随着欧盟《网络弹性法案》（Cyber Resilience Act，CRA）逐步进入实施阶段，数字产品的网络安全监管正在从传统的“事后监管”转向“产品上市前合规控制”。
在这一体系中，CRA不再笼统要求“产品必须安全”，而是对不同风险等级的产品进行了分层管理。其中，“重要产品（Important Products）”是覆盖范围最广、影响最复杂的一类产品，也是绝大多数消费电子、智能设备及网络设备企业必须重点关注的部分。
一、CRA产品分级的基本思路CRA的产品分类并不是按照行业划分，而是基于一个核心原则：
产品在遭受攻击或存在漏洞时，对用户、网络或系统可能造成的影响范围。
基于这一逻辑，所有数字产品被划分为三类：普通产品、重要产品以及关键产品。
其中，重要产品处于中间风险等级，但覆盖了绝大多数联网设备与智能终端，是实际监管中涉及最广的一类。
二、重要产品的整体定义在CRA框架下，重要产品通常指具备一定网络连接能力或数据处理能力的数字产品，这类产品的共同特点是：
- 产品具备联网或通信能力
- 产品处理用户数据或设备状态信息
- 产品涉及身份认证或访问控制
- 产品具备一定程度的系统交互能力
- 产品漏洞可能影响多个用户或局部网络环境
因此，这类产品的安全风险不再局限于单一设备，而是可能扩展到网络或用户群体层面。
三、重要产品的两级结构CRA进一步将重要产品划分为两个子类别：I类重要产品与II类重要产品，两者的区别主要体现在风险等级与合规路径上。
1. I类重要产品：中等风险产品
I类产品通常面向消费级或通用场景，其共同特征是具有联网能力或数据交互能力，但其安全风险影响范围仍处于局部层级。
这类产品在合规路径上存在一个重要特点：如果产品设计与实现符合欧盟对应的协调标准体系，则可以通过企业自我符合性评估完成合规声明；但如果未采用或未完整采用相关标准，则需要引入第三方机构进行符合性评估。
因此，I类产品的核心在于是否能够通过标准化方式证明其安全设计与实现能力。
2. II类重要产品：高风险产品
II类产品通常属于安全关键或基础设施级产品，其特点是直接参与网络防护、系统控制或关键通信功能。
这类产品一旦被攻击，可能导致大范围系统异常或安全防护能力失效，因此其合规要求明显高于I类产品。
在合规路径上，II类产品不允许采用企业自我声明方式，无论是否符合协调标准，均需要通过第三方公告机构进行符合性评估。
四、重要产品的典型类别范围在实际产品形态中，重要产品主要集中在以下几类功能场景中：
1. 终端计算设备类
包括搭载完整操作系统的终端设备，例如智能手机、平板电脑、个人计算机及相关智能终端产品。这类产品的共同特点是运行环境复杂，软件生态开放，安全边界广。
2. 网络接入设备类
包括路由器、无线接入设备、家庭网关及小型网络交换设备等。这类设备通常处于网络入口位置，一旦被攻击，可能影响整个局域网络的通信安全。
3. 智能家居与安防设备类
包括智能摄像头、智能门锁、家庭安防设备及相关控制系统。这类产品通常涉及视频数据、门禁控制或家庭环境感知，具有较高隐私与物理安全敏感性。
4. 语音交互与智能控制设备类
包括智能音箱、语音助手终端及家居控制中枢设备。这类产品通常具备对多设备的控制能力，同时涉及用户语音与行为数据处理。
5. 联网儿童产品与智能玩具
包括具备联网能力的儿童玩具、教育机器人及远程交互类儿童设备。这类产品的特殊性在于其使用对象为儿童，因此在隐私保护与安全控制方面要求更高。
6. 可穿戴与健康监测设备类
包括智能手表、健康监测设备及具备定位或数据采集功能的穿戴产品。这类设备通常涉及个人健康数据或实时定位信息。
7. 网络接口与通信组件类
包括网卡、无线通信模块及虚拟网络接口等软硬件组件。这类产品本身构成网络连接能力基础，因此在安全性上具有基础设施属性。
8. 安全软件与防护类工具
包括终端安全软件、密码管理工具、加密通信软件及基础安全防护程序。这类产品直接参与系统安全防护逻辑，其自身安全性会直接影响整个系统安全状态。
五、合规路径的核心差异在CRA框架中，重要产品的合规方式并不是统一的，而是根据类别存在明显差异。
对于I类重要产品，如果企业能够完整采用欧盟协调标准体系，则可以通过企业自我符合性声明完成合规路径；如果未采用相关标准，则必须引入第三方评估机构。
对于II类重要产品，则无论是否采用协调标准，都必须通过第三方符合性评估，不存在自我声明路径。
这一机制使得产品分类本身直接影响合规成本与认证路径复杂度。
六、总结
CRA框架下的重要产品分类，本质上是基于网络安全风险影响范围建立的一种分层机制。
I类产品主要面向中等风险消费级与通用设备，通过标准化路径可实现自我符合性评估；II类产品则面向高风险系统级设备，必须通过第三方评估机构验证。
浙江望安科技有限公司围绕CRA合规要求，提供包括产品分类识别、合规路径分析、技术标准映射以及合规材料体系构建在内的一站式安全合规服务，协助企业将CRA框架下数字产品从范围识别与产品分类出发，经过合规路径选择、安全风险分析与安全设计，再到技术文档编制、测试验证与漏洞管理，最终完成CE符合性声明并进入市场，同时持续满足漏洞上报与更新监管要求的全生命周期合规实施路径，转化为可执行的工程路径与交付成果。
如需了解更多CRA认证相关内容，欢迎前往浙江望安科技有限公司官网
