CRA网络弹性法案对充电桩有什么影响？2026年9月报告义务与2027年合规清单

更新日期：2026年11月3日｜适用对象：出口欧盟的、带联网或数据接口的充电桩制造商

阅读提示：本文以欧盟委员会官方页面、欧盟法规库中的法规（EU）2024/2847，以及爱尔兰国家网络安全中心对欧盟官方指南的介绍为依据。法规还在落实阶段，实施细则和协调标准仍在制定中，办理前请以文末官方来源的最新内容为准。

CRA 已经部分生效。自2026年9月11日起，制造商就需要报告被主动利用的漏洞和严重事件，这项义务连已经在欧盟市场上的产品也要适用；2027年12月11日起，CRA 全面适用，要求贴 CE 标志。 对充电桩制造商来说，它和此前的 RED 网络安全要求是接力关系：RED 网络安全授权法规将在 2027 年 12 月 11 日被废止，由 CRA 接手。这篇文章把 CRA 对充电桩意味着什么、现在就要做什么、两年内要准备什么，一次讲清楚。

一、CRA 是什么？充电桩在不在范围内？

• 法规编号：法规（EU）2024/2847（Cyber Resilience Act，简称 CRA），2024年12月10日生效。

• 适用对象：投放欧盟市场的“具有数字元素的产品”，包括硬件和软件。判断标准是：产品的预期用途或可合理预见的用途，包括与其他设备或网络建立直接或间接的逻辑或物理数据连接。

• 对充电桩的意义：只要充电桩有数据连接，比如联网、蓝牙、USB 调试口或与后台的通信，基本都在范围内。没有无线模块、只用网线联网的充电桩也不例外，这部分产品 RED 网络安全要求管不到，CRA 则会覆盖。具体范围和豁免以 CRA 第2条为准。

二、关键时间线

关于“已经卖出去的产品”：有解读指出，2027年12月11日前投放市场的产品，除报告义务外，只有在之后被实质性修改时，才需要满足 CRA 的其他要求。具体请对照 CRA 第69条。

三、现在就要做：漏洞和事件报告（已生效）

欧盟委员会和爱尔兰国家网络安全中心的官方资料说明了报告义务的要点：

• 报告什么：被主动利用的漏洞（即已经被攻击者实际利用的漏洞），以及影响产品安全的严重事件。

• 什么时候报告：按行业和法律机构的解读，需在知悉后24小时内提交早期预警，72小时内提交详细通报，之后还要提交最终报告，具体期限以第14条为准。

• 向谁报告：通过欧盟网络安全局（ENISA）的单一报告平台提交一次，平台会转给相应的国家 CSIRT。负责的 CSIRT 由制造商的主要营业地决定，制造商不在欧盟的，由其欧盟授权代表负责。

• 持续时间：报告义务在产品支持期结束后仍然适用。

对中国充电桩制造商意味着什么？ 要有一个能在一天内响应的内部机制：谁接收漏洞信息、谁判断是否属于被主动利用、谁负责提交报告，并和欧盟进口商或授权代表提前约定分工。

四、两年内要准备：2027年12月11日起的核心要求

以下是 CRA 主要要求的概括，具体条款请对照法规附件 I、第13条等：

• 安全设计：产品出厂时不带已知可被利用的漏洞；默认安全配置；支持安全更新；防止未经授权的访问；保护数据的机密性和完整性；减少攻击面；记录和监控安全相关活动等。

• 漏洞处理：维护软件物料清单（SBOM）、及时修复漏洞、定期测试、建立协调漏洞披露政策、免费提供安全更新。

• 支持期：制造商要确定支持期，在这段时间内持续处理漏洞。按官方资料解读，原则上不少于5年（产品预期使用时间更短的除外），并需在购买时明示支持期结束日期。

• 合格评定和 CE 标志：编制技术文件、出具符合性声明、加贴 CE 标志。一般产品可以自我评估，列入“重要产品”或“关键产品”清单的产品要求更严，可能需要第三方参与。

充电桩属于哪一类？ 大多数充电桩目前按“默认类别”考虑，即可自我评估。但如果产品带有 CRA 附件 III 里列出的功能，例如身份管理等，可能落入“重要产品”。请逐项对照附件和欧盟委员会的实施文件，并和检测机构确认。

五、充电桩制造商行动清单

1. 梳理产品的数据连接：列出所有联网方式（以太网、Wi-Fi、4G、蓝牙、USB、后台协议如 OCPP），确认是否在 CRA 范围内。

2. 建立漏洞接收和披露流程：设立安全联系邮箱和内部响应小组，制定公开的漏洞披露政策。

3. 准备报告机制：能在 24 小时内判断和报告，并和欧盟进口商或授权代表约定分工。

4. 管理 SBOM：维护固件、第三方库和模块的清单。

5. 建立安全更新机制：固件签名、安全的远程升级（OTA）和回滚保护。

6. 确定并标示支持期：结合产品预期使用寿命定义，并记入技术文件。

7. 复用 RED 网络安全的工作：现在按 EN 18031 做的密码、更新、通信和存储保护，大部分可继续使用，详见《充电桩RED网络安全怎么做》。

8. 跟踪官方指南和协调标准：欧盟委员会已发布实施指南和技术问答，CRA 的协调标准仍在制定中。

六、常见问题

Q：我们的充电桩已经在欧盟销售，现在需要做什么？ 自2026年9月11日起，若发现被主动利用的漏洞或严重安全事件，即使是已销售的产品也要报告。请先把报告流程建起来。

Q：不带无线的充电桩会受 CRA 影响吗？ 会。CRA 看的是产品有没有数据连接，不仅限于无线。

Q：CRA 和 RED 网络安全是什么关系？ 2027年12月11日起，RED 网络安全授权法规被废止，由 CRA 接手。在此之前，带无线联网的充电桩仍要按 RED 网络安全要求处理。

Q：需要找公告机构吗？ 一般产品可以自我评估，落入重要产品或关键产品清单的要求更严。充电桩具体属于哪类，需要对照法规附件和官方指南判断。

Q：应该由谁报告？ 由制造商负责。制造商不在欧盟的，相关沟通和报告的分工建议和欧盟授权代表、进口商提前书面约定。

Q：哪里可以找到官方指南？ 欧盟委员会网站和各成员国网络安全主管机构都在更新资料，比如爱尔兰国家网络安全中心的 CRA 专页，列出了欧盟委员会的技术问答、实施指南和 ENISA 单一报告平台问答。

七、官方参考来源

• 欧盟委员会：CRA 报告义务页面，https://digital-strategy.ec.europa.eu/en/policies/cra-reporting

• 欧盟法规库：网络弹性法案（EU）2024/2847，https://eur-lex.europa.eu/eli/reg/2024/2847/oj

• 爱尔兰国家网络安全中心：CRA 专页（链接欧盟委员会技术问答、实施指南和 ENISA 问答），https://ncsc.gov.ie/cra/

• 欧盟理事会文件：欧盟委员会废止授权法规（EU）2022/30 的文件 C(2026) 778 final，https://data.consilium.europa.eu/doc/document/ST-6429-2026-INIT/en/pdf

相关阅读：《充电桩出口认证全攻略》｜《充电桩RED网络安全怎么做》｜《充电桩CE认证怎么做》

如需为您的充电桩产品梳理 CRA 合规路径和漏洞报告流程，欢迎联系我们：【深圳全球通检测／181-2638-7162】