欧盟《网络韧性法案》强制报告阶段已于2026年9月生效，2027年12月11日全面要求与CE标志落地。单独销售的半导体被纳入适用范围，芯片与IP供应商需向客户提供安全评估结果与安全使用假设，并厘清产品分类对应的义务。Arteris推出硬件准备指南与Radix验证工具，帮助生成可追溯的安全证据。
据 SemiEngineering 报道，欧盟《网络韧性法案》（CRA）已于 2024 年 10 月通过，其强制性报告阶段自 2026 年 9 月起生效，而更广泛的网络安全、合格评定与文档要求将于 2027 年 12 月 11 日全面落地。这意味着向欧盟市场供应数字产品的企业——无论直接销售还是为客户的成品提供组件——都必须重新审视自身的合规义务，半导体与半导体知识产权（IP）供应商亦不例外。
联网便利背后的安全账单
如今的电子产品普遍接入网络，与其他设备通信、交换数据、协同任务并接收软件更新。原文指出，这种连接在带来便利的同时也引入了风险：产品中的弱点可能成为网络攻击进入可信设备的通道，而应对一次攻击既耗费时间也耗费金钱，更糟糕的是声誉损害可能在事件发生后长期持续。
为降低这类风险，欧盟建立了共同的网络安全要求，为产品开发设定基线。2024 年 10 月通过的 CRA 正是这一要求框架的载体。原文强调，该规则适用于所有向欧盟市场供应数字产品的公司，不论公司注册地在哪里、开发工作在哪里进行。
具体到半导体领域，该法规适用于单独销售的半导体产品。制造商在将第三方组件集成进自身产品时，必须履行尽职调查义务。半导体 IP 供应商可能需要提供安全评估结果，并说明安全使用的假设条件。
2026 年 9 月：强制报告先行
CRA 针对的是广泛存在的产品漏洞、不一致的安全更新以及安全使用信息不足等问题。原文显示，该法案的强制性报告阶段已于 2026 年 9 月生效。
当制造商获悉其产品中的某个漏洞正被积极利用，或某起严重事件已影响产品安全时，必须提交预警通知，随后提交更详细的通报，并以最终报告说明调查发现与纠正措施。原文指出，制造商通过 CRA 的单一报告平台提交这些通知。
与此同时，CRA 按核心功能（包括安全相关功能）列出了微处理器、微控制器、ASIC 和 FPGA 等半导体产品。适用的类别与义务取决于产品本身及其投放市场的方式，芯片与 IP 企业需要弄清哪些 CRA 责任适用于自身产品，以及可能需要向客户提供哪些信息——原文坦言，由于义务随产品分类而变化，这一判断颇具挑战。
供应链上的安全证据如何流动
原文配图展示了一条示意性供应链，说明组件信息与安全证据如何在供应商与产品制造商之间流动，以支撑制造商的欧盟 CRA 文档工作。该图由 Arteris 公司提供。
为帮助企业做好准备，Arteris 开发了《欧盟 CRA 硬件准备指南》。该指南提供一份清单，帮助公司评估哪些产品可能落入 CRA 范围、明确每款产品的责任方，并确定客户可能索取哪些信息；同时帮助识别在分类、责任、流程或安全文档方面哪些环节仍需完善。
该指南区分了设计阶段的安全证据与完整的合格评定。原文明确，其结果可以支撑制造商的合规工作，但并不覆盖制造商全部 CRA 义务。在安全评估方面，清单要求企业识别密钥、配置和调试状态等资产，并界定保护边界、记录这些资产可以流向何处、不可流向何处。原文提醒，一个仅实现既定功能的设计本身，并不能证明敏感资产始终受到保护。
CRA 附件 VII 列出了制造商技术文档中必须提供的内容，包括网络安全风险评估、相关设计与开发信息以及适用情况下的支持性证据。指南还建议将评估发现映射到具名的硬件弱点类别。原文指出，CRA 设定的是安全结果，并未强制规定具体的评估方法。
Radix 工具链与可追溯证据
除准备指南外，Arteris 旗下品牌 Cycuity 提供用于硬件安全验证的 Radix，帮助开发者生成可追溯的安全证据。
原文介绍，该工具将安全需求转化为可在现有仿真与仿真加速流程中检查的规则：Radix-S 在仿真期间检查这些规则，Radix-M 将其带入仿真加速环节，从而支持系统级分析。软件会在设计过程中追踪密码密钥、配置数据等指定资产，识别违反既定规则的流向，也可帮助评估信任根（Root of Trust）功能是否按预期工作。
原文称，这些发现有助于企业定位潜在弱点、衡量安全覆盖率并识别需要进一步测试的领域。
2027 年 12 月 11 日：CE 标志前的窗口期
原文将 2027 年 12 月 11 日标为下一个主要截止节点。届时 CRA 更广泛的网络安全、合格评定与文档要求生效，CE 标志也将成为必需——该标志声明产品符合适用的欧盟要求。
在全面要求生效之前，硬件与 IP 供应商可以与客户协作，确认哪些产品版本面向欧盟市场。原文指出，尽早识别可让双方在设计仍处于开发阶段时对齐项目排期、规划必要工作。
原文最后提到，Arteris 可帮助企业理解 CRA 要求并研判其对硬件与 IP 产品的适用方式，《欧盟 CRA 硬件准备指南》提供了实务起点。文章作者 Leon Brown 为 Arteris 网络安全营销总监，专注硬件安全保证，在网络安全领域从业超过十年，覆盖身份、公钥基础设施、量子安全与后量子密码学。
本文编译自海外媒体报道，由 SCI.AI 编辑团队整理发布。
