跳至内容

机械的网络安全：机械法规、RED 与 CRA 如何相互配合

法律依据已对照欧盟官方公报核实

一台具备远程维护、无线手持操作器和云连接的机械，到 2027 年底前，根据其投放市场的时间，最多需要同时满足三种不同的欧盟网络安全制度。每种制度提出的问题各不相同：人会不会受伤，网络和数据是否受到保护，产品在整个使用期间能否保持韧性？本文梳理这些要求，给出时间线，并说明为什么除 EN ISO 12100 之外，网络安全风险评估还需要自己的方法。

三项法规，三个保护目标

主题机械法规无线电设备指令网络弹性法案
保护对象人员的健康与安全：篡改和恶意干扰不得导致危险状态（附录 III 第 1.1.9 条和第 1.2.1 条）。依据指令 2014/53/EU 第 3 条第 3 款：网络 (d) 项、个人数据与隐私 (e) 项，以及防欺诈 (f) 项。产品在整个生命周期内的网络安全：附录 I 第 I 部分规定的产品特性、第 II 部分规定的漏洞处理、第 14 条规定的报告。
适用对象机械及相关产品。无线电设备；带有永久集成无线模块的机械整体上是否属于无线电设备，尚无定论。(d) 项适用于能够通过互联网通信的设备。与设备或网络存在数据连接的含数字元素的产品。
适用时间自 2027 年 1 月 20 日起适用于 2025 年 8 月 1 日至 2027 年 12 月 10 日期间投放市场的设备第 14 条自 2026 年 9 月 11 日起，其余条款自 2027 年 12 月 11 日起
方法依据附录 III 进行风险评估，实践中即 EN ISO 12100：将威胁视为危险，评定严重程度与发生概率。EN 18031-1、-2 或 -3:2024 的机制：逐个机制判断适用性与适当性，并记录理由。依据第 13 条第 2 至 4 款进行网络安全风险评估，并对附录 I 第 I 部分第 2 点的每项要求作出说明。
符合性推定目前尚无依据该法规在欧盟官方公报中公布引用的协调标准（信息截至 2026 年 9 月 11 日）。符合性推定来自：在欧盟官方公报中公布引用的协调标准（第 20 条第 1 款）、欧盟委员会通过的通用规范（第 20 条第 6 款），以及对于第 1.1.9 条和第 1.2.1 条，还包括在欧盟官方公报中公布引用的法规 (EU) 2019/881 下的认证方案（第 20 条第 9 款）。EN 18031 已被引用，但仅限不含实施决定 (EU) 2025/138 所排除选项的情形。目前尚无被引用的协调标准（信息截至 2026 年 9 月 11 日）。

带无线模块的机械的时间线

适用哪些设计与合格评定要求，取决于机械投放欧盟市场的日期：

投放市场时间机械立法无线电网络安全针对无线电设备；机械整体上是否属于无线电设备尚无定论网络弹性法案
至 2025 年 7 月 31 日机械指令 2006/42/ECRED 的 (d)、(e)、(f) 项不适用设计义务不适用
2025 年 8 月 1 日至 2027 年 1 月 19 日机械指令 2006/42/EC满足其条件时，(d)、(e)、(f) 项通过授权法规 (EU) 2022/30 适用设计义务不适用
2027 年 1 月 20 日至 2027 年 12 月 10 日机械法规 (EU) 2023/1230，含第 1.1.9 条和第 1.2.1 条(d)、(e)、(f) 项仍通过授权法规 (EU) 2022/30 适用设计义务不适用
自 2027 年 12 月 11 日起机械法规 (EU) 2023/1230授权法规 (EU) 2022/30 被废止；(d)、(e)、(f) 项不再适用于新投放市场的设备完全适用：附录 I、第 13 条、依据第 32 条的合格评定

与日期无关：自 2026 年 9 月 11 日起，CRA 第 14 条的报告义务适用于所有含数字元素的产品，包括早已交付的机械（CRA 第 69 条第 3 款）。参见机械适用的网络弹性法案。

