欧洲议会和欧盟理事会关于数字元素产品横向网络安全要求的法规提案，以及修订（EU）第2019/1020号法规（COM（2022）454最终版）

欧洲议会和欧盟理事会关于数字元素产品横向网络安全要求的法规提案，以及修订（EU）第2019/1020号法规（COM（2022）454最终版）
欧盟委员会于2022年9月15日发布的立法提案，规定了《网络弹性法案》（CRA），旨在为具有数字元素的产品设定横向网络安全要求。拟议的措施基于欧盟产品立法的新立法框架，并将适用于在欧盟内部市场运营的不同经济运营商，包括具有数字元素产品的制造商、进口商和分销商。这些规则将同样适用于欧盟和非欧盟经济运营商打算投放欧盟市场的产品。规则草案规定了：将带有数字元素的产品投放市场以确保其网络安全的规则；带有数字元素的产品的设计、开发和生产的基本要求，以及经济运营商对这些产品的义务；制造商为确保带有数字元素的产品在整个生命周期中的网络安全而制定的漏洞处理流程的基本要求，以及经济运营商对这些流程的义务。制造商还必须报告积极发掘的漏洞和网络安全事件，与合格评定和适用程序相关的规则，以验证基本要求（根据产品的关键程度，基于自我评估或第三方评估）以及需要更严格的合格评定程序的“关键产品”清单。该提案区分了第一类和第二类关键产品，反映了与这些产品相关的网络安全风险水平，市场监督和执行规则。如果已经证明产品符合适用要求（通过合格评定），制造商应起草一份欧盟符合性声明，并能够加贴CE标志。CE标志将表明产品与数字元素的一致性，以便这些产品可以在欧盟内部市场自由流通。为了促进符合数字元素产品制造商的基本要求，《网络弹性法案》的通过可能会导致标准化，即根据提案第3（34）条和第18条制定“统一标准”。  此类标准化工作将根据欧盟标准化条例（（EU）第1025/2012号条例）（见和提案第38条和第3（34）条）进行，并将考虑现有的欧洲和国际标准。因此，在可能导致制定“统一标准”以支持实施CRA的准备过程中，欧盟委员会将支持对具有数字元素的产品的现有网络安全标准进行映射和差距分析的研究。在CRA的背景下，也可以考虑关于受监管产品合格评定和标记的双边（政府间）互认协议（见提案第67条）。