路径取决于分类，而分类取决于产品的核心功能（第 7 条第 1 款和第 8 条第 1 款）。委员会实施法规 (EU) 2025/2392 载有各类别的技术说明。根据欧盟委员会指南草案，一个产品在此仅有一个核心功能，应在技术文档中说明。

类别涵盖内容合格评定
普通产品核心功能不属于附录 III 或 IV 任一类别的所有产品。机械本身通常属于这一类。内部控制（模式 A）；也可自愿选择欧盟型式检验加型式符合性（模式 B 和 C）、全面质量保证（模式 H），或在有适用方案时选择欧洲网络安全认证计划（第 32 条第 1 款）。
重要产品，I 类（附录 III）19 个类别，包括路由器、用于连接互联网的调制解调器和交换机（第 12 点）、物理和虚拟网络接口（第 10 点）、操作系统（第 11 点）、网络管理系统（第 6 点）和 VPN 产品（第 5 点）。仅当完整适用协调标准、通用规范或保障等级为“实质”及以上的欧洲认证计划时才可采用模式 A；否则采用模式 B 和 C 或模式 H（第 32 条第 2 款）。
重要产品，II 类（附录 III）虚拟机监控程序和容器运行时系统、防火墙、入侵检测和防御系统、防篡改微处理器和微控制器。模式 B 和 C、模式 H，或在有适用方案时选择等级为“实质”及以上的欧洲认证计划；不能采用模式 A（第 32 条第 3 款）。
关键产品（附录 IV）带有安全盒的硬件设备、智能电表网关及其他用于高级安全目的的设备、智能卡和安全元件。在依据第 8 条第 1 款的授权法案作出要求后，采用欧洲认证计划；在此之前适用 II 类程序（第 32 条第 4 款）。

集成规则

第 7 条第 1 款规定，集成具有附录 III 某类别核心功能的产品，本身并不使主产品适用第 32 条第 2 款和第 3 款的程序。控制柜中的可管理交换机、运行操作系统的 HMI 面板或现场总线卡，并不会使您的机械成为重要产品。机械通常仍是普通产品。

如果您还单独销售组件，请格外留意。委员会实施法规 (EU) 2025/2392 明确将现场总线控制器和适配器列入 I 类网络接口，将实时操作系统列入 I 类操作系统。因此，您单独销售的远程维护路由器、现场总线接口卡或控制柜防火墙，需要单独分类。

合格评定与缺失的标准

重要 I 类产品只有在完整适用协调标准、通用规范或认证计划时，才可采用内部控制（第 32 条第 2 款）。瓶颈恰恰在这里：根据标准跟踪服务和行业报告，截至 2026 年 9 月 11 日，官方公报上尚未引用 CRA 项下的任何协调标准。欧盟委员会 2025 年 2 月 3 日的标准化请求 M/606 涵盖 41 项标准，横向的 EN 40000 系列以及面向运营技术产品、基于 IEC 62443 的 prEN 50770 系列正在制定中。推迟标准化期限的安排目前仅有草案。

对机械本身而言，问题没有这么严重。作为普通产品，它无需协调标准即可采用模式 A；技术文档随后必须说明为附录 I 第 I 部分和第 II 部分所采纳的解决方案，并列出所采用的其他技术规范（附录 VII 第 5 点）。IEC 62443-4-1 和 -4-2 仍是显而易见的技术基础，尽管 2026 年 7 月 6 日的一份行业分析认为不太可能在 CRA 项下引用它们。

当一台机械同时适用机械法规和 CRA 时，一份欧盟符合性声明即可涵盖两项法规，并列出它们在官方公报上的出处（第 28 条第 3 款）。附录 V 规定了该声明就 CRA 而言必须包含的内容。

自 2027 年 12 月 11 日起适用的内容

1. 网络安全风险评估（第 13 条第 2 款至第 4 款）

评估从预期用途和可合理预见的使用出发，考虑运行环境、需要保护的资产和预期使用时间，并贯穿规划、设计、生产、交付和维护。对附录 I 第 I 部分第 2 点的每一项要求，评估必须说明其是否适用、如何适用以及如何实现；不适用的要求需要在技术文档中给出明确理由。评估须形成文件，并在适当时于支持期限内更新（第 13 条第 3 款）。

