EN pr40000 系列标准概述 - CRA 支撑标准体系

概述

EN pr40000 系列是为支撑欧盟 Cyber Resilience Act (CRA) 而开发的横向网络安全标准体系。该系列标准由 CEN/CLC/JTC 13/WG 9 制定，旨在为数字产品的网络安全提供统一的技术框架。

标准化背景

M/606 标准化请求

欧洲委员会于 2024 年发布 M/606 标准化请求，正式授权 CEN、CENELEC 和 ETSI 制定支撑 CRA 的协调标准。标准化策略采用双重路径：

与 CRA 的关系

CRA (Regulation (EU) 2024/2847) 要求所有数字产品满足基本网络安全要求。EN 40000 系列标准为制造商提供了证明合规的技术路径。

EN 40000 系列结构

标准组成

各部分定位

1
2
3
4
5
6
7
8
9

EN 40000 系列架构
├── EN 40000-1-1 (术语)
│   └── 定义统一术语和概念
├── EN 40000-1-2 (原则)
│   └── 基于风险的网络安全弹性原则（过程导向）
├── EN 40000-1-3 (漏洞处理)
│   └── 产品生命周期内的漏洞管理要求
└── EN 40000-1-4 (通用安全要求)
    └── 将 CRA 基本要求映射到具体安全控制

prEN 40000-1-2：网络安全弹性原则

定位

• 类型：过程导向标准
• 作用：”兜底”标准，确保产品使用基于风险的方法开发和维护
• 适用：所有 CRA 覆盖的产品类别

核心内容

prEN 40000-1-3：漏洞处理要求

定位

• 类型：过程标准
• 对应：CRA Annex I, Part 2
• 公询期：已于 2026.03.05 截止

核心要求

生命周期覆盖

1
2
3
4
5

产品生命周期
├── 开发阶段 → 安全编码实践
├── 发布阶段 → 漏洞评估
├── 运营阶段 → 漏洞监控与响应
└── 退役阶段 → 支持终止通知

prEN 40000-1-4：通用安全要求

定位

• 类型：产品导向标准
• 对应：CRA Annex I, Part 1 (a-m)
• 作用：将 ESR 映射到具体安全控制目录

结构设计

1
2
3
4
5
6
7

prEN 40000-1-4 结构
├── Essential Requirements (ESR)
│   └── 直接对应 CRA Annex I, Part 1
├── Security Objectives (SO)
│   └── 高层目标（如 SO.AccessControl）
└── Control Requirements
    └── 技术评估标准

与现有标准的对齐

基本安全要求 (ESR) 映射

ESR 概览

CRA Annex I, Part 1 定义了 13 项基本安全要求：

关键 ESR 解读

ESR (a)：漏洞评估

产品投放市场时不得存在已知可利用漏洞

• 定义：”可利用漏洞” 是指攻击者在实际操作条件下可以有效利用的漏洞
• 控制：GEC-1 要求使用最新的软件/硬件版本

ESR (b)：安全默认配置

产品必须以安全状态交付，无需用户进行大量配置

• 要求：
  • 禁用不安全协议
  • 避免默认密码
  • 提供恢复出厂设置机制

ESR (c)：安全更新

制造商必须确保可以通过安全更新修复漏洞，消费类产品默认自动更新

• 安全目标：
  • SO.Updateability（可更新性）
  • SO.UserUpdateNotification（用户通知）
  • SO.PostponeUpdates（延迟更新选项）

ESR (d)：授权访问

通过适当的认证和访问管理系统保护产品

• 新增控制：GEC-13 要求报告可能的未授权访问
• 映射：AUM（认证机制）和 ACM（访问控制）系列

加密机制要求

Annex K 开发中

prEN 40000-1-4 正在开发跨垂直领域的 Annex K，定义加密机制”允许列表”：

• 依据：ENISA 指南
• 范围：数据静态加密、传输加密
• 状态：草案阶段

相关控制

时间线与里程碑

制造商应对建议

近期行动（2026年）

中期准备（2027年）

相关资源

总结

EN 40000 系列标准是 CRA 合规的技术基础。制造商应密切关注标准开发进展，提前准备合规措施，确保产品在 CRA 全面适用时符合要求。

来源：

• complycra.eu - CRA Standards Technical Deep Dive
• STAN4CRA - Standardization in support of the EU Cyber Resilience Act
• CEN/CLC/JTC 13/WG 9 工作组

CRA, Cyber Resilience Act, EN pr40000, 欧盟标准, 网络弹性 — 2026年3月24日

本文阅读量 次