自 2026 年 1 月起，行业协会一直要求将机械法规第 1.1.9 条和第 1.2.1 条第二段 (f) 项与 CRA 的时间线保持一致，即推迟到 2027 年 12 月 11 日。截至 2026 年 9 月 15 日，尚未发现相关法律文件；请按 2027 年 1 月 20 日规划。

机械法规：防篡改保护

附录 III 第 1.1.9 条对机械法规而言是全新的内容。实质上，它要求做到五件事。连接其他设备或进行远程访问，不得导致危险状态。传输与访问安全关键软件相关的信号或数据的硬件，必须防止意外或故意的篡改，并且机械必须收集对该硬件进行干预的证据。安全关键软件和数据必须被识别并受到保护。安全运行所需的已安装软件必须能够随时在机械上被识别。此外，机械必须收集对软件或其配置进行的合法或非法干预的证据。

第 1.2.1 条进一步规定，控制系统在与具体情况和风险相适应的范围内，除其他要求外，必须能够抵御可合理预见的、可能导致危险状态的第三方恶意企图（(a) 项）；安全功能的限值须由风险评估得出，并防止对设置的危险更改（(d) 项）；对干预操作和已上传安全软件版本的追溯日志，须在上传后保持启用五年，以备主管当局提出附有理由的请求（(f) 项）。

保护目标仍然是人员安全，因此这些要求属于风险评估的范畴：被篡改的安全参数、意外的远程启动等威胁，应作为危险，评定其严重程度和发生概率，并通过常规的措施层级加以降低。支撑标准 prEN 50742 目前只是草案（2026 年 7 月 31 日和 8 月 25 日的行业报告），描述了两条路径：路径 A 采用标准自身的流程和产品要求，以符合 EN ISO 12100 的、制造商专属的威胁分析为基础；路径 B 则通过 IEC 62443 系列。只有在欧盟官方公报中公布引用之后，才会产生第 20 条第 1 款规定的符合性推定；欧盟委员会通过的通用规范也会依据第 20 条第 6 款产生符合性推定。此外，机械法规第 20 条第 9 款规定，对于第 1.1.9 条和第 1.2.1 条，依据在欧盟官方公报中公布引用的欧盟网络安全法案 (EU) 2019/881 认证方案取得的认证或符合性声明，同样产生符合性推定。

无线电设备指令：至 2027 年 12 月 10 日适用 EN 18031

机械何时成为无线电设备

带有永久集成无线模块的机械整体上是否属于无线电设备，尚无定论。欧盟委员会 2018 年的补充指南，将带有内置且永久固定的无线电设备的非无线电电气产品视为 RED 下的单一产品；FEM 和 CAPIEL 在其面向各自行业产品的指南中对 RED 作出了同样的解释。机械指令的指南解释范围较窄。按此解读，插拔式或易于拆卸的模块仍属于单独的产品。据行业协会称，机械制造商以模块制造商的证据为基础，但须评估整个组合。如果机械被视为无线电设备，授权法规 (EU) 2022/30 的序言第 8 段指出，设备的所有方面和部分都应符合要求，而不仅仅是无线电功能。

适用哪些项

  • (d) 项，网络保护：适用于所有能够自行通过互联网通信的无线电设备，无论是直接通信还是通过其他设备（授权法规 2022/30 第 1 条第 1 款）。对于通过蜂窝网络或 Wi-Fi 进行远程维护的机械，这是典型情形。
  • (e) 项，个人数据与隐私：适用于能够处理个人数据、流量数据或位置数据的联网无线电设备等（第 1 条第 2 款），例如操作员登录信息或移动机械的位置数据。
  • (f) 项，防欺诈：适用于可用于转移资金、货币价值或虚拟货币的联网无线电设备（第 1 条第 3 款）；在机械上较为罕见。

EN 18031 及其限制

EN 18031-1、-2 和 -3:2024 已通过 2025 年 1 月 28 日的实施决定 (EU) 2025/138 被引用，但附有限制。标题为“rationale”和“guidance”的章节（理由与指导）不产生符合性推定。如果用户可以选择不设置或不使用密码（第 6.2.5.1 条和第 6.2.5.2 条），则三个部分均失去符合性推定。在第 2 部分中，对于某些儿童产品和玩具类别，如果未通过指定条款确保家长访问控制，同样失去推定；在第 3 部分中，第 6.3.2.4 条关于安全更新的评定准则不产生符合性推定。

