Rockchip 客户版 FAQ 白皮书
文档版本：V1.0（2026-08）
合用对象：基于 Rockchip SoC 开发销往欧盟产品的客户
引言
CRA（全称Cyber Resilience Act，律例编号：Regulation (EU) 2024/2847）是一项欧盟律例，为含数字元素的产品——硬件、软件或两者的组合——成立强造性网络安全要求，合用于在贸易活动中向欧盟市场提供，且其预期用处或合理可预感使用蕴含直接或间接、逻辑或物理数据衔接的含数字元素产品，但CRA Art. 2排除情景之表 。
Rockchip 在系统性构建 CRA合规能力：依附已设立的产品安全事务响应团队（PSIRT），与认证机构合作建设缝隙处置系统，持续美满安全开产性命周期（SDLC）流程，在新版本SDK 中构建通明、可追忆的软件供给链，并与产业链同伴协同推动持久支持规划 。
本白皮书以 FAQ 大局概述 CRA 要求及 Rockchip 的支持能力，协助客户规划自身的合规蹊径 。
目录
Item | 问题 |
1 | 什么是《网络弹性法案》(CRA)？ |
2 | 哪些产品受 CRA 影响？ |
3 | CRA 的关键日期和法律功夫线是怎么的？ |
4 | CRA 下造作商有哪些使命？ |
5 | 安全要求要做到什么水平？——基于风险的步骤 |
6 | CRA 若何对产品分类？Rockchip 芯片属于哪一类？ |
7 | Rockchip 若何为 CRA 做筹备并支持客户？ |
8 | 客户应若何筹备？ |
一、什么是《网络弹性法案》(CRA)？
CRA（全称Cyber Resilience Act，律例编号：Regulation (EU) 2024/2847）是一项欧盟律例，为所有含数字元素的产品——硬件、软件或两者的组合——成立强造性网络安全要求，合用于在欧盟销售的产品，无论其原产国 。
CRA 合规是获得 CE 标志的必要前提前提 。对违反主题必要网络安全要求或造作商重要使命，最高可达1500 万欧元或全球年交易额的 2.5%（取较高者） 。其他违规合用分歧上限 。
二、哪些产品受 CRA 影响？
CRA判定——同时满足以下前提的产品即落入监管领域：
# | 判定前提 | 注明 |
① | 含数字元素 | 以数字（二进造）体式处置、存储或传输数据的硬件或软件 |
② | 具备衔接能力 | 与其它设备或网络存在直接或间接、逻辑或物理的衔接 |
③ | 在欧盟贸易化 | 作为贸易活动投放欧盟市场——销售或免费提供均算（如预装软件、随硬件免费分发的固件） |
④ | 排除核查 | 核查Art. 2排除、开源软件特殊规定、备件及经济运营者角色 。 |
前提 ② 对硬件和软件的判定方式分歧：
? 硬件：任何传输二进造数据的有线或无线接口（以太网、Wi-Fi、蓝牙、USB、串口等）均组成衔接
? 软件：直接衔接（如对表提供的 API）或间接衔接（如经由操作系统服务接见网络）均算
判定示例（典型客户场景）
场景 | 是否受影响 |
NVR/IPC 安防设备、平板/电视盒子、智能网关、工业 HMI | ? 受影响 |
车载信息娱乐单元（未蕴含在整车型式认证中） | ? 受影响（整车型式认证覆盖的之表） |
如该设备存在职何通例表部接口，调试/守护接口、可移动介质、文件导入导出、逻辑API及合理可预感的间接衔接，任一满足的情况下 。 | ? 满足前提② 受影响 |
2027-12-11 前已投放市场、尔后不再投放的产品 | ? 不追忆（但沉大批改后沉新投放市场须合规） |
豁免领域（律例 Art. 2）
CRA不合用于Art. 2明确列明的产品或设备 。仅拥有行业用处、实现部门测试或认证领域未覆盖产品自身，均不当然组成排除 。此表，非贸易主张开发或共享的开源软件自身不视为"含数字元素的产品"，但已经纳入贸易产品投放市场即须受 CRA 管辖 。
三、CRA 的关键日期和法律功夫线
日期 | 里程碑 | 对客户的意思 |
