新法案落地：Cyber Act如何重塑聯(lián)網(wǎng)CE產(chǎn)品的合規(guī)框架

2024年歐盟《網(wǎng)絡(luò)彈性法案》（Cyber Resilience Act，簡稱CyberAct）的正式實(shí)施，標(biāo)志著聯(lián)網(wǎng)設(shè)備安全監(jiān)管進(jìn)入剛性約束時(shí)代。這一法案不再僅僅是建議性指南，而是對(duì)帶有聯(lián)網(wǎng)功能的CE認(rèn)證產(chǎn)品提出了法定合規(guī)要求。廣州德信檢測(cè)技術(shù)有限公司分析指出，制造商過去只需滿足EMC、LVD等傳統(tǒng)指令，如今必須證明產(chǎn)品從設(shè)計(jì)到退役全生命周期的網(wǎng)絡(luò)韌性。這意味著，任何能夠接入網(wǎng)絡(luò)或處理數(shù)據(jù)的終端——從智能家居網(wǎng)關(guān)、可穿戴設(shè)備到工業(yè)物聯(lián)網(wǎng)傳感器——都必須通過安全風(fēng)險(xiǎn)評(píng)估、漏洞披露機(jī)制和默認(rèn)安全配置的三重考驗(yàn)。

法案的核心邏輯在于將網(wǎng)絡(luò)安全從“附加功能”轉(zhuǎn)變?yōu)椤盎A(chǔ)屬性”。以一款常見的Wi-Fi智能插座為例，過去的CE認(rèn)證主要關(guān)注電磁兼容和低電壓安全，而CyberAct要求企業(yè)必須證明其固件更新機(jī)制能抵御中間人攻擊、設(shè)備身份認(rèn)證可防止非法操控。廣州德信檢測(cè)技術(shù)有限公司的合規(guī)團(tuán)隊(duì)發(fā)現(xiàn)，許多中小企業(yè)由于缺乏安全編碼實(shí)踐或供應(yīng)鏈管理規(guī)范，正在面臨產(chǎn)品出口受阻的風(fēng)險(xiǎn)。新法案要求所有聯(lián)網(wǎng)產(chǎn)品必須附帶安全支持期限（至少5年），且制造商需在產(chǎn)品文檔中明確網(wǎng)絡(luò)攻擊的響應(yīng)流程。

不再是自愿標(biāo)準(zhǔn)：強(qiáng)制性要求覆蓋產(chǎn)品全生命周期

Cyber ActZui顯著的特征在于其強(qiáng)制性效力。不同于ETSI EN 303645等自愿性標(biāo)準(zhǔn)，新法案采用歐盟指令加法規(guī)的組合形式，要求所有聯(lián)網(wǎng)CE產(chǎn)品在進(jìn)入歐盟市場(chǎng)前必須滿足“基本安全要求”。這些要求覆蓋四個(gè)關(guān)鍵階段：設(shè)計(jì)階段需遵循“安全默認(rèn)原則”，禁止使用硬編碼密碼；開發(fā)階段必須實(shí)施漏洞跟蹤與修復(fù)流程；上市后制造商需在24小時(shí)內(nèi)向ENISA（歐盟網(wǎng)絡(luò)安全局）報(bào)告被利用的漏洞；產(chǎn)品退役階段則要求提供安全的數(shù)據(jù)清除方案。

廣州德信檢測(cè)技術(shù)有限公司的工程師在測(cè)試一款4G聯(lián)網(wǎng)水質(zhì)監(jiān)測(cè)儀時(shí)發(fā)現(xiàn)，其固件升級(jí)包未使用數(shù)字簽名，這直接違反了CyberAct對(duì)“安全更新”的強(qiáng)制規(guī)定。此類問題在傳統(tǒng)CE認(rèn)證中并非必測(cè)項(xiàng)，但按照新法案，未實(shí)施簽名機(jī)制的設(shè)備將被判定為不合規(guī)。值得企業(yè)警惕的是，法案對(duì)“重要產(chǎn)品”與“一般產(chǎn)品”作了分類監(jiān)管：智能門鎖、工業(yè)控制設(shè)備等屬于高風(fēng)險(xiǎn)類別，需接受第三方NB機(jī)構(gòu)審核；而普通消費(fèi)類聯(lián)網(wǎng)產(chǎn)品雖可自我聲明，但必須保留完整的技術(shù)文檔以備抽查。

