很多厂家把CRA理解成"送检拿报告"，但我们接触下来的真实情况是：它更像给企业立了四个必须长期坚持的动作，而不是一锤子买卖。
义务一：安全设计。产品出厂时不能有已知可利用漏洞，默认配置要安全，能恢复出厂设置，访问控制、数据加密、事件日志、安全更新机制都得有。这不是测试项，是设计原则。
义务二：漏洞管理。发现漏洞要及时修、公开披露并给CVE编号，还要建立协同漏洞披露政策。配套地，得编一份软件物料清单（SBOM），把固件里用了哪些组件说清楚。
义务三：事件报告。前面提到的9月11日生效的漏洞报告义务就在这里——24小时预警、72小时正式通知、14天内出详细报告（事件类给1个月）。存量产品同样算在内。
义务四：全周期文件。技术文件从产品上市起保存10年，安全更新在产品预期使用年限内免费提供、且不少于5年。
关于标准节奏：CRA的协调标准预计2026年10月有一批发布，但记住——"发布"不等于"被OJEU引述"，没引述就没有合规性推定。厂家现在该做的是按M/606框架先把风险评估、SBOM、漏洞处理流程搭起来，等标准落地直接对接，而不是干等。
办证路径上，Class I产品若完整采用协调标准可自我评估省下NB费用，但前提是标准已在OJEU引述；否则就得第三方评定。我们一般会先帮客户做"分类+标准映射"这一步，避免路径选错返工。