2026/9/11 | 汇报使命生效（Art. 14） | 被自动利用缝隙：获知后最迟24幼时早期预警、最迟72幼时缝隙通知；终版汇报是在纠正或缓解措施可用后最迟14日 。严沉事务终版汇报参考Art. 14(4)(c)有关表述 。通过CRA Art. 16单一汇报平台，同时通知ENISA和依Art. 14(7)指定的协调CSIRT 。 |
2027/12/11 | 全面法律 | 尔后投放欧盟市场的所有产品必须全面合规，无论原始颁布日期 |
沉要：汇报使命 2026 年 9 月11日即生效——此刻就必要成立缝隙处置与上报机造，而非比及 2027 年 。
四、CRA 下造作商有哪些使命？
1、主题安全要求（Annex I Part I）
? 默认安全且设计安全
? 产品投放欧盟市场时无已知可利用缝隙
? 接见节造、数据；ぁ⒐セ髅孀钣谆群嫌檬毙杪Annex I Part I (2) (a-m) 具体要求，及Annex I Part I （1）: 含罕见字元素的产品的设计、开发和出产应确保凭据风险水平提供适当的网络安全保险 。
2、缝隙处置与支持使命（Annex I Part II）
? 成立漏洞治理和事务汇报机造（须持续运营，非一次性达标）
? 假造SBOM（机械可读体式，至少覆盖顶层依赖）
? 有效且定期的安全测试和审查
? 实时建复缝隙并提供安全更新，安全更新与职能更新分隔
? 颁布安全布告：缝霞述、标识符、影响产品、严沉水平、建复指引
? 造订并颁布协调缝隙披露 (CVD) 政策
? 提供缝隙汇报联系方式
3、汇报使命（Art. 14）
? 持续使命：在产品性命周期内，自动向 ENISA/成员国 CSIRT 上报
? 时效：24 幼时预警 → 72 幼时详情上报 → 终版汇报（缝隙14天内/严沉事务1个月内）
? 详见第 3 节功夫线（2026-09-11 起生效）
4、支持周期（Art. 13(8)）
? 准则上支吃熠不得少于5年；仅当产品预计使用功夫少于5年时，支吃熠可与预计使用功夫一致 ；剐胱酆-合理用户预期、产品性质、运行环境、第三方主题组件支吃熠限和同类产品实际，并将确定凭据纳入技术文件 。
? 起算点：每台设备（或每个软件版本）自其投放欧盟市场之日起算
? 应针对产品确定、公开并纪录支吃熠，确维持续投放单元获得与申明期限相匹配的缝隙处置和安全更新 。
? 可参考守旧规划（非Art.13(8)唯一法定公式）：对持续销售的型号，支持使命持续至最后一批投放日+ 5年
? 须向用户奉告支吃熠实现日期，到期前通知
5、其他使命
? 基于风险的安全决策须形成文档（风险分析、流程、组件选择理由，详见第 5 节）
? CE 标志合格评定：实现网络安全合规评估后方可贴 CE
? 供给链通明度：对拥有沉大网络安全风险的产品，须保障供给链信息通明
? 用户沟通：向用户奉告渣滓风险及建议的缓解措施（影响产品说明书/用户手册内容）
五、安全要求要做到什么水平？——基于风险的步骤
1、CRA不划定统一的技术基线（不强造具体职能个性或技术规划），只划定指标要求（Annex I） 。执行深杜咨造作商基于风险自行决定并文档化：
? 鉴别与其产品有关的风险
? 执行与风险相称的缓解措施
? 向用户通报渣滓风险及缓解战术
所有安全决策须基于风险并妥善纪录 。文档须蕴含风险分析、执行的流程以及组件选择的理由 。
2、关键准则：相称性（proportionality）
设想这样一个场景：某产品被归类为"默认类"，但现实用于关键基础设施、部署于露出环境、被攻破后可能造成沉大风险 。固然该产品无需接受关键类产品的正式评估，但执行的缓解措施仍必须与现实风险相称——此时应启用强化加固机造（如关关调试接口、启用安全启动全链验证、最幼化攻击面），而非仅按"默认类"的最低要求执行 。
对客户的启迪：芯片归类为 Class I 不代表基于该芯片的整机只需满足最低要求 。最终产品的使用场景和威胁态势决定安全投入的深度 。