对程序的影响：没有符合性推定时，指令 2014/53/EU 第 17 条第 4 款对网络安全要求仅留下欧盟型式检验（附录 III）或全面质量保证（附录 IV），二者均需公告机构参与。这适用于关于密码、家长访问控制和第 6.3.2.4 条的限制；仅涉及“rationale”和“guidance”章节的限制本身并不需要公告机构。欧盟委员会关于 EN 18031 的指南指出，含第 6.3.2.4 条的第 3 部分始终需要第三方评估。无论哪种情形，安全和电磁兼容方面仍可使用内部生产控制（第 3 条第 1 款）。

这些标准以机制为基础。对于每个接口和每项需要保护的资产，您需要判断某个机制是否适用、其实施是否适当，并记录理由：

  • ACM对需要保护的资产进行访问控制
  • AUM身份验证，包括密码规则和暴力破解防护
  • SUM安全更新
  • SSM安全存储
  • SCM安全通信
  • RLM抗过载能力（仅第 1 部分）
  • NMM, TCM网络监控与流量控制（网络设备，第 1 部分）
  • LGM日志记录（第 2、3 部分）
  • DLM, UNM数据删除与用户通知（第 2 部分）
  • CCK, CRY加密密钥与符合最新技术水平的密码技术
  • GEC设备的通用能力，例如无已知可利用漏洞、无不必要的接口

代码取自 EN 18031，说明为我们自己的表述。与机械相关的一点：当功能安全不允许时，标准允许在可更新性方面设置例外，也允许对访问受限环境设置例外，但这些例外必须说明理由。无线电信号往往会传到厂区围墙之外。

到期日

2026 年 2 月 16 日的授权法规 (EU) 2026/339 自 2027 年 12 月 11 日起废止授权法规 (EU) 2022/30。序言第 3 段和第 4 段说明了原因：CRA 的基本要求涵盖 (d)、(e) 和 (f) 项的全部要素，无线电设备不应同时受两套制度约束。对于 2025 年 8 月 1 日至 2027 年 12 月 10 日期间投放市场的无线电设备，市场监督仍可依据旧要求进行（序言第 5 段），因此您的 EN 18031 文件对这些设备仍然重要。EN 18031 在 CRA 下没有引用（信息截至 2026 年 9 月 11 日），但它是扎实的基础：根据 CRA 序言第 30 段，在制定 CRA 的协调标准时，应考虑依据实施决定 C(2022) 5637 所开展的标准化工作。

网络弹性法案：产品在整个使用期间

只要机械与设备或网络存在数据连接，CRA 就将其作为含数字元素的产品适用。其重点是产品本身的网络安全，同时尽可能降低事件对用户健康与安全的影响（第 13 条第 2 款）：默认安全配置、防止未授权访问、数据完整性与机密性、较小的攻击面、在规定的支持期限内提供安全更新、软件物料清单 (SBOM) 以及漏洞处理。报告义务已经适用；其余全部内容自 2027 年 12 月 11 日起适用。适用范围、分类、程序和报告，详见机械适用的网络弹性法案。

为什么网络安全风险评估需要自己的方法

EN ISO 12100 风险评估寻找的是危险，即造成伤害或健康损害的潜在来源，并将风险评定为该伤害的严重程度与发生概率的组合（机械法规附录 III A 部分）。CRA 第 3 条第 37 点所称的网络安全风险则是另一回事：它是由事件造成的潜在损失或中断，以其规模和可能性来表示。CRA 确实会考虑对用户健康与安全的影响（第 13 条第 2 款），但其出发点是事件本身。泄露的配方数据、瘫痪的厂区网络或被篡改的产量计数不会伤害任何人，因此永远不会出现在安全风险评估中。

所需的形式也不同。CRA 要求对附录 I 第 I 部分第 2 点的每项要求作出说明：是否适用、如何适用以及如何实施，不适用时须给出明确理由（第 13 条第 3 款和第 4 款）。EN 18031 要求逐个机制作出决定。而经法规 (EU) 2025/327 修订的 CRA 第 13 条第 4 款，仅明确规定了对高风险 AI 系统和电子健康记录系统可将 CRA 评估纳入另一法律文件的风险评估。这反映了欧盟产品法的一项一般原则：所需的风险分析遵循相关法律文件的保护目标。

