带数字元件的产品要进欧盟，"网络弹性法案"（CRA，法规编号(EU)2024/2847）已经不是远期话题。一个容易踩的坑是：很多人把它当成"又一张CE证书"，其实它重新定义了"合格评定"怎么做。
CRA把产品按风险分成几档，分类结果直接决定你要走哪条路：
- 默认类别（占绝大多数，约九成）：厂家自我评估（Module A）就能签符合性声明；
- 重要产品Class I：引用协调标准可自评，没引用或只引用一部分就得找第三方；
- 重要产品Class II：始终要第三方合格评定；
- 关键产品：要走欧盟网络安全认证体系（如EUCC）。
分类看的是"核心功能"，不是产品叫什么名字。比如同样带联网模块的工业控制器，归类错了，后面整条合规链都无效。
横向标准方面，CRA有一套"通用语言"：EN 40000系列（由JTC 13制定，属M/606标准化请求下的约41项标准中的15项横向标准）覆盖风险评估与网络安全生命周期、漏洞处理、通用产品安全要求。垂直行业则叠加各自标准，比如工业/OT设备对应EN 50770系列（基于IEC 62443栈），消费类/IT类对应ETSI的一批EN 304 6xx草案。
最紧迫的时间点：漏洞报告义务将在2026年9月11日率先生效（距现在仅几天）。这意味着厂家发现被实际利用的漏洞后，要在24小时内提交预警、72小时内提交正式通知，并通过ENISA单一报告平台走流程；详细报告给14天（事件则1个月）。而且这条义务覆盖已经在欧盟卖的产品，不是只管新品。
我们的建议：先别急着问"办哪个证"，先回答三个问题——我的产品算哪一类？它用到的协调标准有没有进OJEU引述？我的漏洞监测和报告流程跑得起来吗？这三个问题答不清，后面都是补课。