六、CRA 若何对产品分类？Rockchip 芯片属于哪一类？
CRA 等级 | 描述 | 合规机造 | 补充注明 |
默认类 | 通用产品 | 自我申明 | 未列入附件 III/IV 的产品 |
Class I | 沉要产品 | 在齐全利用覆盖有关要求的协调尺度、共同规范或切合前提的认证规划时，方可选取相应蹊径；未齐全覆盖时必要选取CRA划定的第三方参加法式 。 | 须按具体型号、独立投放大局、预期用处和“主题职能”，结合Annex III及Implementing Regulation (EU) 2025/2392技术描述逐项判定 。 |
Class II | 沉要产品 | 第三方评估（布告机构） | 例如：Hypervisor、防火墙/IDS/IPS、防篡改 MCU/MPU |
关键类 | 高风险组件 | 按Art. 8和Art. 32(4)判断合用欧洲网络安全认证规划；相应前提未满足或无合用规划时，选取Art. 32(3)划定的第三方合格评定法式 。 | 例如：安全元件、智能卡、智能计量网关 |
Rockchip SoC 分类：产品分类表假造中
Rockchip在进行Rockchip全系列SoC的CRA 分类评估工作（对照律例附件 III/IV 逐型号判定） 。
沉要提醒：芯片分类≠整机分类 。倒佧机的主题职能切合防火墙等Annex III类别及正式技术描述时，才可作相应分类 。最终分类由整机产品的状态和用处决定 。产品分类表仅作为参考输入，客户仍需基于自身产品状态作出合规判定 。
七、Rockchip 若何为 CRA 做筹备并支持客户？
a) 缝隙响应：RKPSIRT
Rockchip 已成立产品安全事务响应团队 (RKPSIRT)，掌管 Rockchip 产品（芯片、SDK、BSP）中安全缝隙的接管、调查、措置和披露 。
对表服务窗口（2026 年 9 月起正式运营）：
窗口 | 用处 | 联系方式 |
缝隙汇报窗口 | 客户/钻研者汇报 Rockchip 产品缝隙 | |
安全布告窗口 | 获取缝隙建复进展、补丁和安全布告 | 安全布告页面/定向通知 |
响应时效：
对象 | 时效 | 注明 |
ENISA（律例层） | 24h/72h/终版：缝隙 14d·事务1个月 | 自动缝隙和严沉事务上报（Art. 14 强造） |
客户（贸易层）·被自动利用的缝隙 | 确认后24h 内预警通知（指标时效），详情72h内补充 | 受影响型号+初步缓解措施；与客24h ENISA早期预警节拍对齐，确保其上报有充分输入 |
b) 合规系统建设（与认证机构合作）
Rockchip 已选定合规合作机构，在建设对齐 prEN 40000-1-2/1-3 /1-4（CRA协调尺度族）与prEN 50765（微芯片安全尺度）的CRA 企业流程与产品合规系统，并同步推动IEC 62443-4-1：
? 安全开发流程（SDLC）：对齐prEN 40000-1-2（安全设计要求），并推动 IEC 62443-4-1 安全开发流程认证
? 缝隙处置系统：对齐 prEN 40000-1-3，覆盖缝隙与事务处置政策、协调缝隙披露 (CVD) 政策，以及接管 → 验证 → 建复 → 颁布 → 颁布后监控的全流程规范
? 安全更新机造：对齐prEN 40000-1-4（安全更新要求）
? 芯片产品安全：对齐prEN 50765（微芯片垂直尺度，覆盖芯片层CRA安全要求）
? 缝隙谍报监控：Rockchip打算纳入的缝隙谍报起源：EUVD（欧盟缝隙数据库）、NVD、上游开源组件公告、供给商公告等
c) 芯片安全能力
能力 | Rockchip 实现 |
安全启动 | Secure Boot 链式署名验证（自芯片固化 BootROM 起，逐级验证各级启动固件） |
可信执行环境 | TrustZone + OP-TEE（密钥、加密操作隔离执行） |
密钥存储 | eFuse/OTP（设备唯一密钥） |
