ZHDA325 October   2026 AM2431 , AM2432 , AM2434 , AM623 , AM625 , AM625-Q1 , AM625SIP , AM62A1-Q1 , AM62A3 , AM62A3-Q1 , AM62A7 , AM62A7-Q1 , AM62L , AM62P , AM62P-Q1 , AM6411 , AM6412 , AM6421 , AM6422 , AM6441 , AM6442 , AM67 , AM67A , AM68 , AM68A , AM69 , AM69A , DRA821U , DRA829J , DRA829V , TDA4AEN-Q1 , TDA4AH-Q1 , TDA4AL-Q1 , TDA4AP-Q1 , TDA4APE-Q1 , TDA4VE-Q1 , TDA4VEN-Q1 , TDA4VH-Q1 , TDA4VL-Q1 , TDA4VM , TDA4VM-Q1 , TDA4VP-Q1 , TDA4VPE-Q1 , TDA54-Q1

 

  1.   1
  2.   摘要
  3. 1简介
  4. 2CRA 范围和元件供应商问题
    1. 2.1 法规涵盖范围
    2. 2.2 CRA 如何对 TI 产品进行分类
    3. 2.3 集成边界
  5. 3责任共担模式
    1. 3.1 供应链分层架构
    2. 3.2 根据 CRA 要求分配责任
    3. 3.3 一级和 SoM 供应商层
  6. 4TI 与 CRA 相关的安全功能
    1. 4.1 硬件安全功能
    2. 4.2 SDK 和软件安全
    3. 4.3 文档和生命周期资料
  7. 5结语
  8. 6参考资料

3.2 根据 CRA 要求分配责任

节 3.2 列出了供应链中各方承担的主要 CRA 要求。如果制造商未在欧盟境内设有实体，则 CRA 要求其指定授权的欧盟代表。该代表是当地注册的实体，可以接收监管通信，并代表制造商行事。这一分配反映了 TI 对典型嵌入式产品供应链的解读。具体产品和供应链安排可能导致不同的责任分配；但节 3.2 不能替代针对具体产品的合规性分析。

表 3-2 整个供应链中的 CRA 义务分配
CRA 要求 法规依据 TI（元件制造商） 一级/SoM 供应商 OEM 产品制造商
网络安全风险评估 第 13(2) 条 芯片层面威胁模型；安全数据表 板层面风险评估 涵盖整个系统的产品层面风险评估
SBOM — 顶级依赖项 附录 I，第 II 部分，第 1 项 SBOM（SPDX、CycloneDX）；使用 MySecure 获取的安全软件 板级 SBOM 集成所有供应商 SBOM 和自有应用软件的产品 SBOM
发布时未发现可被利用的漏洞 附录 I，第 I 部分，第 2(a) 项 每次发布前已扫描 SDK 发布前已扫描板 (BSP) 软件。供应商还提供 SDK 和其他软件。 在投放欧盟市场之前，对完整产品进行已知漏洞扫描
默认安全配置 附录 I，第 I 部分，第 2(b) 项 提供硬件信任根和安全引导功能；在强制安全型器件型号上由 ROM 强制执行 配置板默认设置 产品以安全默认状态发货；提供客户说明；强制要求客户更改密码等默认设置
可能的安全更新 附录 I，第 I 部分，第 2(c) 项 通过 CI/CD 流水线或安全文件夹提供固件补丁（基于灵敏度）。PSIRT/PSAP 跟踪并传达补丁状态。 板更新机制 向最终用户提供更新；免费
防止未经授权的访问 附录 I，第 I 部分，第 2(d) 项 硬件访问控制；调试端口控制 板层面身份验证 产品层面身份验证和访问管理
集成保护 附录 I，第 I 部分，第 2(f) 项 签名的固件架构支持引导完整性；在安全强制型器件型号上以加密方式强制执行 电路板元件的固件签名 系统层面的完整性验证
限制攻击面 附录 I，第 I 部分，第 2(j) 项 硬件隔离 板接口配置 产品接口最小化和加固
产品安全测试和漏洞处理的安全测试报告 附录 I 第 I 部分、附录 I 第 II 部分和附录 VII(6) 涵盖元件层面安全功能的测试报告。更新了每个元件层面漏洞修复的报告。 涵盖板层面安全集成的测试报告。更新了每个板层面漏洞修复的报告。 涵盖最终产品安全功能的测试报告。更新了每个产品层面漏洞修复的报告。
CE 标识 第 29-30 条 投放到欧盟市场的 TI 元件必须加贴 如果一级供应商独立将模块投放到欧盟市场，则必须加贴 最终产品必须加贴
授权的欧盟代表 第 18 条 TI 在欧盟设有实体 如果未在欧盟设立一级供应商，则必须指定 如果未在欧盟设立 OEM，则必须指定
协调漏洞披露 (CVD) 政策 附录 I，第 II 部分，第 5 项 TI PSIRT 政策 一级供应商自己的 CVD 政策 OEM 针对其产品自己的 CVD 政策
漏洞报告联系方式 附录 I，第 II 部分，第 6 项 psirt@ti.com 一级供应商安全联系方式 向最终用户发布的 OEM 安全联系方式
报告遭到积极利用的漏洞 第 14 条 TI 使用 CRA 单一报告平台同时通知国家 CSIRT 和 ENISA；有关完整的通知序列，请参阅“第 14 条 — 制造商的报告义务”。 一级供应商同时通知国家 CSIRT 和 ENISA；有关完整的通知序列，请参阅“第 14 条 — 制造商的报告义务”。 OEM 同时通知国家 CSIRT 和 ENISA；有关完整的通知序列，请参阅“第 14 条 — 制造商的报告义务”。
支持期限声明 附录 II，第 7 项 每个器件系列的生命周期指南 声明的模块支持期限 向最终用户声明的产品支持期限
技术文档 第 31 条 元件层面的技术文档 模块层面的技术文档 完整产品的技术文档