CRA Draft Guidance（指导文件草案）如何重新定义供应链中的责任边界
2026 年 3 月，欧盟委员会发布了《Cyber Resilience Act（CRA）Draft Guidance》征求意见稿，旨在帮助企业更好地理解和落实 CRA 的具体要求。CRA 法规本身规定了企业需要履行的义务，而 Draft Guidance 则进一步解释了这些要求在实际场景中的适用方式和监管预期。对于许多 IoT OEM 而言，其中一个最值得关注的话题是：在涉及 OEM、ODM、EMS、软件供应商以及运营服务商的复杂供应链中，究竟谁应承担 CRA 下的制造商责任。这一问题的重要性在于，产品安全责任往往不仅仅取决于谁开发了某个组件，而取决于谁最终将产品推向市场并持续履行合规义务。
在欧盟《网络韧性法案》（CRA）的讨论中，企业最常提出的问题之一是：到底谁应该对合规负责？对于大多数联网产品而言，产品开发、生产和运营通常涉及多个组织共同参与。硬件可能由 ODM 设计，EMS 工厂负责生产，软件来自第三方供应商，后续运营则依赖云服务平台。当漏洞或合规问题出现时，很多企业都会问：责任究竟属于谁？CRA 对这个问题给出了相对明确的答案。
根据 CRA 的定义，主要责任通常由以自身品牌或商标将产品投放至欧盟市场的实体承担。在大多数情况下，这意味着 OEM 或品牌拥有者需要承担最终责任。制造商需要确保：
即使研发、生产或运营工作由第三方完成，这些责任通常也不会随之转移。
虽然 CRA 明确了制造商的责任主体，但合规并不是 OEM 单独能够完成的工作。一个典型的联网产品通常涉及：
这些参与方共同决定了产品最终的安全状态。因此，CRA 合规实际上依赖于整个供应链的信息共享、流程协同和运营配合。OEM 可能承担最终责任，但如果没有供应链伙伴的支持，很多合规要求根本无法落地。
许多关于 CRA 的讨论集中在具体技术要求上，例如：
这些能力当然重要。但对于制造商而言，更大的挑战往往来自于跨组织协同。企业需要能够回答：
这些问题涉及产品生命周期中的多个组织，需要汇聚来自不同参与方的信息与操作记录。 没有任何单一团队能够独立掌握全部答案。它们需要贯穿研发、供应链、工厂和运营团队的协同管理。对于许多 IoT OEM 来说，真正的挑战已经不再是部署某项安全功能，而是让多个组织能够共同参与同一套合规流程。
CRA 体现了一种新的产品安全理念。过去，企业往往通过是否具备某些安全功能来证明产品安全。而今天，监管机构更关注的是企业如何持续管理产品安全。这意味着企业需要具备：
合规不再只是产品安全问题。它正在逐渐演变为一个跨组织的安全治理问题。
CRA Draft Guidance 进一步强调了一个重要原则：运营工作可以由多个组织共同完成，但最终责任仍然由制造商承担。
与此同时，真正的 CRA 合规离不开 OEM、ODM、EMS、软件供应商以及服务运营方之间的持续协作。对于许多企业而言，最大的挑战已经不是确定谁负责，而是建立覆盖整个产品生命周期的可见性、协同能力和治理体系。