安全更新 | OTA + AVB（Android）/ 署名验证更新机造（Linux） |
接见节造 | TrustZone 安全世界隔离 |
这些能力对应 CRA Annex I Part I 的 (b) 默认安全配置、(c) 安全更新、(d) 接见节造、(e) 机密性、(f) 齐全性要求，客户可在 Rockchip SDK 安全框架上构建合规产品 ？突孕胧迪终胁建模、配置、集成验证、风险评估、技术文件和合格评定 。
d) 软件供给链通明度（SBOM）
? CRA 合规产品须基于 Rockchip 新版本 SDK 开发——新版本 SDK 以最新 LTS 版本为基础构建颁布，具体版本要求通过客户对接窗口确认
? 新版本 SDK打算提供SBOM 自动天生工具并提供使用文档——客户构建产品固件时即可直接输出对应 SBOM，无需额表工具链
? 天生的SBOM为机械可读体式（SPDX/CycloneDX，含组件名、版本、出产者、依赖关系、唯一标识符，满足 prEN 40000-1-3 PRE-7系列要求）
? SBOM用处：支持客户组件级缝隙影响分析（新CVE发作时急剧定位受影响组件）、整机 SBOM 组装与合规审计
? SDK 基线 SBOM 亦可通过客户门户按需获 。ㄓ胄幸低ǔ┳龇ㄒ恢，不公开下载）
Rockchip支持政策：旧版本SDK可能不提供满足CRA证明所需的SBOM、缝隙监测、补丁和持久守护；客户持续使用时需自行承担补充分析和守护责任 。
存量产品迁徙蹊径
对已基于旧版本 SDK 开发的存量产品，建议按下表评估迁徙蹊径：
存量场景 | 建议蹊径 |
打算 2027-12 后仍投放欧盟市场的存量产品 | 迁徙至新版本 SDK 沉新构建，纳入 CRA 合规领域 |
仅在 2027-12 前投放市场的短性命周期产品 | 无需 Annex I 全面合规（不追忆），但 2026-09 起的汇报使命依然合用，建议评估安全基线 |
"投放市场"的判定口径
CRA 的约束锚点是投放市 。╬lacing on the market，Art. 3(21)）——指每一台设备（或每个软件版本）初次进入欧盟市场流通的时点，是单元级事务而非型号级："型号 2027 年上市"不代表整个型号豁免 。常见销售场景的判定：
场景 | 投放时点 | 2027-12-11 后是否需合规 |
持续出产新设备发往欧盟（2028 年仍在出口新机械） | 每台新设备进入欧盟 = 一次新的投放 | ? 之后投放的每一台都要合规 |
消化欧盟渠路库存（2027-10 经销商已囤货，零售持续到 2029） | 这些单元均投放于 2027-10 | ? 不追忆，可持续销售（2026-09 起的汇报使命仍合用） |
老硬件 + 持续推送固件更新 | 固件产生影响Annex I Part I切合性或扭转原评估的预期用处的内容性批改 。安全补丁、缝隙建复或轻微更新不当然组成内容性批改 。 | 固件 2027-12 后颁布的版本须合规 |
注：初次在欧盟市场提供，不宜一律等同于物理进入欧盟或实现报关 。建议客户保留合同、发票、进口、交付、所有权转移、序列号和库存证据，以证明具体单元投放日期 。
e) 支持周期
对齐 CRA Art. 13(8)（支吃熠至少 5 年，每台设备自投放欧盟市场之日起算）
? Rockchip将在后续颁布产品供货周期及网络安全支持周期
? SDK 安全守护：新版本SDK 提供安全补丁窗口（与 RKPSIRT 布告机造联动）
? 与战术同伴合作推动内核 LTS 规划，耽搁开源组件安全守护周期
? 支吃熠实现前通知机造：协助推广 Art. 13(9)/(10) 用户奉告使命
f) CRA 执行性命周期支持
Rockchip 的 CRA 支持覆盖客户产品合规的每个阶段：
产品性命周期阶段 | Rockchip 支持 |
1. 产品设计·风险评估 | 芯片安全架构注明、威胁建模参考（TrustZone/安全启动能力清单） |