2. 产品要求（附录 I 第 I 部分）

在风险评估的基础上，并在适用的情况下，第 2 点要求：

  • a在市场上提供时不存在已知的可被利用的漏洞
  • b默认安全的配置，以及恢复到原始状态的方式
  • c通过安全更新修复漏洞的能力
  • d防止未经授权的访问，例如身份验证和访问管理，并报告可能的未授权访问
  • e所存储、传输或处理数据的保密性
  • f数据、命令、程序和配置的完整性，并报告数据损坏
  • g数据最小化
  • h基本功能的可用性，包括抵御拒绝服务攻击的韧性
  • i对其他设备和网络的负面影响降到最低
  • j有限的攻击面，包括外部接口
  • k减轻事件影响的机制
  • l记录或监测相关的内部活动，并允许用户选择退出
  • m安全、便捷地删除所有数据和设置，并安全地转移数据

以上是我们对 (a) 至 (m) 项的归纳；具有约束力的措辞以法规为准。(c) 项仅在适用时才要求自动安全更新，并且根据 CRA 鉴于条款第 56 条，如果用户通常不会期待自动更新（例如在自动更新可能干扰运行的工业环境中），相关规则不应适用。

3. 漏洞处理（附录 I 第 II 部分）

第 II 部分没有“如适用”的限定。它要求提供采用常用的机器可读格式、至少涵盖顶层依赖项的软件物料清单，通过与功能更新分开（在技术上可行时）的安全更新及时修复漏洞，定期进行安全测试，公布已修复的漏洞，制定协调漏洞披露政策，提供接收漏洞报告的联系地址，安全分发更新，并免费提供安全更新。SBOM 不必公开（CRA 鉴于条款第 77 条），但市场监督机构可以提出有理由的请求要求提供（附录 VII 第 8 点）。

4. 第三方组件（第 13 条第 5 款和第 6 款）

制造商在集成第三方组件（包括开源软件）时必须尽职审慎，确保其不损害产品的网络安全。在组件中发现的漏洞，须连同您自行开发的修复措施一并报告给该组件的制造者或维护者。对于 PLC、HMI、路由器和驱动器，这意味着收集并记录供应商的安全信息和支持期限。

5. 支持期限（第 13 条第 8 款、第 9 款和第 19 款）

支持期限应反映预期使用时间，最短五年，除非产品预期使用时间更短。欧盟委员会指南草案明确五年并非默认值，CRA 鉴于条款第 60 条还将工业控制系统列为使用时间长得多的例子。结束日期必须在购买时说明，至少精确到月份和年份；每一项安全更新至少须保持可用十年，或保持到支持期限结束，以两者中较长者为准。所选期限的理由应写入技术文档。

6. 面向用户的信息（附录 II）

机械须附带的信息包括：制造商的联系方式、漏洞报告的单一联络点和披露政策、对产品的明确标识、预期用途及安全环境和安全特性、可能导致重大网络安全风险的已知情形、（如适用）符合性声明的互联网地址、安全支持的类型和支持期限的结束时间，以及关于安全调试、更新、停用和集成的说明。这些内容自然适合放入使用说明书的专门章节，并须至少保持可用十年或支持期限（以较长者为准）（第 13 条第 18 款）。

7. 技术文档、声明和 CE 标志

投放市场之前须完成附录 VII 的技术文档、依据第 32 条进行的合格评定、欧盟符合性声明和 CE 标志（第 13 条第 12 款）。技术文档和声明至少保存十年或支持期限（以较长者为准）（第 13 条第 13 款）。制造商还须指定一个单一联络点，用户可通过它直接联系制造商（第 13 条第 17 款）。