根据欧盟委员会的 CRA 指南，内部风险偏好和成本不是衡量标准，不得将风险转嫁给用户，而将使用限制在可信环境中是可以接受的（内容已于 2026 年 7 月 27 日获批；截至 2026 年 9 月 15 日未发现正式通过）。

示例：通过蜂窝路由器进行远程维护访问

法律文件关键问题结果
机械法规，附录 III 第 1.1.9 条和第 1.2.1 条远程访问是否会造成危险状态，例如维护期间意外启动或安全参数被更改？风险评估中的一项危险，并附风险值；按三步法采取措施，例如仅在本地批准后才允许远程访问、安全参数不可远程更改、留存干预记录。
RED，授权法规 (EU) 2022/30 (d) 项路由器是否属于联网的无线电设备，这一组合是否保护了网络？EN 18031-1：身份验证不设“无密码”选项，安全通信、安全更新、无不必要的服务，每项均附理由。
网络弹性法案产品能否抵御攻击，并在整个使用期间得到维护？对附录 I 第 I 部分第 2 点的说明，例如 (d) 项未授权访问和 (j) 项攻击面；覆盖路由器固件的支持期限、SBOM、漏洞处理和报告流程。

同一个接口出现在三项评估中，对应三个关键问题。只要三项评估都以同一份共享清单为基础，就不算重复工作。

起点：接口与资产清单

这三项法规都以您了解机械可能如何受到攻击、需要保护什么为前提。机械法规第 1.1.9 条明确要求识别安全关键软件和数据；EN 18031 区分安全资产、网络资产、隐私资产和财务资产；CRA 附录 VII 第 2 点 (a) 项则提到，技术文件中适用时应包含图纸、示意图或系统架构说明。

每个接口

  • 类型：以太网、现场总线、USB、Wi-Fi、蓝牙、蜂窝网络、HMI、服务端口、云
  • 协议与连接：本地、厂区网络或互联网
  • 身份验证与访问权限
  • 更新途径
  • 可达性，对于无线电还包括建筑物之外

每项资产

  • 安全功能、安全参数和安全软件
  • 程序、配方和配置
  • 凭据和加密密钥
  • 个人数据，例如操作员登录信息或位置数据
  • 被操纵、泄露和丢失的影响

外购的 PLC、HMI 和路由器，连同其安全信息和支持期限，也应纳入清单。如果这类组件用于集成到其他产品中，并自 2027 年 12 月 11 日起投放市场，CRA 附录 II 第 8 点 (f) 项要求其制造商告知集成商如何满足相关要求。

机械制造商路线图

1

建立清单：按机械类型列出接口、资产和外购组件。

2

按产品线明确法律状况：记录投放市场的日期；无线电网络安全、机械法规和 CRA 的义务均由此而来。

3

按第 14 条建立 CRA 报告机制：对在用机械已经适用：明确职责、联系地址、国家清单以及报告平台的访问权限。

4

将篡改纳入风险评估：对可能导致危险状态的威胁，给出风险值和措施，且应远早于 2027 年 1 月 20 日完成。

5

证明无线电网络安全：确定适用的 EN 18031 部分，为每个机制说明理由并避开被排除的选项，或规划公告机构的参与。

6

在 2027 年 12 月 11 日前准备 CRA 文件：含要求矩阵的风险评估、支持期限、SBOM、披露政策以及附录 II 规定的用户信息。

7

出具一份声明：一份欧盟符合性声明，列出所有适用的法律文件及其在欧盟官方公报中的引用。

CE-Copilot 如何覆盖这些内容

在 CE-Copilot 中，这三条线索是同一项目内相互独立的评估，建立在共享的接口与资产清单之上：CRA 项目页面完整使用该清单，篡改分析以已记录的接口作为起点，无线电设备模块则将已记录的资产对应到 EN 18031 的各项机制。

