对方说产品属于 CRA“关键产品”：符合性评估报价前还缺什么？
先确认产品版本、制造商角色、附件分类、评估路线、现有证据和欧盟上市节点，再判断 CRA 符合性评估需求能否报价。
重点监测信号
- 具名产品和软件或固件版本对应一项欧盟上市或发布决定
- 请求方能说明产品为何属于 CRA 默认类别、附件 III 重要产品或附件 IV 关键产品
- 拟采用的评估路线对应可用标准、公告机构需求和具体证据缺口
一条 CRA 符合性评估需求，只有把五件事放进同一份记录后，才适合讨论报价：准确产品版本、制造商角色、产品类别依据、拟采用的评估路线，以及下一次欧盟市场决定前已经具备的证据。 如果 Telegram 消息里的“关键”只是形容词，就不能直接按关键产品报价。先判断它是 Cyber Resilience Act（CRA，网络韧性法案）附件 IV 的关键产品、附件 III 的重要产品，还是默认类别。
产品网络安全符合性评估咨询机构的商务拓展负责人，会在企业主动连接且有权访问的设备制造商、软件供应商、测试实验室、公告机构专业人士和产品合规 Telegram 群里遇到这种问题。值得查看的 Signal 不是一句“需要 CRA 帮助”，而是具名产品正接近欧盟发布或上市决定，同时分类、路线和证据彼此对不上。晚一天看到，评估会议或实验室档期可能已经按错误版本安排；但这仍不能证明预算、法律范围或发言者有采购权。
先建立五行评估记录
CRA 是 Regulation (EU) 2024/2847，为在欧盟市场提供的带数字元素产品规定网络安全要求。符合性评估，是证明产品满足适用要求的过程。欧盟委员会的符合性评估说明指出，多数产品处于允许制造商自我评估的默认类别；附件 III 重要产品和附件 IV 关键产品适用更严格的路线。
技术评估人员估算工作量或确认档期之前，先记下五行：
- **产品：**商品名、型号、硬件修订、软件或固件版本、预期用途及随产品提供的组件。
- **角色：**哪一个主体担任制造商；需求还涉及哪些进口商、经销商或开源软件管理者。
- **分类依据：**默认类别、附件 III I 类或 II 类，还是附件 IV；对应哪一条列明类别，哪些产品事实支持该判断。
- **路线与证据：**拟采用哪种程序、使用哪些标准或技术规范、是否需要公告机构、当前技术文件有什么。
- **决定日期：**哪个版本要在何时发生什么事情，是发布、投放欧盟市场，还是企业内部设计关口。
这就是本文的原创“类别—证据决定记录”。它不替代合规结论，只防止商务方案悄悄把本应核实的分类和证据当成已知事实。
讨论类别前先冻结产品
“工业防火墙”或“安全网关”不是可评估的产品记录。同一网关搭载两种操作系统构建，功能和组件可能不同；单独销售的软件，与嵌入设备后交付的代码，也未必是同一个评估对象。配件和单独投放市场的组件还会改变边界。
先问：哪个配置要对应欧盟符合性声明和 CE 标志？再记录交付版本、预期用途、远程处理依赖，以及产品履行功能所需的软硬件组件。请求方连这个对象都说不清时，首项交付应是分类与范围梳理，而不是固定价格的符合性评估。
制造商角色也要同时确认。代厂商询问的经销商、准备文件的进口商和控制产品设计的制造商，不掌握同一批证据，也不承担相同声明工作。群消息作者可能知道截止日期，却没有权力调取技术文件；人工核实前，这一点保持未知。
用附件条目和产品事实替换“关键”
一款产品对客户运营至关重要，不代表它就是 CRA 法律意义上的“带数字元素关键产品”。关键产品类别来自附件 IV；附件 III 另行列出重要产品，并区分 I 类和 II 类；其他范围内产品进入默认类别。
每项分类主张写两句话：第一句指出依赖的具体附件类别，第二句说明该版本的哪些功能符合这个类别。任何一句缺失，都把分类状态记为“待确认”，不能写成已确认。
例如，一条示意性群消息可能是：“secure element，CRA critical，发布前要评估。”它不是客户原话，也故意保留残缺。消息没有产品型号、交付功能、secure element 是独立产品还是内部组件、制造商、附件分析、适用标准、已有证据和发布事件。这条消息值得提问，不值得直接出关键产品报价。
分类有证据后再选路线
欧盟委员会对路线的概括是：默认类别可由制造商自我评估，重要和关键类别则必须更严格地应用 Article 32。附件 III 的类别、适用协调标准或通用技术规范的使用情况，以及合格的认证计划，都会影响可用路线。对附件 IV 产品，适用的欧盟网络安全认证计划可在法规条件下提供路线；没有适用计划时，法规指向“欧盟型式检查+型式符合性”或全面质量保证，这些是由公告机构参与的第三方程序。实际路线仍由法规正文 Article 32 和 Annex VIII 约束。
