法规与标准

（EU）2022/2555 号 NIS2 指令（NIS2）是一项旨在加强组织网络安全的欧盟指令。尽管 NIS2 指令已由欧洲议会与欧盟理事会正式审议通过，但需经各成员国完成国内法转置程序后，方可在成员国境内正式生效。欧盟通过该指令要求特定公共机构和私营机构通过主动管控网络安全风险（包括供应链中存在的网络风险）来增强其对网络攻击的抵御能力。

国际标准 ISO/IEC 27001 为引入和实施此类网络安全管理流程提供了成熟的基础。该标准明确了信息安全管理体系 (ISMS) 的架构，企业可以依托该体系，以系统化的方法组织、管理和持续发展其信息安全。

实施时间表

NIS2 指令最初要求各成员国完成国内法转化，于 2024 年 10 月前在所有成员国境内生效。但在德国，NIS2 实施法案 (NIS2UmsuCG) 直到 2025 年 12 月才正式生效。

倍福的相关举措

倍福威尔总部同样需满足 NIS2 指令的相关要求，目前公司已在德国联邦信息安全办公室（BSI）的报告与信息门户网站完成注册。Beckhoff Automation 已通过 ISO/IEC 27001 信息安全管理体系（ISMS）认证，同时正持续实施进一步加强信息安全的各项措施。

重点关注的其他法规与标准：

• 《机械法规》
• 《网络弹性法案》(CRA)
• 国际标准 IEC 62443

（EU）2023/1230 机械法规是针对机械产品及零部件的欧盟法规，已由欧洲议会与欧盟理事会审议通过。这意味着，它在所有成员国都具有法律效力，无需转化为国内法。欧盟正在用《机械法规》取代此前行之有效的《机械指令》。《机械指令》和《机械法规》都对具有功能安全的机械产品在特性和开发流程提出明确要求， 同时也对具有功能安全特性的相关零部件进行了规范。从《机械指令》升级至《机械法规》，也对网络攻击防护提出了更多要求。

实施时间表

新《机械法规》将于 2027 年 1 月 20 日起全面强制实施，这意味着自该日期起，所有投放市场的机械及零部件都必须满足其要求。

倍福的相关举措

倍福将通过符合 IEC 62443 标准的补充认证，确保其功能安全产品的适用性。具体而言，除已采用的标准外，倍福的功能安全产品的开发流程还将依据 IEC 62443 第 4-1 部分 （IEC 62443-4-1）进行认证。同时相关产品也将依据 IEC 62443 第 4-2 部分 (IEC 62443 4-2) 中针对功能安全场景的专项要求取得对应认证。这些措施将在《机械法规》生效前及时完成。

重点关注的其他法规与标准：

• NIS2 指令 (NIS2) 与 ISO 27001 标准
• 《网络弹性法案》(CRA)
• 国际标准 IEC 62443

2024 年 12 月，欧盟监管框架新增了一项法规：(EU) 2024/2847 号《网络弹性法规》，更广为人知的名称是《网络弹性法案》，简称 CRA。CRA 对产品的设计、开发和保障提出了相关要求。它要求组织在产品全生命周期内建立漏洞管理机制，明确规定发生网络安全事件时需履行严格的上报义务，并对任何违规行为予以严厉处罚。

CRA 的监管范畴

《网络弹性法案》规定了产品网络安全相关的各项要求。其目标是让产品从一开始开发时就能最大限度地降低网络安全风险，确保产品具备抵御潜在威胁的能力（安全设计/默认安全)。此外，CRA 还覆盖产品生命周期的后续阶段，并同步设置相应的合规要求。例如，即便产品已交付给客户，厂商仍需主动识别产品中可被利用的漏洞，并通过提供漏洞修复补丁完成主动处置。法案并未强制要求用户必须应用或安装这些漏洞修复补丁。

为什么 CRA 是必要的

据德国数字行业协会 Bitkom 的数据显示，2024 年，网络威胁给德国带来的经济损失高达 2670 亿欧元。81% 的企业明确表示曾遭受网络攻击，另有 10% 的企业高度怀疑或确信自己曾遭遇过网络攻击。在数字化全面普及的当下，这些数据不太可能好转。

NIS2 已经提出了加强组织网络安全的要求，而《网络弹性法案》则针对实体产品的网络安全制定了全新标准，使其成为弥补其他安全缺口的重要且实用的工具。

CRA 覆盖的产品范围

CRA 适用于所有投放至欧洲经济区 (EEA) 市场的带数字元素的产品 （PDE）。这包括所有预期用途或可合理预见的使用方式涉及与另一设备或网络建立直接或间接的逻辑或物理数据连接的产品（CRA 第 2 条）。

