1 简介

欧盟的《网络弹性法案》(CRA) 是一个强制性法律框架，为在欧盟市场销售的所有含有数字元素的硬件和软件产品制定了统一的网络安全要求。CRA 将于 2027 年 12 月 11 日开始实施。漏洞报告要求已于 2026 年 9 月 11 日生效。对于构建集成第三方半导体元件的联网器件的产品制造商而言，CRA 带来一项无法通过孤立观察芯片或软件来解决的合规难题：该法规将要求分配给供应链中的各个角色，凡是以自身名义将含数字元素产品投放到欧盟市场，均需承担相应责任。

在欧盟销售的产品必须遵循安全设计原则，在整个支持期间保持更新，并维持可信的漏洞处理流程。合规性挑战源于大多数嵌入式产品的供应链结构。构建联网的物联网网关、工业控制器或协作机器人的 OEM 通常会集成芯片供应商提供的微处理器、一级制造商或模块上系统 (SoM) 供应商提供的板级支持包（软件），以及自身的应用软件。各方均已将元件投放到市场，并各自承担 CRA 规定的责任。

产品制造商不能通过选择已满足 CRA 要求的供应商提供的元件来规避 CRA 要求。元件供应商的合规情况无法满足产品制造商的风险评估、符合性声明（即产品符合所有 CRA 要求的正式声明），以及向产品制造商所在国家的 CSIRT（国家网络安全事件响应团队）和 ENISA（欧盟网络安全局）报告的要求。这两组要求并行适用；一组要求不能替代另一组要求。不合规将处以高达公司全球年收入 2.5% 的罚款。元件供应商和中间集成商也不能豁免。

本文介绍 TI 对供应链边界的解读、TI 作为元件制造商在芯片和 SDK 层面为满足相关要求所采取的措施，以及集成产品制造商为确保完整产品合规必须采取的措施。合规性认定需要由具备相应资质的法务与合规顾问进行。