一份经过事实核查的开放参考，汇集管辖硬件与物联网网络安全的欧盟法律——CRA、RED、NIS2 以及《网络安全法案》/EUCC，一处查阅而非四处奔波。
由 Platanor Technologies（platanor.com）编制——一家面向物联网设备制造商的嵌入式安全公司。
目录： 快速开始 · 这是什么 · 仓库结构 · 方法论 · 与 LLM 配合使用 · Claude Skill · 反馈 · 许可证 · 讨论
cra/faq.md、red/faq.md、nis2/faq.md 或 csa/faq.md——每一份都是面向硬件/物联网制造商的实用问答，无需法律背景。cra/product-risk-classes.md 和 red/essential-requirements.md，一台 Wi-Fi 连接的婴儿监视器需要公告机构，还是我们可以自我评估？”primary-sources/ 中的来源——完整官方文本，按条款分块。这不是法律建议。 本仓库中的材料是一份参考知识库，涵盖涉及硬件与物联网网络安全的主要欧盟法律——《网络韧性法案》（Regulation (EU) 2024/2847）、《无线电设备指令》（Directive 2014/53/EU 及其网络安全授权法案）、《NIS2 指令》（Directive (EU) 2022/2555）以及**《网络安全法案》**（Regulation (EU) 2019/881，包括 EUCC 认证框架）——编制目的是帮助你了解该主题，而非为法律或合规决策提供依据。
面向欧盟市场销售的硬件和物联网制造商正日益同时受到多项法规的约束——CRA 监管的是产品，RED 专门监管无线电设备（其自身也有相互重叠的网络安全要求），NIS2 监管关键行业中的特定组织（包括部分制造商及其客户），而《网络安全法》则提供了与上述所有法规并行的自愿性认证框架（EUCC）。本仓库之所以存在，是因为孤立地看待其中任何一项法规都会得到不完整的图景——制造商可能完全符合 CRA 的要求，却仍然遗漏了 RED 的特定要求，或者误判 NIS2 是否会通过客户的供应链义务间接适用于自己。
本仓库分为两层：
cra/、red/、nis2/、csa/）——按法规划分的、更简短的结构化参考文档：概述、定义/范围、基本要求或义务、截止日期、处罚以及实用常见问题解答。便于快速掌握某个主题，且每一份都特意标注了其与其他三项法规的关联，而非孤立存在。primary-sources/）——每项法规及相关法案的完整官方文本，未经修改。这是精确引用的权威来源，对人类和 LLM 同样适用。整理后的指南已对照每项法规及相关来源（M/606、授权法案/实施法案）的原始文本进行事实核查——方法如下所述。
| 文件 | 涵盖内容 |
|---|---|
cra/overview.md | 通过背景、范围、法规结构（章节与附件） |
cra/definitions.md | 官方定义与术语（含数字元素的产品、RDPS、关键/重要产品等） |
cra/essential-requirements.md | 附件 I 基本网络安全要求 + 协调标准制定进展（授权 M/606）；与 ENISA 的《安全设计与默认安全手册》交叉引用 |
cra/product-risk-classes.md | 产品风险分类：默认、重要类别 I/II、关键 |
cra/obligations-by-role.md | 制造商、进口商和分销商的义务（第二章） |
cra/timeline-deadlines.md | 关键截止日期与过渡条款 |
cra/vulnerability-reporting.md | 漏洞与严重事件报告（第 14 条） |
cra/penalties-enforcement.md | 处罚与市场监督 |
cra/self-assessment-maturity-model.md | ENISA 中小企业网络弹性成熟度评估模型 |
cra/faq.md | 面向硬件/物联网制造商的实用常见问题解答 |
| 文件 | 涵盖内容 |
|---|---|
red/overview.md | 范围、结构、与 CRA 的关系 |
red/essential-requirements.md | 第 3(3)(d)(e)(f) 条网络安全要求、EN 18031-1/-2/-3 及其限制 |
red/obligations-by-role.md | 制造商、进口商和分销商的义务（第二章） |
red/timeline-deadlines.md | 关键截止日期：指令、网络安全授权法案、协调标准 |
red/penalties-enforcement.md | 处罚（由各国法律规定，而非欧盟统一规定）与市场监督 |
red/faq.md | 面向硬件/物联网制造商的实用常见问题解答 |
| 文件 | 涵盖内容 |
|---|---|
nis2/overview.md | 范围、基本/重要实体划分、结构 |
nis2/obligations.md | 治理（第 20 条）、风险管理措施（第 21 条）、基本与重要实体的监管（第 32/33 条）、罚款（第 34 条） |
nis2/incident-reporting.md | 报告义务（第 23 条）——通知时限、与 CRA 第 14 条的对比 |
nis2/faq.md | 面向硬件/IoT 制造商及其客户的实用常见问题解答 |
| 文件 | 涵盖内容 |
|---|---|
csa/overview.md | ENISA 的职责 + 欧洲网络安全认证框架，与 CRA/RED/NIS2 的关系 |
csa/eucc-certification.md | EUCC 认证机制——保证等级、自愿性质、签发机构 |
csa/faq.md | 面向硬件/IoT 制造商的 CSA/EUCC 实用常见问题解答 |
| 文件 | 涵盖内容 |
|---|---|
primary-sources/ | CRA、M/606、RED、NIS2、CSA 及相关法案的完整官方文本 |
resources/ | 与本立法配套使用的独立框架和操作手册，以及我们自己的跨法规分析（PSA Certified、ENISA 的 Secure by Design and Default Playbook、CRA/RED CE 标志指南、CRA 与其他欧盟法律的关系） |
sbom/ | CycloneDX 和 SPDX 格式、VEX（CycloneDX VEX、CSAF VEX、OpenVEX），以及两种 SBOM 格式并排的示例 |
每项陈述都按照来源优先级顺序进行核对：法规的一手文本（EUR-Lex）> 官方相关文件（标准化授权、授权/实施法案）> 二手来源 > 我们自己的分析。对于存在未决问题或尚未最终确定的规则（例如 M/606 的修订草案），文中会明确标注为有待官方确认，而不会将其陈述为既定事实。
这些文件旨在作为语言模型（ChatGPT、Claude、Gemini 等）的上下文——例如：
.md 文件（一个或多个）作为上下文附加到提示词中——经过处理的指南足以给出快速回答；如需精确的条款引用，请使用 primary-sources/ 中的文件；primary-sources/ 中的一手来源文件已按 ### Article N 标题拆分，这些标题是天然的分块边界；llms.txt——一个面向 AI 代理的、简洁的机器可读文件索引。由于模型的回答将基于这些文件，上述免责声明同样适用于基于此基础构建的任何 LLM 输出——这些回答同样不构成法律建议。