跳至内容

机械的网络弹性法案软件：在 CE-Copilot 中落实 CRA

法律状态截至 2026 年 9 月 15 日

自 2026 年 9 月 11 日起，带数据连接的机械制造商必须报告被积极利用的漏洞和严重安全事件，已投放市场的机械同样适用；自 2027 年 12 月 11 日起，网络弹性法案将全面适用。本指南先概述新变化，再介绍如何在 CE-Copilot 中完成这项工作：有哪些步骤、在应用中的位置、每一步产出什么，以及软件有意交给您自己处理的事项。

新变化

自 2026 年 9 月 11 日起

CRA 第 14 条规定的报告义务

被积极利用的漏洞和对产品安全有影响的严重安全事件，须通过 ENISA 统一报告平台（Single Reporting Platform）向被指定为协调方的 CSIRT 和 ENISA 报告：在获悉后 24 小时内发出预警，72 小时内提交通报，随后提交最终报告。这同样适用于已投放市场且带数据连接的机械（第 69 条第 3 款）。

自 2027 年 1 月 20 日起

机械法规规定的防篡改保护

依据法规 (EU) 2023/1230 附录 III 第 1.1.9 条和第 1.2.1 条，联网设备、远程访问以及对软件和数据的干预不得导致危险状态。CE-Copilot 在依据 EN ISO 12100 的风险评估中处理这一点。

至 2027 年 12 月 10 日

无线电设备的网络安全

属于授权法规 (EU) 2022/30 范围、且在 2025 年 8 月 1 日至 2027 年 12 月 10 日期间投放市场的无线电设备，必须满足无线电设备指令第 3 条第 3 款 (d)、(e) 和 (f) 项的适用要求。EN 18031 仅在实施决定 (EU) 2025/138 的限制范围内才产生符合性推定，例如在用户可以选择不使用任何密码时则不产生。授权法规 (EU) 2026/339 自 2027 年 12 月 11 日起废止该规定。

自 2027 年 12 月 11 日起

网络弹性法案全面适用

适用于自该日期起投放市场、或自该日期起发生实质性修改的机械：附录 I 的要求、网络安全风险评估、支持期限、依据第 32 条的合格评定、欧盟符合性声明和 CE 标志（第 71 条第 2 款，第 69 条第 2 款）。

适用范围、分类、程序和处罚及全部法律依据见机械的网络弹性法案；其与机械法规和无线电设备指令的关系见机械的网络安全。

在 CE-Copilot 中分六步完成

  1. 1. 检查 CRA 是否适用

    Starter 及以上方案

    标准查找工具与机械描述

    只有当描述显示存在数据连接时，标准查找工具才会将 CRA 标为适用；“无数据连接”之类的否定表述不算数，没有依据时，CRA 显示为“待审核”且不勾选。同时附有关于报告义务的提示。

  2. 2. 分类并确认日期

    Starter 及以上方案

    风险评估，网络安全模块

    数据连接、第 2 条规定的排除情形、核心功能以及附录 III 或 IV 的类别，加上已确认的投放市场日期。应用据此得出适用的义务，并在主要义务适用后得出第 32 条允许的程序。

  3. 3. 记录接口和资产

    Starter 及以上方案

    风险评估，防篡改保护模块（Professional 起也可在项目页面使用）

    一份清单支撑三项评估：机械法规规定的防篡改保护、无线电设备的网络安全以及 CRA。每个接口都记录可达性、访问保护和更新途径。

  4. 4. 评估风险并提供要求的证明

    Professional 及以上方案

    网络安全（CRA）项目页面

    评估范围、威胁及其措施和剩余风险、附录 I 第 I 部分和第 II 部分的要求矩阵、第三方组件、支持期限、含 SBOM 存储的漏洞处理，以及附录 II 的用户信息。

  5. 5. 设置报告流程并跟踪事项

    Professional 及以上方案

    项目页面，报告部分

    负责协调的 CSIRT 及联络可达性；每个事项的获悉时间、带红绿灯状态和提前提醒的期限、遵循第 14 条措辞的文本模板，以及平台的案件编号。

  6. 6. 生成证明材料和文档

    视模块而定

    导出、符合性声明、使用说明书

    PDF 和 Word 格式的 CRA 报告、完整档案中的一章、技术文档中的一节、测试项 C1 至 C10、符合性声明中作为适用法规的 CRA，以及使用说明书中的网络安全章节。