  • 防篡改保护（Starter 方案起）：依据 prEN 50742 草案的路径 A（符合 EN ISO 12100 的、制造商专属的威胁分析）对第 1.1.9 条和第 1.2.1 条进行威胁分析，将威胁场景作为危险处理，附风险值和三步法措施，并以相关的 IEC 62443-3-3 要求为参考，在测试报告中提供要求检查清单（Professional 方案起）。
  • 无线电设备（Starter 方案起）：针对每个适用部分的 EN 18031 机制检查清单、实施决定 (EU) 2025/138 的限制及其对程序的影响，以及依据投放市场日期确定的适用规则。
  • 网络弹性法案：风险评估编辑器中的分类和现行义务（Starter 方案起），以及含风险评估、要求矩阵、漏洞处理、报告和 CRA 报告的网络安全项目页面（Professional 方案起）。
  • 文件中的清晰分离：在 PDF 和 Word 格式的风险评估中，无线电评估和 CRA 评估作为带有独立标题的章节，列在 EN ISO 12100 的危险旁边。篡改场景刻意保留为风险评估中的危险，因为第 1.1.9 条属于机械法规。有了 CRA 数据，完整档案会增加专门的网络安全章节。

示例见示例档案，各方案对比见价格页面。评估、技术实现和批准仍由制造商负责。

FAQ

常见问题

哪些欧盟法律规范机械的网络安全？
共有三项，各有自己的保护目标和时间线。机械法规 (EU) 2023/1230 自 2027 年 1 月 20 日起要求实施防篡改保护（附录 III 第 1.1.9 条），并要求控制系统在与具体情况和风险相适应的范围内，能够抵御可合理预见的、可能导致危险状态的第三方恶意企图（第 1.2.1 条）；关注的是人员安全。无线电设备指令 2014/53/EU 通过授权法规 (EU) 2022/30，要求在 2025 年 8 月 1 日至 2027 年 12 月 10 日期间投放市场、且符合其第 1 条标准（例如具备互联网连接）的无线电设备保护网络和个人数据，并防止欺诈。网络弹性法案 (EU) 2024/2847 涵盖含数字元素的产品，其中报告义务自 2026 年 9 月 11 日起适用，其他全部义务自 2027 年 12 月 11 日起适用。
内置 Wi-Fi 或蜂窝模块会使我的机械成为无线电设备吗？
这一点尚无定论。欧盟委员会 2018 年关于低电压指令、电磁兼容指令和 RED 的补充指南，将带有内置且永久固定的无线电设备的非无线电电气产品视为 RED 下的单一产品。行业协会 FEM 和 CAPIEL 在其面向各自行业产品的指南中对 RED 作出了同样的解释。机械指令的指南解释范围较窄，只提到了关于无线电频谱使用的要求。按此解读，插拔式或易于拆卸的模块仍属于单独的产品。如果您采用宽泛的解读，则应对机械与无线模块的组合进行评估。
供应商提供的带 CE 标志的无线模块是否足够？
仅凭这一点并不够。据 FEM 和 CAPIEL 称，模块制造商的合格评定无需重复，但您需要核实并记录是否遵循了集成说明，以及集成是否影响符合性。如果机械被视为无线电设备，授权法规 (EU) 2022/30 的序言第 8 段指出，设备的所有方面和部分都应符合要求，而不仅仅是无线电功能，因此机械控制器上的 Web 服务器或远程访问可能被纳入评估。正如《蓝色指南》（Blue Guide）所指出的，带有 CE 标志的部件并不能自动保证成品符合要求。
2027 年 12 月 11 日之后，EN 18031 会怎样？
授权法规 (EU) 2022/30 将被授权法规 (EU) 2026/339 自 2027 年 12 月 11 日起废止。自该日起投放市场的无线电设备不再适用 RED 的网络安全要求，由网络弹性法案接替。对于 2025 年 8 月 1 日至 2027 年 12 月 10 日期间投放市场的设备，市场监督仍可依据旧要求进行（授权法规 2026/339 序言第 5 段），因此请保留您的 EN 18031 文件。EN 18031 在 CRA 下没有引用（信息截至 2026 年 9 月 11 日），但可作为基础：根据 CRA 序言第 30 段，CRA 的基本网络安全要求涵盖 RED 第 3 条第 3 款 (d)、(e) 和 (f) 项要求的全部要素，在制定 CRA 的协调标准时，应考虑依据实施决定 C(2022) 5637 所开展的标准化工作。