CRA 的适用范围极为广泛，这意味着它覆盖的产品种类可达数百万件：从独立的软件工具和单独的硬件产品，到软硬件组合产品。但也存在一些例外情形：已受欧盟综合法规监管的带有数字元素的产品（例如医疗技术和汽车领域的相关产品）不在 CRA 的管辖范围内。与功能安全相关的产品同时受 CRA 和《机械法规》管辖，这意味着两者的要求存在一定的重叠。

产品类别与合规证书

总体而言，CRA 将产品划分为四大类：

• 普通产品：CRA 框架下无特殊指定分类，通常统称为‌默认类产品
• 重要 I 类产品
• 重要 II 类产品
• 关键产品

这些产品类别按此处所列顺序构成一个层级体系。这意味着，适用于前序类别的所有要求，同样适用于后续所有类别，由此形成一套逐级递增、总体越来越严格的要求。

产品根据 CRA 及其配套的（EU）2025/2392 实施法规中明确的判断标准进行分类。需要注意的是，只有产品的主要功能才决定其最终分类。这可以用扫地机器人来举例说明。这类设备通常配备操作系统，但这一技术特征并不能决定产品的主要功能，即吸尘。因此，它被归入“普通产品”类别，尽管其操作系统是 I 类产品的典型技术特征。

所有产品均须满足 CE 标志相关合规要求，并随附相应的‌欧盟符合性声明。2027 年 12 月 11 日起投放至欧洲经济区（EEA）市场的所有产品都必须证明其合规性；但在此日期前已投放市场的产品，可继续在市场流通。例如，2027 年 12 月 11 日之前投放市场的产品可继续通过分销渠道流转；但在 2027 年 12 月 11 日之后投放市场的同类型新产品，必须证明其符合 CRA 要求方可上市。CRA 并未产生额外的 CE 标志加贴要求。只有相应的欧盟符合性声明才能表明产品是否满足合规要求。唯一的例外是：CRA 首次要求软件产品也必须加贴 CE 标志。

制造商可以进行默认类产品与重要 I 类产品的自我符合性声明。仅重要 II 类及以上级别的产品，才须由外部公告机构进行评估。重要 I 类及以上级别的产品必须符合相关的网络安全标准。

实用小贴士：倍福的产品组合中仅有少量产品属于“重要”类别（整个自动化行业的情况也大致如此）。在自动化行业中，“关键”类产品在自动化领域几乎不存在，倍福的产品组合中也无该类产品。

CRA 合规义务责任主体

该合规义务由‌分销商‌承担。“分销商”指的是在欧洲经济区 (EEA) 制造或提供带有数字元素产品的所有企业（制造商、进口商和经销商）。

企业需履行的具体合规义务

要实现 CRA 合规，仅在机械设备等产品中使用能够证明通过合规性认证的组件是不够的。此外，即使产品中安装了不符合 CRA 要求的组件，该产品仍然可以实现 CRA 合规。核心判定原则是将整体网络安全风险降至最低。这意味着所有制造商或分销商都要对其特定产品负责，并为产品保障以下合规事项：

1. 基于独立风险评估实施 CRA 要求（产品的设计、开发、交付及保修）

2. 成功完成符合性评估程序

3. 建立漏洞管理机制（调试后、支持期限内以及支持期限结束后）

4. 履行报告义务（向主管部门和客户）—— 贯穿产品全生命周期

CRA 的正式生效时间

《网络弹性法案》已于 2024 年 11 月正式生效，在所有欧盟成员国适用。以 NIS2 指令为代表的欧盟指令类法规，需先由各成员国完成国内法转化程序后方可落地实施；而《网络弹性法案》这类欧盟法规在欧洲议会和欧盟理事会通过后立即生效。换言之，它们无需转化为各成员国的国内法。然而，就 CRA 而言，其要求采用分阶段逐步落地的实施模式。

下一阶段的重要时节节点：

• 官方符合性评估机构将于 2026 年 6 月 11 日正式启动相关工作。
• 针对主动遭利用漏洞及相关安全事件强制报告义务将于 2026 年 9 月 11 日正式生效。
• 自 2027 年 12 月 11 日起，CRA 所有合规要求将全面落地执行。该日期之后新投放市场的所有产品，必须完成合规符合性证明方可上市。

选择倍福，获取 CRA 合规层面的技术优势

基于 PC 的控制技术所具备的架构优势也可直接延伸至 CRA 合规场景。这是因为，与专为可编程逻辑控制器 (PLC) 开发的传统设备不同，基于 PC 的控制技术可以直接依托底层操作系统的功能扩展与安全更新， 快速获取最新的网络安全技术防护能力。

支撑 CRA 合规的另一个基石是 EtherCAT。倍福自研的这款实时现场总线协议不使用互联网协议 (IP)，因此能够最大限度地减少攻击面。而绝大多数恶意软件，其传播几乎都依赖 ISO/OSI 模型第三层的 IP 类通信机制。然而，这一交换层不用于传输 EtherCAT 有效载荷数据。因此，EtherCAT 的特殊系统架构能够从设计之初就杜绝了 IT 领域绝大多数常见攻击场景（安全设计 Secure by Design），并满足 IEC 62443-3-3 规定的安全等级 2 的要求。