功能详解

功能

由已确认的投放市场日期得出义务状态

优势

应用将 CRA 第 69 条和第 71 条作为固定规则处理：对于 2027 年 12 月 11 日之前投放市场的单台设备，仅适用报告义务；对于自该日期起投放市场、或自该日期起发生实质性修改的设备，则适用整部法规。仅从机械描述中读取的日期没有任何法律效力，除非您予以确认。

您的收益

项目页面、报告、完整档案、符合性声明、测试报告和使用说明书给出的结论一致。2027 年 12 月 11 日之前投放市场的机械不会被分配 CRA 合格评定；对于之后的机械，应用会显示附录 I 规定的义务。

功能

机械法规、无线电设备和 CRA 共用一份清单

优势

现场总线、OPC UA、远程维护、USB 或无线电等接口以及其背后的资产只需记录一次。防篡改评估、EN 18031 检查清单和 CRA 风险评估都基于这份清单。

您的收益

不会出现三份相互脱节的清单。新增接口会出现在所有与之相关的评估中。

功能

附录 I 要求矩阵，含理由、实施和证明

优势

对于第 I 部分第 2 点 (a) 至 (m) 项，您要依据风险评估记录该要求是否适用，不适用时须附理由；第 1 点以及关于漏洞处理的第 II 部分始终适用。对每项要求，您记录实施情况和证明材料。

您的收益

这正是第 13 条第 3 款和第 4 款以及附录 VII 对技术文档的要求。每个部分的状态始终可见，未完成事项会作为提示出现在报告中。

功能

第 14 条报告事项，含期限跟踪和模板

优势

从获悉时间起，应用计算预警（24 小时）、通报（72 小时）和最终报告（漏洞最迟在纠正或缓解措施可用后 14 天，事件在通报后一个月内），并在到期前于项目页面标为“即将到期”。初步评估未完成时，应用会按已记录的获悉时间预防性地起算期限。已报告的事项会保留在记录中，无法删除。

您的收益

关键时刻，每一小时都很重要。模板遵循第 14 条的措辞；您补全空白后，通过 ENISA 平台提交。

功能

CRA 报告、档案章节和技术文档

优势

CRA 报告将项目页面的所有部分汇总为 PDF 或 Word，并附保密声明。在完整档案中，它作为一章出现，不含报告事项，也不含各接口的访问保护和更新途径；技术文档则增加一节关于附录 VII 的内容。

您的收益

客户和机构只会收到与其相关的内容。内部您则保留包含每个事项和每个期限的完整报告。

功能

符合性声明、测试报告和使用说明书保持一致

优势

只有在分类和日期已确认、且主要义务适用时，声明才会列出该法案；程序字段会预先填写。测试报告按日期将 C1 至 C10 标为强制项，并标出自相矛盾的“不适用”。使用说明书获得包含用户信息的网络安全章节，分类确认后这些信息按附录 II 的信息呈现。

您的收益

只有当该法案适用于这台设备时，声明中才会出现它，检查也会提示缺失的信息。用户信息只需维护一次，即可在报告和说明书中找到。

应用按投放市场日期显示的内容

已确认的日期决定哪些义务适用于某台设备。CE-Copilot 在每份文档中都据此得出相同的结论：

领域日期未确认2027 年 12 月 11 日之前2027 年 12 月 11 日或之后，或自该日期起发生实质性修改
第 14 条规定的报告义务适用于每一款在范围内的产品适用适用
符合性声明CRA 未勾选，理由显示在复选框下方无 CRA 项下的声明，理由显示在复选框下方CRA 已勾选（分类已确认时），程序字段已预先填写
技术文档，附录 VII 一节准备工作，无强制标记准备工作，无强制标记强制项
测试报告 C1 至 C10分类和报告流程为强制项，标为“不适用”时给出提示分类和报告流程为强制项全部十项均为强制项
使用说明书，网络安全章节制造商提供的信息，无强制检查自愿提供的信息检查规则和导出警告；分类已确认时按附录 II 提供信息
CRA 报告警告“日期未确认”关于自愿准备的提示完整适用，含第 32 条规定的程序

CE-Copilot 有意不做的事

  • 不向 ENISA 报告。您通过统一报告平台提交；CE-Copilot 提供期限、模板和证明记录。
  • 不提供法律咨询，也不提供自动合规。分类、日期和评估由您确认；技术实施和批准仍由制造商负责。
  • 无法产生符合性推定：这需要协调标准、通用规范或认证计划，而 CRA 项下目前尚无任何一项（来源截至 2026 年 9 月 11 日）；请将 IEC 62443 等规范记录为所采用的规范。
  • 不生成 SBOM。它来自您的开发工具；CE-Copilot 负责保存。
  • 不用 AI 来决定法律后果。关键日期、程序和期限是固定规则，类别则由您勾选的分类项得出。