如果我的机械符合 CRA，是否自动满足机械法规第 1.1.9 条？
不会。CRA 序言第 53 段指出，符合 CRA 可能有助于符合第 1.1.9 条和第 1.2.1 条，但制造商必须证明二者的协同，并应遵循两种合格评定程序。仅符合 CRA 并不产生符合性推定。机械法规在应用了欧盟官方公报中公布引用的协调标准（第 20 条第 1 款）或欧盟委员会通过的通用规范（第 20 条第 6 款）时推定符合；对于这两条，在存在依据在欧盟官方公报中公布引用的欧盟网络安全法案 (EU) 2019/881 认证方案取得的认证或符合性声明时，同样推定符合（第 20 条第 9 款）。
是否存在针对防篡改保护的协调标准？
尚无（信息截至 2026 年 9 月 11 日）。关于防篡改保护的 prEN 50742 仍是草案；据 2026 年 8 月 25 日的一份行业报告，最终投票计划于 2026 年 9 月进行，随后可能在 2026 年 11 月发布。在机械法规下未在欧盟官方公报中引用之前，不存在符合性推定。在此之前，可行的做法仍是在风险评估中进行威胁分析，并在技术上参考该标准草案和 IEC 62443 系列。
为什么 EN ISO 12100 风险评估不足以应对网络安全？
因为它保护的对象不同。根据机械法规，危险是指可能造成伤害或健康损害的潜在来源。CRA 第 3 条第 37 点所称的网络安全风险，则是由事件造成的潜在损失或中断，例如数据泄露或网络中断，并不会伤害任何人。此外，CRA 要求对附录 I 第 I 部分第 2 点的每项要求作出说明，EN 18031 要求逐个机制作出决定。可能导致危险状态的威胁仍留在 EN ISO 12100 风险评估中；其他评估与之并行。
用户可以不设密码就运行机械吗？
如果机械或其无线模块属于授权法规 (EU) 2022/30 涵盖的无线电设备，且在 2025 年 8 月 1 日至 2027 年 12 月 10 日期间投放市场，则存在风险：如果制造商允许用户根据 EN 18031 第 6.2.5.1 条和第 6.2.5.2 条跳过设置或使用密码，则依据实施决定 (EU) 2025/138，该标准不产生符合性推定。对于相关的网络安全要求，指令 2014/53/EU 第 17 条第 4 款此时仅留下欧盟型式检验或全面质量保证两种途径，二者均需公告机构参与。对于自 2027 年 12 月 11 日起投放市场的机械，网络弹性法案要求（在基于网络安全风险评估适用的情况下）采用默认安全配置并防止未授权访问（CRA 附录 I 第 I 部分第 2 点 (b) 项和 (d) 项）。

资料来源

取自 EN 18031 系列标准的仅为代码，说明均为我们自己的简短表述。

在企业内部以中文完成欧盟机械合规

本指南出自 CE-Copilot 背后的团队。CE-Copilot 是覆盖机械全部欧盟 CE 流程的软件平台：指令归类、涵盖 3,600+ 项标准并显示协调状态的标准查找工具、依据 EN ISO 12100 的风险评估、功能安全文档、测试报告、技术文档、使用说明书和欧盟符合性声明，并提供英语、德语、法语和意大利语导出。平台提供中文版和英文版；AI 起草，您审核并放行。

立即免费试用 14 天预约 30 分钟演示查看示例 CE 档案

更多指南

机械适用的网络弹性法案：义务、期限与报告欧盟机械法规 (EU) 2023/1230：2027 年的变化依据 EN ISO 12100 的风险评估网络弹性法案软件：在 CE-Copilot 中落实 CRA

本指南为面向机械制造商的一般性信息，已依据截至 2026 年 9 月 15 日的欧盟官方法律文本核实，不构成法律意见。涉及您具体产品的决定，请查阅法律文本（EUR-Lex）或咨询合格的顾问。