对比指南
CRA vs RED
RED 管"无线产品的基础合规",CRA 管"网络安全的硬性义务",卖 Wi-Fi/蓝牙产品 = 两个都触发。
速查表 · 7 个关键差异
| 维度 | CRA | RED |
|---|---|---|
| 管什么 | 网络安全的硬性义务(默认安全 / 漏洞披露 / 5 年支持) | 无线电产品的频谱 + EMC + 安全(Article 3.3) |
| 是否强制 | 所有联网产品(2027-12-11 起) | 所有无线电设备(2014/53/EU 一直有效) |
| 主要义务 | 默认安全 + SBOM + 漏洞披露 + 5 年支持期 | 频谱合规 + EMC + 已有网络安全条款(3.3 d/e/f) |
| 范围差异 | 所有联网产品(不限无线) | 只针对含 Wi-Fi/蓝牙/4G/5G/NFC 等无线模块 |
| DoC | EU CRA DoC 模板 | EU RED DoC 模板 |
| 测试要求 | 网络安全测试(SBOM + 渗透测试) | RF 测试 + EMC 测试 + 安全评估 |
| 罚款 | 1500 万 € 或全球营收 2.5% | 按成员国法律(通常 1000-50000 €) |
各自是什么
📦 CRA(欧盟 CRA 网络弹性法案)
你只要卖带 Wi-Fi、蓝牙、4G/5G 的联网产品(智能灯泡、宠物喂食器、儿童手表、工业传感器)就得懂 CRA。它是欧盟 2024 年通过的《网络弹性法案》,管的是产品的网络安全维度——默认安全、漏洞披露、停产后维护 5 年。2027 年 12 月 11 日全面执行。罚款 1500 万欧元或全球营收 2.5%,哪个高按哪个。
🔁 RED(欧盟 RED 无线电设备指令)
RED 是《无线电设备指令》(2014/53/EU),所有含无线电功能的产品上市欧盟都要做。它管的是频谱、电磁兼容(EMC)、电气安全。从 2022 年 2 月起 RED 加了 3.3 d/e/f 三条网络安全条款,开始往网络安全方向靠。但 RED 主要是'硬件射频能不能用',对漏洞披露、停产支持这些细节写得不如 CRA 深。
你是哪种卖家?选哪个?
卖 Wi-Fi 智能家居的卖家(智能插座、智能灯、扫地机器人)
你产品含无线电(走 RED),还联网(走 CRA),双层合规都得做。RED 实验室出射频报告,CRA 单独出网络安全技术文档,工作量翻倍。
卖蓝牙耳机的卖家(纯音频播放,没联网功能)
蓝牙耳机有无线电功能,RED 一定要做。CRA 只针对'联网产品'——纯本地蓝牙连手机不算联网,暂时不在 CRA 范围。但 2027 年后细则如果收窄,建议持续关注。
卖工业 4G/5G 路由器的 B2B 卖家
含 4G/5G 走 RED,联网设备走 CRA。你的买家(电力公司、工厂)还会叠加 NIS2 要求,实际上是 RED + CRA + NIS2 三层。但本表只对比前两个,你看主表就行。
卖儿童智能手表(含 SIM 卡,能独立联网)
含蜂窝模块走 RED,独立联网又走 CRA。儿童产品还可能叠加 GDPR、儿童数据保护条款,合规压力最大的一类。
关键时间线
- RED 2014/53/EU 正式生效,替代老 R&TTE 指令
- RED 3.3 d/e/f 网络安全条款强制执行,DoC 要含网络安全
- 亚马逊开始要求联网产品提交 DoC(合规声明)
- 欧盟市场监管机构按 RED 3.3 d/e/f 大规模抽查联网产品
- CRA 全面强制执行,所有联网产品必须符合
不做会怎样?罚款与风险
CRA
CRA 不做的后果:亚马逊下架、欧盟海关扣货、企业客户拒收。罚款 1500 万欧元或全球年营收 2.5%,哪个高按哪个。欧盟还会把不合规产品列入公开警告数据库,品牌名声跟着受损。
RED
RED 不做的后果:罚款按成员国(德国可到 10 万欧元、法国 5-15 万欧元、意大利 5-10 万欧元),不合规产品会被亚马逊下架、欧盟海关扣押,产品上贴的 CE 标志也作废。
常见问题
Q RED DoC 已经有网络安全了,CRA 来了还差什么?
RED 3.3 d/e/f 是粗线条的'产品不能轻易被攻击';CRA 要的是 SBOM(软件物料清单)、主动漏洞报告机制、停产后 5 年安全更新、入驻欧盟漏洞数据库。RED DoC 满足不了 CRA 全部要求,得单独再写一份 CRA 技术文档。
Q 蓝牙耳机算联网产品吗?
看功能。如果只是连手机放音乐,不能独立上网,不算联网,暂时不在 CRA 范围;如果能独立连 Wi-Fi 听流媒体(像 AirPods Pro 2 那种),算联网,CRA 要做。
Q 我有 RED CE 证书,还需要单独做 CRA 吗?
要。CE 标志本身不变,但 CRA 是独立的合规体系——需要额外的技术文档(漏洞披露、5 年支持、SBOM)、单独的合格评定程序。RED 证书不能直接复用,得 CRA 单独跑一遍。
Q RED 和 CRA 哪个先做?
RED 先做(2022 年就强制了),产品上市时已经要 RED 合规。CRA 2027 年 12 月才强制,这两年先把 CRA 的技术文档准备起来,2026 年中试运行,2027 年底正式切换。
CRA / RED 后续更新,怎么不错过?
两个法规都在持续修订、亚马逊合规通知在变。每个工作日我们整理一条"今天欧盟发生了什么"给你 —— 每周一条,5 分钟读完。
如果点了没反应,说明 Mailchimp 还没接上 —— 你也可以直接发邮件到 i@weiread.com订阅,我手动把你加进名单。
