洞察丨欧盟这张 RED 证书，管不到 2028 年（核实矫正版）

RED 3.3 谢幕，CRA 接棒：一场已经走了一半的过渡

◆　◆　◆

01｜三条沉睡的条款，是怎么被叫醒的

RED（2014/53/EU）第 3(3) 条里躺着三款基本要求：(d) 网络保护、(e) 个人数据与隐私、(f) 防欺诈。文字 2014 年就有了，但一直“休眠”——它们只对授权法规指定的那几类设备生效，而授权法规迟迟没出。

2021 年 10 月 29 日，欧委会通过 (EU) 2022/30，把开关按下去了。2022 年 1 月 12 日刊登官方公报，同年 2 月 1 日生效，原定 2024 年 8 月 1 日开始适用。

协调标准没跟上。CEN 和 CENELEC 申请延期，(EU) 2023/2444 把适用日往后挪了十二个月——2025 年 8 月 1 日 起，这三条才真正开始管。去年下半年那波客户问询，不是出了新规，是旧规终于落地。

配套协调标准是 EN 18031 三件套，-1 对 (d)、-2 对 (e)、-3 对 (f)。2025 年 1 月 28 日，实施决定 (EU) 2025/138 把它们列进官方公报——但带限制条件。推定符合只在限制不适用时才成立，不是套上标准就自动合规；踩上限制，就得回头找公告机构。（比如允许用户跳过设置密码，或依赖 EN 18031-3 第 6.3.2.4 条的认证判据。）而且到 2026 年，这些限制一条都没解除。

02｜2026 年的转折：不是加码，是废止

转折在 2026 年。2 月 16 日，欧委会通过废止法规 (EU) 2026/339。理由写在序言里，很直白：CRA（EU 2024/2847）附件 I 的基本网络安全要求，已经包含了 RED 3(3)(d)(e)(f) 的全部要素；两套规则同时压在同一件产品上，只会重复评估、增加不确定性。

2026 年 4 月 29 日刊登官方公报，废止生效日定在 2027 年 12 月 11 日——正好是 CRA 全面适用同一天。中间不留空窗，是交接，不是松绑。

03｜三个流行说法，需要纠正

一、“CRA 取代 RED”。 

网上这么写的不在少数，但不准确。

准确的分工是：CRA 只接管网络安全那部分（3(3)(d)(e)(f)），RED 继续管安全（3(1)(a)）、电磁兼容（3(1)(b)）和频谱（3(2)）。一件无线电设备出口欧盟，从此“一个产品、两条法规”，技术文档要同时说清两条线，符合性声明也不是一份了事。

二、“2027 年 12 月之前什么都不用做”。

 这个说法错得有点危险。

所以现在真正的时间表是三段：2026 年 9 月 11 日报告义务先行，2027 年 12 月 11 日全面适用，而 2027 年 12 月 10 日是存量机与新产品之间的分界线。

三、“套上 EN 18031 就自动合规”。 

EN 18031 证明的是 RED 第 3.3 条，不是 CRA；而且前文那些限制还挂着，踩上一条，推定符合就没了。

04｜CRA 到底多要什么

CRA 附件 I 分两块。一是产品属性：设计即安全、交付时无已知可利用漏洞、默认配置安全、能持续处理漏洞。二是漏洞处理义务：软件物料清单（SBOM）、按规定报漏洞、协调漏洞披露、支持期内持续提供安全更新。

最容易被忽略的是支持期。CRA 要求制造商自己定一个支持期，原则是“反映产品的预期使用时间”，底线是不少于 5 年（预期使用期更短则相应缩短），而且要在购买时就把截止日期写清楚，至少标到年和月。很多团队的现状是“我们会持续提供更新”——这种模糊承诺过不了关。

对照 RED 时代做的事——身份认证、安全更新、抗网络滥用、隐私保护——测试项大半重叠，欧委会的判断也是 CRA 附件 I 覆盖了 RED 的全部网络安全要求。投在 EN 18031 上的钱不是白花，真正缺的是 RED 没管过的三样：SBOM、漏洞上报流程、写清楚的支持期。

05｜你的产品落到哪一档

CRA 把产品分成四档：默认、重要 Class I、重要 Class II、关键。附件 III 列重要类（Class I 十九类、Class II 四类），附件 IV 列关键类三类，共二十六个列名类别。

判据是产品的“核心功能”，不是商品名——2025 年 12 月 21 日生效的实施条例 (EU) 2025/2392，给这 26 类每一类都写了精确的技术描述，可以直接对表。没进这 26 类的，才是默认类，走模块 A 自评，但附件 I 的每条要求照样逃不掉。

重要类能不能自评，看标准覆盖：Class I 只有在协调标准（或通用规范、欧洲认证方案）把适用要求全覆盖时，才能用模块 A；Class II 和关键类一律第三方。这里要补一句现实——到 2026 年下半年，CRA 协调标准还没有一项被引用进官方公报（EN 40000 系列仍在制定），所以 Class I 眼下实际上也只能走公告机构：型式试验加型式符合，或者全面质量保证。

06｜三个动作，现在就能开始

一、建一张产品类矩阵。 

每个型号填四列：RED 下的设备类别、命中的是 d/e/f 哪一条、CRA 下落到哪一档、支持期到哪年哪月。这张表决定后面所有测试和文档的走向。

二、证据按“能过渡”建。 

现在跑的 EN 18031 报告，尽量按 CRA 附件 I 的结构组织，同时补 SBOM、漏洞处理流程、支持期承诺。这三样现在是加分项，2027 年 12 月 11 日之后是硬指标。

三、设两个复盘日。 

一个是 2026 年 9 月 11 日——报告流程跑得通吗？另一个是 2027 年 12 月 10 日——这天之前投放市场的设备，即便授权法规废止，市场监管仍可按 RED 追责。窗口期出货的批次怎么留证、怎么覆盖支持期，要提前想。

07｜对检测机构，生意在这里

EN 18031 的测试能力这两年铺开了，但 CRA 要的不只是测试。SBOM 审核、漏洞流程审计、支持期核查，都是流程型能力，靠人和方法，不是添台设备就能接的活。谁把“测试”和“体系审核”接上，谁就能接住这波换轨。

◆　◆　◆

再回到开头那个问题。那张 RED 证书在 2027 年 12 月 10 日之前有效；之后网络安全部分随 (EU) 2022/30 一起退场，射频部分继续按 RED 走。

提前一年动手，比在截止日那天补材料要从容得多。