CRA 与 EVSE: 对充电产品的技术影响

1. 为什么 CRA 会直接影响 EVSE

《网络韧性法案》(CRA) 要求带有数字元素的产品在设计、制造和维护阶段持续满足网络安全要求。

现代 EVSE 明确属于范围内: 嵌入式固件、联网能力、OTA 升级、OCPP 集成以及远程服务依赖。

这意味着网络安全成为产品合规证据的一部分，而不是可选项。

2. 欧盟关键时间点

• 2024å¹´12月10æ—¥: 法规 (EU) 2024/2847 生效。
• 2026å¹´9月11æ—¥: 漏洞与事件报告义务开始适用。
• 2027å¹´12月11æ—¥: CRA 在欧盟市场全面适用。
• 2026å¹´3月: 欧盟委员会发布实施指南草案。

3. 关键技术影响

3.1 Secure-by-design 与 secure-by-default

• 在出厂镜像中移除不必要的网络服务。
• 使用唯一凭据，避免共享默认密码。
• 在嵌入式系统中实施加固与最小权限策略。

3.2 固件链路与 OTA

• 实现安全启动、镜像签名与每次启动完整性校验。
• OTA 升级应签名并支持防回滚与可控恢复。
• 在声明支持期内提供可审计的补丁策略。

3.3 漏洞运营能力

自 2026 年 9 月 11 日起，响应速度与报告能力成为强制运营能力。

• 按已部署固件版本对 CVE 进行分级并映射影响。
• 采集遥测与取证日志，识别现场真实入侵。
• 建立与 24小时 / 72小时 / 最终报告节点对齐的报告流程。

3.4 PKI 与端到端信任

• 管理 OCPP 与后端 API çš„ TLS 证书生命周期。
• 在适用场景支持 Plug and Charge 证书治理。
• 远程完成续期与吊销而不影响充电可用性。

4. 对业务与运维的影响

CRA 改变的不仅是合规文档，还包括成本结构与运营模型。

• 前期安全投入提高，但可降低后期重构风险。
• 与嵌入式软件和通信模块供应商的合同要求更严格。
• 需向 CPO 与 B2B 客户给出明确的支持与补丁承诺。

5. EVSE 建议路线图

1. 2026年Q2: 按硬件平台与产品线开展 CRA 差距评估。
2. 2026年Q2-Q3: 完成安全启动、签名 OTA 与日志架构闭环。
3. 2026年Q3: 执行事件演练与报告流程验证。
4. 2026年Q4: 完成技术文档、风险矩阵与安全证据。
5. 2027年: 在上市前固化审计与发布治理流程。

6. 结论

CRA 将网络安全变为 EVSE 产品的结构性要求。

把 2026 年作为技术过渡年的团队，将在 2027 年面临更低监管风险并获得更顺畅的商业落地。

官方参考资料

• 欧盟委员会 - Cyber Resilience Act
• CRA 官方问答
• 实施指南草案 (2026å¹´3月)
• 实施条例 (EU) 2025/2392

说明: 本文为技术信息，不构成法律意见。