CRA 与机械法规及无线电设备指令的关系

CRA 不取代任何机械要求。自 2027 年 1 月 20 日起，机械法规附录 III 要求防篡改保护（第 1.1.9 节），并要求控制系统在与具体情况和风险相适应时，能够抵御可合理预见的第三方恶意企图，避免由此导致危险情形（第 1.2.1 节）。CRA 鉴于条款第 53 条指出，满足 CRA 可能有助于满足这些章节的要求，但制造商必须证明这种协同效应，并应遵循两套合格评定程序。仅凭符合 CRA，并不能对第 1.1.9 节和第 1.2.1 节产生符合性推定。在机械法规项下，该推定来自在官方公报上公布引用的协调标准（第 20 条第 1 款）或通用规范（第 20 条第 6 款），对于这两节而言，还来自依据网络安全法案 (EU) 2019/881 并在官方公报上公布引用的认证计划所作的认证或符合性声明（第 20 条第 9 款）。

如果带无线电模块的机械被视为无线电设备，并满足授权法规 (EU) 2022/30 的标准（例如通过互联网通信），则由此产生的无线电设备指令网络安全要求适用于在 2027 年 12 月 10 日之前投放市场的设备；该授权法规将被授权法规 (EU) 2026/339 自 2027 年 12 月 11 日起废止。这三套制度如何相互作用，以及为什么网络安全风险评估除 EN ISO 12100 之外还需要自己的方法，详见指南机械的网络安全。

处罚与主管机构

  • 违反附录 I 或第 13 条和第 14 条的义务：最高 1500 万欧元或全球年营业额的 2.5%（第 64 条第 2 款）。
  • 违反其他义务，包括声明、CE 标志、技术文档和合格评定：最高 1000 万欧元或 2%（第 64 条第 3 款）。
  • 向公告机构和市场监督机构提供不正确、不完整或具有误导性的信息：最高 500 万欧元或 1%（第 64 条第 4 款）。

上述情形均适用较高的金额；同时考虑违法行为的性质、严重程度和持续时间以及企业规模（第 64 条第 5 款）。第 64 条自 2027 年 12 月 11 日起适用（第 71 条第 2 款）；对自 2026 年 9 月 11 日起适用的报告义务的违反能否更早处罚，取决于成员国国内法。

成员国自行指定市场监督机构。在德国，BSI 宣布其 CERT-Bund 自 2026 年 9 月 11 日起担任协调 CSIRT，德国联邦 CRA 实施法律草案（联邦议院文件 21/6134，2026 年 5 月 26 日）则使 BSI 成为市场监督机构、负责公告机构指定的主管机关和罚款主管机关；截至 2026 年 9 月 15 日未发现该法已公布。在机械法领域，仍由德国各联邦州的市场监督机构负责，机械上的 CRA 事项的检查如何与 BSI 分工，目前仍未确定。无论如何，制造商的义务直接来自法规本身。

截至 2026 年 9 月 15 日仍未确定的事项

  • 欧盟委员会 2026 年 7 月 27 日的指南 C(2026) 5252 在内容上已获批；未发现已以所有语言版本正式通过。该指南没有法律约束力；本指南引用的解释均来自该版本。
  • 官方公报上尚未引用 CRA 项下的任何协调标准（来源截至 2026 年 9 月 11 日）。
  • 尚未通过的内容包括：SBOM 的格式（第 13 条第 24 款）、通报的格式和程序（第 14 条第 10 款）以及面向微型企业和小型企业的简化技术文档表格（第 33 条第 5 款）。