因此，“我们会用一个标准”还不是评估路线。要记录它覆盖哪些适用要求、路线依赖标准时是否完整采用、哪些内容仍在覆盖范围之外。准备使用公告机构时，要确认机构或至少确认所需指定范围与档期状态；商务人员不能承诺尚未得到确认的评估名额。
不能把某个可能的认证计划当成当前捷径。在实际市场决定日期，要核实适用计划、保证等级、实施或授权法案、产品覆盖及尚未覆盖的 CRA 要求。同样，公告机构的指定范围和档期尚未确认时，不能对外承诺。
把技术文件拆成证据清单
“你们有技术文件吗？”通常只能得到一个宽泛的“有”。更有用的问法，是索取与这个版本和路线对应的材料：产品描述和架构、网络安全风险评估、适用要求映射、安全开发与漏洞处理记录、支持期决定、测试证据、标准分析、组件信息，以及已有的声明材料。
每件材料标记四种状态：适用于当前版本、只适用于其他版本、缺失、尚未审阅；再加负责人和来源位置。渗透测试报告可以是有效证据，却不能自行覆盖开发过程、更新机制或漏洞处理。无线电设备网络安全报告也可能提供技术参考，但不会替 CRA 决定产品类别或评估路线。
如果要分清 RED、EN 18031 与 CRA 分别证明什么，可看欧盟产品安全来源分流；较早开始适用的漏洞报告工作，则见CRA 报告流程需求核实。它们是相邻问题，不能代替这份符合性记录。
把方案落到真实产品决定
CRA 主要规定从 2027 年 12 月 11 日起适用，部分条款更早适用。所以需求中的日期必须对应事件，不能只写“赶在 CRA 之前”。问清团队是在冻结设计、预约测试、更换供应商、准备欧盟上市，还是修改已经上市的产品；同时确认涉及哪个版本、谁能释放证据。
产品边界和日期已知、分类有依据或明确把分类纳入工作、路线连同假设写清、证据清单暴露出可审阅缺口时，才进入范围沟通。多个版本混在一起、“关键”没有附件依据或默认公告机构已有档期时，先暂停报价。请求方无法授权必要记录访问时，应拒绝或转给合适专业人员。
TOP Prospect 只能在用户主动连接且有权访问的 Telegram 群里，关联相关片段，保留原文、来源和时间，合并重复内容并排序供人工查看。它不能给产品分类、检查技术文件、选择法律路线、确认公告机构、联系发言者或认证符合性。团队之后若询问群内发现服务如何计费，价格页列出了公开方案。
最后的商务记录要保留一个明确分支：“关键产品”要么已有附件 IV 依据，要么分类本身是本次服务内容，要么仍是一句不能报价的未核实说法。
FAQ
产品在业务上很关键，就属于 CRA 关键产品吗？
不属于。关键产品是附件 IV 列明的类别，日常语言中的安全重要性不能建立这个分类。
所有 CRA 产品都需要公告机构吗？
不需要。默认类别可自我评估。附件 III 路线取决于类别及适用标准、技术规范或认证计划的使用情况。附件 IV 须按 Article 32 选路；有适用的欧盟网络安全认证计划时可由该计划提供路线，没有时进入第三方程序。
第一份评估需求应包含什么？
包含准确产品和版本、制造商角色、预期用途和功能、主张的类别及依据、拟采用路线、所用标准、现有证据清单和有日期的欧盟市场决定。
EN 18031 报告能证明 CRA 符合性吗？
不能。它可以提供边界清楚的相关技术证据，但不能单独建立 CRA 范围、分类、评估路线或所有生命周期义务。
常见问题
产品在业务上很关键，就属于 CRA 关键产品吗？
不属于。CRA 关键产品是 Regulation (EU) 2024/2847 附件 IV 列明的类别。日常语言中的安全重要性不能建立这个法律分类。
所有 CRA 产品都需要公告机构吗？
不需要。默认类别可采用制造商自我评估。附件 III 路线取决于类别及适用标准、技术规范或认证计划的使用情况。附件 IV 须按 Article 32 选路；适用的欧盟网络安全认证计划可能提供路线，没有适用计划时则进入第三方符合性评估程序。
索取评估方案前应收集什么？
收集准确产品和版本、制造商及经济经营者角色、预期用途和功能、主张的附件类别、拟采用的评估路线、所用标准或技术规范、现有技术文件证据和有日期的欧盟市场决定。
EN 18031 报告能证明 CRA 符合性吗？
不能。报告可为覆盖的产品和要求提供相关技术证据，但不能单独决定 CRA 范围、产品类别、符合性评估路线或全部生命周期义务。
资料来源与延伸阅读
值得关注的潜在线索 Signal 是怎样被发现的
了解 Top商业线索怎样发现和整理值得核实的 Signal、保留 Telegram 原始上下文、去掉重复消息并安排查看顺序。是否跟进以及下一步做什么，仍由用户决定。