安全支持期限：產(chǎn)品生命周期管理的全新標(biāo)尺

CyberAct引入的“安全支持期限”條款，對(duì)企業(yè)產(chǎn)品規(guī)劃能力提出極高要求。法案明確規(guī)定，制造商必須為聯(lián)網(wǎng)產(chǎn)品提供至少5年的安全更新支持，且需在產(chǎn)品信息中清晰標(biāo)注開始日期與結(jié)束日期。廣州德信檢測(cè)技術(shù)有限公司的技術(shù)團(tuán)隊(duì)指出，這一規(guī)定實(shí)際上迫使企業(yè)將安全運(yùn)維成本前置：不僅需要在產(chǎn)品設(shè)計(jì)時(shí)預(yù)留安全更新渠道，還需建立持續(xù)的漏洞監(jiān)測(cè)、補(bǔ)丁開發(fā)和分發(fā)能力。

以一款使用雙核MCU的智能體重秤為例，如果其固件存儲(chǔ)空間僅256KB，當(dāng)發(fā)現(xiàn)安全漏洞需要升級(jí)時(shí)，可能因內(nèi)存不足而無法實(shí)施補(bǔ)丁，導(dǎo)致產(chǎn)品在整個(gè)銷售周期內(nèi)處于不安全狀態(tài)。更深層的影響在于，安全支持期限直接關(guān)聯(lián)產(chǎn)品定價(jià)策略。制造商需要判斷，以五年的更新承諾換取市場(chǎng)準(zhǔn)入，是否能在成本與競(jìng)爭(zhēng)力之間找到平衡。廣州德信檢測(cè)技術(shù)有限公司觀察到，部分企業(yè)已經(jīng)開始調(diào)整產(chǎn)品架構(gòu)，選擇性能冗余度更高的芯片平臺(tái)，以應(yīng)對(duì)長期安全維護(hù)需求。

漏洞披露與響應(yīng)：從被動(dòng)應(yīng)對(duì)到主動(dòng)監(jiān)管

新法案構(gòu)建了一套閉環(huán)的漏洞管理機(jī)制，要求制造商不僅僅在發(fā)現(xiàn)漏洞后修補(bǔ)，更需建立主動(dòng)的漏洞披露渠道和協(xié)調(diào)披露政策。這意味著企業(yè)必須設(shè)立公開的安全報(bào)告入口（如專用郵箱或網(wǎng)頁表單），并在確認(rèn)漏洞后的96小時(shí)內(nèi)向ENISA提交初步報(bào)告，包括漏洞描述、受影響產(chǎn)品范圍以及臨時(shí)緩解措施。

廣州德信檢測(cè)技術(shù)有限公司在協(xié)助一家醫(yī)療物聯(lián)網(wǎng)設(shè)備廠商進(jìn)行合規(guī)評(píng)估時(shí)，發(fā)現(xiàn)其漏洞響應(yīng)流程存在結(jié)構(gòu)性缺陷：該企業(yè)有內(nèi)部測(cè)試團(tuán)隊(duì)，但缺乏面向外部研究者的漏洞獎(jiǎng)勵(lì)計(jì)劃，也未定義安全事件的升級(jí)路徑。CyberAct對(duì)此提出明確要求：制造商必須證明有能力在識(shí)別漏洞后的7天內(nèi)發(fā)布安全公告，并在合理時(shí)間內(nèi)推出修復(fù)版本。對(duì)于使用第三方開源組件的產(chǎn)品，企業(yè)還需核查整個(gè)軟件物料清單（SBOM），確保每個(gè)依賴庫的漏洞都能被納入跟蹤范圍。

供應(yīng)鏈安全：捆綁所有參與者的合規(guī)責(zé)任

CyberAct的另一項(xiàng)革命性設(shè)計(jì)，是將安全責(zé)任從制造商向下游組件供應(yīng)商、向上游軟件開發(fā)商進(jìn)行鏈?zhǔn)絺鬟f。法案要求制造商在技術(shù)文檔中完整記錄其供應(yīng)鏈安全措施，包括對(duì)關(guān)鍵組件的安全性評(píng)估、第三方代碼的審計(jì)記錄以及外部開發(fā)團(tuán)隊(duì)的合規(guī)承諾。