CE-Copilot 如何覆盖这些工作

CE-Copilot 在同一项目中处理 CRA 工作，与风险评估、符合性声明和使用说明书放在一起。分类、期限和程序规则是固定逻辑，而不是 AI 的估计。

  • 标准查找工具与风险评估（Starter 及以上方案）：只有当机械描述显示存在数据连接时，标准查找工具才会把 CRA 列为强制性，并附上关于报告义务的提示。在风险评估编辑器中，网络安全模块引导您完成适用范围、核心功能以及附录 III 和 IV 的分类，按投放市场日期显示适用内容，并为 2027 年 12 月 11 日起投放市场的机械记录第 32 条规定的程序。
  • 网络安全项目页面（Professional 及以上方案）：接口和资产清单、网络安全风险评估、含适用性、理由、实施和证明材料的附录 I 要求矩阵、第三方组件、支持期限、含 SBOM 存储的漏洞处理、含期限跟踪和模板的第 14 条报告案例，以及附录 II 的用户信息。
  • 文档：PDF 和 Word 格式的 CRA 报告、完整档案中的网络安全章节、技术文件中的网络安全部分、符合性声明中作为附加法规的 CRA（仅在主要义务适用于该台设备时才勾选），以及使用说明书中包含附录 II 信息的网络安全章节（自 Professional 起可用的附加模块，每个项目一次性购买）。