2. 安全要求选择与执行 | SDK 安全框架（安全启动/OTA/加密栈）、配置基线文档 |
3. 缝隙处置与文档化 | SDK 组件 SBOM、RKPSIRT 协同措置、缝隙验证支持 |
4. CE 标志与合格评定 | 芯片层安全能力证据（支持客户自我评估/第三方评估） |
5. 上市后监测与事务汇报 | 安全布告窗口、补丁分发、影响面传递（联动客户的 ENISA 上报） |
g) Rockchip 提供的支持
Rockchip 作为组件供给商，按下表支持：
CRA 要求 | Rockchip 提供 | 客户需自行实现 |
Annex I (a) 无已知被利用缝隙 | SDK 颁布前缝隙扫描与建复(凭据分歧情况，建复成效可能存在差距) | 整机层缝隙评估与申明 |
Annex I (b) 安全默认配置 | Secure Boot/TrustZone 框架 | 产等第配置与出厂设置 |
Annex I (c) 安全更新 | OTA/AVB 机造、补丁分发 | 整机更新战术与推送 |
Annex I Part II SBOM | SDK 内置 SBOM 天生工具 + 基线 SBOM | 整机 SBOM 假造（含客户自研部门） |
CVD 政策 | RKPSIRT 窗口 + 高低游协同 | 客户自身 CVD 政策颁布 |
缝隙汇报 | 客户对表联系地址 | |
支吃熠 ≥5 年 | 芯片永性命周期 + SDK 安全守护 | 整机支吃熠承诺与用户通知 |
ENISA 上报 | 就自家芯片/SDK 产品上报；影响客户时实时传递缝隙信息 | 就整机产品上报 |
技术文档 | 芯片安全能力注明、SDK 安全手册 | 整机技术文档（Art. 31） |
八、客户应若何筹备？
Rockchip 建议按以下步骤推动：
1. 盘点产品组合：鉴别哪些产品销往欧盟、属于哪个 CRA 类别（默认/Class I/II），并结合现实使用场景评估风险（见第 5 节相称性准则）
2. 选定新版本SDK：CRA项目立项时确认基于新版本SDK开发，获取 SBOM 与安全框架支持；存量产品参照迁徙蹊径评估
3. 成立缝隙治理机造：
设立缝隙汇报对表联系地址（邮箱/表单）
造订 CVD 政策并公开颁布
成立与 RKPSIRT 的对接通路（含 PGP）
4. 规划上市后使命：缝隙处置流程、ENISA 上报通路（2026-09-11 前就绪）、安全更新推送
5. 确认支吃熠：对照 Art. 13(8)（≥5 年），与 Rockchip 确认芯片与 SDK 的供货与守护周期
附：关键功夫线一览
2026-08 RKPSIRT 缝隙处置/CVD 政策上线
2026-09
① CRA 汇报使命生效（ENISA上报24h预警/ 72h详情/终版：缝隙14d·事务1个月）
② Rockchip 安全布告窗口 + 客户对接机造上线
③ Rockchip SoC 产品分类表颁布
2027-Q3
① CRA 企业流程与产品合规系统建成（对齐 prEN 40000-1-2/3/4、prEN 50765）
② IEC 62443-4-1 流程认证
2027-12-11 CRA 全面法律——尔后投放欧盟市场的产品必须全面合规
免责申明
本文档由 Rockchip 提供，仅供客户参考，旨在协助客户理解 CRA 律例要求及 Rockchip 产品与服务的有关支持能力 。本文档不组成司法建议，也不组成 Rockchip 对客户产品 CRA 合规性的担；虺信 。对Rockchip产品能力和支持政策的注明，以正式合同、产品安全布告及受控颁布文件为准；CRA司法诠释以欧盟法院、欧委会及有关主管机构为准 。
联系方式：psirt@rock-chips.com（缝隙汇报，支持 PGP）
CRA合规征询：cra@rock-chips.com
CRA合规商务对接：请联系您的 Rockchip 销售代表
TB888通宝版权所有
闽ICP备19006074号-1 
闽公网安备 35010202001061号