廣州德信檢測(cè)技術(shù)有限公司的合規(guī)顧問強(qiáng)調(diào)，這一條款對(duì)大量使用開源數(shù)據(jù)庫或云服務(wù)API的物聯(lián)網(wǎng)產(chǎn)品影響深刻。例如，一款集成百度天工物聯(lián)網(wǎng)平臺(tái)的智能空調(diào)，若其采用的MQTT協(xié)議庫被發(fā)現(xiàn)存在拒絕服務(wù)漏洞，不僅軟件提供商需要負(fù)責(zé)，空調(diào)制造商同樣需承擔(dān)產(chǎn)品不合規(guī)的法律后果。企業(yè)在選擇芯片模組、云平臺(tái)或通信協(xié)議時(shí)，必須將第三方組件的安全更新能力作為關(guān)鍵篩選指標(biāo)。法案甚至規(guī)定，某個(gè)漏洞源自已被收購或解散的開源項(xiàng)目，制造商仍需證明已采取替代安全方案。

測(cè)試與認(rèn)證路徑：合規(guī)不是終點(diǎn)，而是持續(xù)過程

面對(duì)CyberAct的嚴(yán)格規(guī)定，廣州德信檢測(cè)技術(shù)有限公司建議企業(yè)建立“測(cè)試-整改-驗(yàn)證”的迭代循環(huán)，而非一次性認(rèn)證。完整的合規(guī)流程通常包含四個(gè)步驟：進(jìn)行安全風(fēng)險(xiǎn)評(píng)估，識(shí)別產(chǎn)品的攻擊面、資產(chǎn)價(jià)值與威脅場(chǎng)景；基于評(píng)估結(jié)果實(shí)施滲透測(cè)試，重點(diǎn)覆蓋身份認(rèn)證繞過、固件逆向、網(wǎng)絡(luò)協(xié)議劫持等典型物聯(lián)網(wǎng)攻擊向量；在發(fā)現(xiàn)漏洞后，企業(yè)需在2個(gè)月內(nèi)完成安全加固并重新測(cè)試；Zui終提交包含安全支持期限說明、漏洞披露政策和SBOM的技術(shù)文檔至認(rèn)證機(jī)構(gòu)。

取得CE+CyberAct認(rèn)證證書，企業(yè)仍需承擔(dān)持續(xù)監(jiān)測(cè)義務(wù)。廣州德信檢測(cè)技術(shù)有限公司的一線技術(shù)服務(wù)團(tuán)隊(duì)發(fā)現(xiàn)，部分采用OTA升級(jí)的產(chǎn)品在上市后，因忽視對(duì)更新包傳輸通道的加密驗(yàn)證，反而引入了新的后門風(fēng)險(xiǎn)。制造商應(yīng)當(dāng)意識(shí)到，CyberAct認(rèn)證不是獲得的一個(gè)靜態(tài)標(biāo)簽，而是企業(yè)內(nèi)部安全治理能力的動(dòng)態(tài)證明。技術(shù)文檔、漏洞響應(yīng)記錄和供應(yīng)鏈審計(jì)報(bào)告需要隨產(chǎn)品迭代持續(xù)更新，才能應(yīng)對(duì)歐洲市場(chǎng)監(jiān)管部門的日常執(zhí)法檢查。

對(duì)于正計(jì)劃將智能家居、工業(yè)物聯(lián)網(wǎng)或可穿戴設(shè)備推向歐盟市場(chǎng)的企業(yè)，行動(dòng)時(shí)機(jī)已經(jīng)非常緊迫。廣州德信檢測(cè)技術(shù)有限公司作為具備網(wǎng)絡(luò)安全與CE雙領(lǐng)域資質(zhì)的檢測(cè)機(jī)構(gòu)，可提供涵蓋GB/T22239、ETSI EN 303 645與CyberAct的整合型解決方案。建議企業(yè)優(yōu)先梳理現(xiàn)有產(chǎn)品的聯(lián)網(wǎng)類型與數(shù)據(jù)流路徑，針對(duì)高風(fēng)險(xiǎn)攻擊面開展預(yù)測(cè)試，從而在新法案全面實(shí)施前完成合規(guī)部署。這不是一次簡單的認(rèn)證升級(jí)，而是企業(yè)從“功能制造商”向“安全服務(wù)商”轉(zhuǎn)型的機(jī)會(huì)窗口。