分步说明见指南机械的网络弹性法案软件。可在示例档案（第 7 章，第 151–164 页）和示例使用说明书（第 13 章）中查看成果。各方案列在价格页面上。

该软件负责整理和记录工作。评估、技术实施和批准仍由制造商负责，第 14 条规定的报告通过 ENISA 统一报告平台提交，而不是通过 CE-Copilot。

FAQ

常见问题

网络弹性法案是否适用于机械？
适用，只要机械属于含数字元素的产品，其预期用途或可合理预见的使用包括与设备或网络的直接或间接、逻辑或物理数据连接（CRA 第 2 条第 1 款）。机械不在第 2 条的排除范围内，CRA 鉴于条款第 53 条还期望依据法规 (EU) 2023/1230 的机械制造商同时满足 CRA 的网络安全要求和机械法规的安全要求。带有以太网、现场总线、USB 或无线接口的控制器、远程维护连接或云端连接，通常就已足够。根据欧盟委员会指南 C(2026) 5252（内容已于 2026 年 7 月 27 日获批；截至 2026 年 9 月 15 日未发现正式通过的记录），单纯开关设备而不涉及编码信息，不构成数据连接。
自 2026 年 9 月 11 日起，机械制造商必须做什么？
报告。一旦获悉影响您产品安全的被积极利用的漏洞或严重安全事件，第 14 条要求在 24 小时内通过 ENISA 统一报告平台发出预警，在 72 小时内提交通报，之后提交最终报告，并告知受影响的用户。实际操作中，这意味着明确责任人、设立接收漏洞报告的联络渠道、掌握每种机型已在哪些成员国提供，并在第一个案例出现之前准备好平台的访问权限。
报告义务是否涵盖多年前售出的机械？
涵盖。CRA 第 69 条第 3 款将第 14 条的义务扩展到 2027 年 12 月 11 日之前投放市场的所有属于适用范围的产品。CRA 的其他所有要求，只有在这类存量产品于 2027 年 12 月 11 日之后发生实质性修改时才适用于它们（第 69 条第 2 款）。欧盟委员会指南 C(2026) 5252（内容已于 2026 年 7 月 27 日获批；截至 2026 年 9 月 15 日未发现正式通过的记录）指出，支持期限结束后报告义务仍然继续，但如果在 2026 年 9 月 11 日之前就已知该漏洞被积极利用，则无需追溯报告。
集成的工业交换机或路由器会使我的机械成为重要产品吗？
不会。分类取决于产品的核心功能，第 7 条第 1 款规定，集成具有附录 III 某类别核心功能的产品，本身并不使主产品适用更严格的程序。带有内置可管理交换机的包装机仍然是普通产品；对于外购的交换机，适用第 13 条第 5 款的尽职义务。如果您还以自己的名义单独销售该交换机或远程维护路由器，情况就不同了：该产品需要单独分类。
根据 CRA，我的机械需要公告机构吗？
对于属于普通产品的机械不需要：第 32 条第 1 款允许按模式 A 进行内部控制。只有在您投放市场的是未完整适用协调标准、通用规范或保障等级为“实质”及以上的欧洲网络安全认证计划的重要 I 类产品（第 32 条第 2 款）、II 类产品或关键产品时，才需要公告机构。对于 II 类产品，以及在尚无第 8 条第 1 款授权法案期间的关键产品，在有适用方案时，可改用等级为“实质”及以上的欧洲网络安全认证计划（第 32 条第 3 款和第 4 款）。机械法规仍可能出于其他原因要求公告机构（法规 (EU) 2023/1230 的附录 I）。
工业机械的支持期限应为多长？
应反映产品的预期使用时间，最短五年，除非预期使用时间更短（第 13 条第 8 款）。欧盟委员会指南 C(2026) 5252（内容已于 2026 年 7 月 27 日获批；截至 2026 年 9 月 15 日未发现正式通过的记录）强调五年并非默认值，CRA 鉴于条款第 60 条也将工业控制系统列为使用时间往往长得多的产品。结束日期必须在购买时说明，至少精确到月份和年份（第 13 条第 19 款）；每一项安全更新至少须保持可用十年，或保持到支持期限结束，以两者中较长者为准（第 13 条第 9 款）。
我们在欧盟没有营业机构，应向谁报告？
报告始终通过统一报告平台提交给某个成员国的协调 CSIRT。对于在欧盟设有营业机构的制造商，这是主要作出网络安全决策的成员国，否则是其在欧盟内员工人数最多的营业机构所在成员国。对于在欧盟没有主要营业机构的制造商，第 14 条第 7 款依据您掌握的信息规定了备选顺序：先是为您大多数产品行事的授权代表所在成员国，然后是将其大多数产品投放市场的进口商所在成员国，再然后是在市场上提供其大多数产品的经销商所在成员国，最后是您的用户最多的成员国。
是否已有适用于网络弹性法案的协调标准？
根据标准跟踪服务和行业报告，截至 2026 年 9 月 11 日，官方公报中尚无。2025 年 2 月 3 日的标准化请求 M/606 涵盖 41 项标准；横向的 EN 40000 系列以及面向运营技术产品、基于 IEC 62443 的 prEN 50770 正在制定中。标准未在官方公报中引用，就没有符合性推定。对于作为普通产品的机械，这是可以应对的，因为模式 A 本来就可用；所选方案和所采用的任何技术规范（如 IEC 62443）随后在技术文档中说明（附录 VII 第 5 点）。
网络安全风险评估可以并入我们按 EN ISO 12100 进行的风险评估吗？
不能作为替代。经法规 (EU) 2025/327 修订的 CRA 第 13 条第 4 款，仅明确规定可将网络安全风险评估纳入高风险人工智能系统（第 12 条）和电子健康记录系统（第 32 条第 5a 款）所适用的其他立法的风险评估中。对于机械，最好将其作为附录 VII 技术文档中独立且可识别的一部分，并对附录 I 第 I 部分第 2 点的每一项要求作出说明。EN ISO 12100 风险评估仍然是处理对人员危险的地方，包括机械法规附录 III 第 1.1.9 节规定的防篡改保护。两者可以基于同一份接口清单。

来源

在企业内部以中文完成欧盟机械合规

本指南出自 CE-Copilot 背后的团队。CE-Copilot 是覆盖机械全部欧盟 CE 流程的软件平台：指令归类、涵盖 3,600+ 项标准并显示协调状态的标准查找工具、依据 EN ISO 12100 的风险评估、功能安全文档、测试报告、技术文档、使用说明书和欧盟符合性声明，并提供英语、德语、法语和意大利语导出。平台提供中文版和英文版；AI 起草，您审核并放行。

立即免费试用 14 天预约 30 分钟演示查看示例 CE 档案

更多指南

机械的网络安全：机械法规、无线电设备指令和 CRA 的整体应对网络弹性法案软件：在 CE-Copilot 中落实 CRA编制欧盟符合性声明在欧盟没有实体时向欧盟出口机械

本指南为面向机械制造商的一般性信息，已依据截至 2026 年 9 月 15 日的欧盟官方法律文本核实，不构成法律意见。涉及您具体产品的决定，请查阅法律文本（EUR-Lex）或咨询合格的顾问。