成果展示

带远程维护功能的机器人焊接单元的示例档案包含网络安全章节（第 7 章，第 151–164 页），示例使用说明书包含网络安全章节（第 13 章，第 119–123 页）。该单元在 2027 年 12 月 11 日之前投放市场，因此您可以看到应用如何把报告义务视为适用，而把其余部分视为准备工作。各方案列在价格页面上。

FAQ

常见问题

CE-Copilot 会向 ENISA 提交报告吗？
不会。第 14 条规定的通报通过 ENISA 统一报告平台发送给协调 CSIRT 和 ENISA。CE-Copilot 从获悉时间起计算期限，在到期前于项目页面标为“即将到期”，提供遵循第 14 条措辞的文本模板，并记录时间和案件编号作为证明。通报本身由您在平台上提交。
如果我的机械在 2027 年 12 月 11 日之前投放市场，还需要这些吗？
就报告义务而言需要，只要机械带有数据连接：这些义务自 2026 年 9 月 11 日起适用，也适用于在 2027 年 12 月 11 日之前投放市场的机械（CRA 第 69 条第 3 款）。根据欧盟委员会指南 C(2026) 5252（内容已于 2026 年 7 月 27 日获批，不具法律约束力），2026 年 9 月 11 日之前已知的情况无需追溯报告。因此，分类、报告流程和事项跟踪现在就有用。对于这类机械，CE-Copilot 将其余部分作为自愿准备呈现，直到 2027 年 12 月 11 日或之后发生实质性修改，使整部法规生效（第 69 条第 2 款）。如果某个系列在该日期之后继续生产，这些准备工作会延续到之后的设备上。
哪个方案包含哪些 CRA 功能？
风险评估编辑器中的分类和义务、接口清单、符合性声明和技术文档，从 Starter 方案起提供。含风险评估、要求矩阵、报告事项和 CRA 报告的网络安全项目页面，以及测试报告，属于 Professional 方案。使用说明书是 Professional 起的附加模块，每个项目一次性购买。
CRA 风险评估会取代依据 EN ISO 12100 的风险评估吗？
不会，两者并行。依据 EN ISO 12100 的风险评估评价对人员的危险，包括机械法规附录 III 第 1.1.9 条规定的防篡改保护。CRA 第 13 条规定的网络安全风险评估考察产品抵御攻击的特性，作为独立的一部分归入技术文档。在 CE-Copilot 中，两者基于同一份接口清单。
分类或期限由 AI 决定吗？
不是。关键日期、第 32 条规定的程序和报告期限都是固定规则。应用根据您为核心功能勾选的附录 III 和 IV 类别推导出分类；只有经您确认后才具有约束力，投放市场日期也是如此。核心功能的确定仍是制造商的判断（CRA 第 7 条第 1 款）。
CE-Copilot 会生成软件物料清单（SBOM）吗？
不会。SBOM 由您用开发工具创建，常见格式有 CycloneDX 和 SPDX。CE-Copilot 将该文件保存在项目中，记录用户是否以及如何获取它，并跟踪附录 I 第 II 部分中关于漏洞处理的其他要求。截至本指南发布时，关于格式的实施法案（第 13 条第 24 款）尚未通过。

在企业内部以中文完成欧盟机械合规

本指南出自 CE-Copilot 背后的团队。CE-Copilot 是覆盖机械全部欧盟 CE 流程的软件平台：指令归类、涵盖 3,600+ 项标准并显示协调状态的标准查找工具、依据 EN ISO 12100 的风险评估、功能安全文档、测试报告、技术文档、使用说明书和欧盟符合性声明，并提供英语、德语、法语和意大利语导出。平台提供中文版和英文版；AI 起草，您审核并放行。

立即免费试用 14 天预约 30 分钟演示查看示例 CE 档案

更多指南

机械适用的网络弹性法案：义务、期限与报告机械的网络安全：机械法规、无线电设备指令和 CRA 的整体应对风险评估软件使用说明书软件

本指南为面向机械制造商的一般性信息，已依据截至 2026 年 9 月 15 日的欧盟官方法律文本核实，不构成法律意见。涉及您具体产品的决定，请查阅法律文本（EUR-Lex）或咨询合格的顾问。