欧盟 CRA（网络弹性法案）各国配套执行法规陆续落地，成员国指定市场监管机构、公告机构、CSIRT 协同分工，分级罚款、整改、下架、召回等处罚路径正式落定，补齐了从 RED 无线电设备指令原有网络安全条款迁移至 CRA 的最后一块执行短板。此前 RED 仅针对无线电设备设置有限网络安全附属要求，属于垂直专项规则；CRA 是横向通用法案，覆盖所有带数字元素软硬件产品，要求安全左移、全生命周期漏洞管理、安全事件上报。虽然 CRA 属于欧盟条例、可直接生效不需要各国转立法，但落地核查、处罚、公告机构监管、事件接收都要依托各国主管机关；德国、马耳他等国已经明确主管部门，形成可复制的执法范式，企业出海欧盟的网络安全合规重心，正式从 RED 附属安全条款转向 CRA 主框架，后续要同步调整技术文件、漏洞响应流程、供应链责任划分。
一、CRA 执法主体：谁来管、谁来罚
| 角色 | 权责说明 | 典型国家示例 |
|---|---|---|
| 成员国市场监管局（核心执法方） | 市场抽查、现场核查、调取技术文档、启动调查、下达整改、罚款、下架召回 | 德国 BSI，马耳他 MDIA |
| 公告机构指定机关 | 审核、授权、监督 CRA 合格评定公告机构 | 各国配套主管部门 |
| 国家 CSIRT（事件协调点） | 接收严重安全事件、已被利用漏洞上报，对接 ENISA 统一上报平台，跨国家协同处置 | 马耳他 MITA，德国 BSI 兼任协调 |
| 欧盟委员会 + ENISA | 统筹协调、发布指南、跨成员国执法协同、标准建设，不直接下场处罚企业 | 欧盟层面 |
要点：CRA 是条例（Regulation），直接在成员国生效，不需要各国议会转化为新法；但执法资源、处罚流程、文书流程由各国自行搭建，不同国家执法尺度、调查节奏存在差异。
二、CRA 处罚分级规则：怎么罚（CRA 第 64 条）
- 一级重违规（违反基础安全要求、制造商漏洞 / 事件上报义务）：最高 1500 万欧元或全球年营业额 2.5%，取较高值
- 二级一般违规（进口商 / 分销商义务、CE 标识、技术文档、合格评定相关）：最高 1000 万欧元或全球年营业额 2%，取较高值
- 三级信息类违规（向监管、公告机构提供虚假、缺失、误导资料）：最高 500 万欧元或全球年营业额 1%，取较高值
配套行政措施：限期整改、限制销售、产品下架、召回、禁止投放欧盟市场；同时支持消费者组织集体诉讼。小微企业、开源维护主体可在特定情形减免罚款。
三、CRA 与 RED 网络安全条款的过渡关系
- 旧规则：RED（无线电设备指令）原有 3 (3)(d/e/f) 附属网络安全委托法规，只针对无线电设备，属于窄范围附加要求；
- 迁移安排：2027 年 12 月 11 日起，RED 项下网络安全委托法规正式废止，无线电设备的网络安全要求全部并入 CRA；过渡期内（2025–2027）无线电设备同时受两套规则约束；
- 边界区分：RED 继续管射频、EMC、健康安全；网络安全生命周期、漏洞管理、事件上报全部转由 CRA 管辖，非无线电的联网设备、固件、软件只受 CRA 约束，和 RED 无关。
四、企业合规落地核心动作清单
- 边界梳理：区分产品是否带射频，判断过渡期内是否同时满足 RED 射频 + CRA 网络安全；
- 责任主体对齐：明确制造商、欧盟授权代表、进口商、分销商各自 CRA 义务；
- 建立安全流程：安全设计、风险评估、SBOM 物料清单、漏洞跟踪、安全更新机制；
- 事件上报通道：搭建严重安全事件、被利用漏洞的上报流程，对接 ENISA 统一上报平台；
- 技术文档包：准备 CRA 合规档案，供各国市场监管机构随时调取核查；
- 分等级评估：Class I 低风险、Class II 中风险、Class III 高风险产品，高风险产品需要公告机构第三方合格评定；
- 跟踪各国执法差异：德国 BSI 已经形成完整实施法案，是优先高风险执法区域，重点管控。
五、关键时间节点
- CRA 生效：2024-12-10
- 事件上报义务先行生效：2026-09-11
- 全套 CRA 实质性义务正式生效：2027-12-11
- RED 网络安全委托法规废止：2027-12-11
【相关 FAQ】
问题 1：CRA 国家执行机制成型，CRA 和 RED 网络安全要求怎么分工？
回答 1：CRA 国家执行机制成型，RED 后续只负责射频、电磁兼容、健康安全；网络安全、生命周期漏洞管理、安全事件上报的要求逐步全部转移至 CRA，2027 年后无线电设备不再适用 RED 的网络安全委托法规。
问题 2：CRA 国家执行机制成型，CRA 罚款是欧盟统一机构罚还是各国自己罚？
回答 2：CRA 国家执行机制成型，罚款由各成员国指定的本国市场监管机构调查并作出处罚决定，欧盟委员会不直接处罚企业，只负责跨成员国执法协同。
问题 3：CRA 国家执行机制成型，CRA 条例已经直接生效，为什么各国还要出台实施法案？
回答 3：CRA 国家执行机制成型，CRA 条例本身直接适用，但执法权限、调查流程、文书、上诉渠道、国内主管部门分工需要本国立法明确，也就是本次落地的 “执行机制”。
问题 4：CRA 国家执行机制成型，企业出口无线产品，过渡期内要同时满足 RED 和 CRA 吗？
回答 4：CRA 国家执行机制成型，2027 年 12 月 11 日前投放欧盟市场的无线电设备，需要同时满足 RED 射频 EMC 以及 CRA（或 RED 旧网络安全委托法规）网络安全要求，过渡期存在叠加合规压力。
问题 5：CRA 国家执行机制成型，CRA 的最高 2.5% 营业额罚款，是欧盟全球营收还是欧盟区域营收？
回答 5：CRA 国家执行机制成型，CRA 罚款基数是企业全球年度营业额，不是仅欧盟区域营收，对大型出海厂商威慑力度很强。
【参考资料】
[2026-11-08]（洞察丨 CRA 国家执行机制成型：谁来罚、怎么罚落定，欧盟网络合规从 RED 转 CRA 的最后一环补齐）搜狐网
[2026-11-01]（德国 CRA 实施法案正式通过，BSI 承担 CRA 市场监管职能）cyberresilienceact.eu
[2026-09-07]（欧盟 CRA 时间线、事件上报义务生效说明）欧盟数字战略官网
[2026-07-31]（CRA 成员国职责、市场监管与公告机构规则）欧盟数字战略官网
[2026-02-16]（CRA 与 RED 网络安全条款过渡废止安排）欧盟内部市场总局
[2024-12-10]（EU 2024/2847 CRA 法案原文）EUR-Lex
【免责声明】
本文为欧盟 CRA 执行机制与 RED 合规迁移的行业解读，仅作为合规规划参考，不替代律师意见、官方法案文本、公告机构合规评估。不同产品分类、风险等级、投放时间适用规则不同；罚款、整改、召回的判定以对应成员国市场监管机构执法决定为准，企业正式合规方案建议结合欧盟授权代表、CRA 合规咨询师评估。