倍福长期践行 CRA 核心要求的实践

十余年来，倍福已通过成熟的内部管理流程与配套服务体系，为客户持续创造价值，而这些能力如今已成为 CRA 时代的行业通用合规标准。我们的优势在于，相关流程早已完成搭建并经过多年持续优化，这反过来又有利于确保我们的客户和用户完成 CRA 合规符合性证明。

这套合规体系的核心支撑来自倍福自己的产品安全事件响应团队。倍福还是德国自动化行业首个国家级 IT 安全平台 CERT@VDE 的创始成员之一。此外，倍福早已落地漏洞管理与用户信息同步的专项机制，定期发布更新的安全公告。近期更新增了机器可读的 CSAF 格式合规文档。因此，将这些措施与 CRA 的要求协调一致仅需少量适配工作。这是倍福一贯坚持的道路，首批符合 CRA 要求的产品已正式交付。全系列产品的合规切换工作将于 2027 年全部完成。

重点关注的其他法规与标准：

• NIS2 指令 (NIS2) 与 ISO 27001 标准
• 《机械法规》
• 国际标准 IEC 62443

国际标准 IEC 62443 明确了自动化行业的网络安全要求。它由若干部分组成，总标题为“工业自动化与控制系统安全”，每个部分分别对应一般说明、流程或具体技术要求。各部分根据其用途划分为不同层级：适用于通用应用（第 1 级）、解释流程（第 2 级）；面向系统（第 3 级）或用于组件（第 4 级）。此外，还有更多针对不同产品类别安全配置文件的层级。

为标识各个部分，会在标准编号后附加层级编号和一个额外编号：例如，IEC 62443-4-2 表示 IEC 62443 标准的第 4-2 部分。

技术落地相关核心要点

以下 IEC 62443 各部分对技术落地实施尤为关键：

第 2-4 部分《IACS 服务提供商的安全程序要求》（IACS 代表工业自动化与控制系统）明确了机械与系统制造企业必须满足哪些网络安全计划要求，确保其可为运营方提供具备网络安全防护能力的设备与运维服务。例如，第 2-4 部分要求服务商提供完整的合规文档，以便运营方获得有关机械设备或系统的网络安全信息，共同确保网络安全运行。

第 3-2 部分《系统设计的安全风险评估》为系统与机械设备基于风险的设计流程，以及现有系统风险评估工作提供了标准化流程参考。其目的是确保对威胁分析、风险评估以及后续防护措施的实施深度合规，从而满足运营方对网络安全防护需求。

第 3-3 部分《系统安全要求和安全等级》明确了系统通用的网络安全技术要求。可以选择个别要求作为重点 — 最好基于先前的风险评估结果 — 前提是能够提供这样做的正当理由。

第 4-1 部分《安全产品开发生命周期要求》明确了组件在开发、制造、支持及维护方面的要求。其目标是开发具有网络安全能力的组件，并确保在整个产品生命周期内持续维护网络安全。部分公告机构认为，第 4-1 部分的适用范围不应仅局限于组件层面，还需覆盖系统级产品，因为从运营方的角度来看，系统本身就是一种产品，因此也是一种组件。

第 4-2 部分《IACS 组件的技术安全要求》（IACS 代表“工业自动化与控制系统”）明确了自动化技术组件通用的网络安全技术要求。这些技术要求通常无需一次性全部满足，而是通过组件的特定属性有选择地满足。属性的选择取决于组件在整个系统中承担的功能权重。系统制造商和运营方会根据风险评估结果进行选择，从而确保系统所需的网络安全属性得到保证。

将网络安全理解为一个持续的过程

从 IEC 62443 各部分的内容可以看出，该标准遵循一种基于风险的方法，从运营方的需求出发，将合规要求逐层拆解至系统及其组件层面。同时明确网络安全不仅仅涉及满足技术要求，还需要配套生命周期管理流程与服务体系。这是因为潜在风险会随时间变化。网络安全不是一种可以一蹴而就达到的状态，相反，它必须被理解和实施为一个持续的过程。因此，若未先完成系统级风险评估，也未由系统制造商与运营方共同确认安全管控方案，就要求组件全面满足第 4-2 部分中的技术要求，那就违背了 IEC 62443 标准的制定初衷。即使组件能够满足第 4-2 部分中的所有相关要求，其相应的技术属性也必须在系统设计阶段统筹考量，并且必须随系统一起配置、激活和维护。仅仅因为一个组件具备所需的网络安全属性，并不意味着整个系统就自动实现了网络安全。非必要应用网络安全属性，或单纯为了满足合规要求而强制采用某些网络安全属性，反而可能成为竞争劣势（这一原则同样适用于网络安全领域之外），尤其这类属性通常会带来一定程度的复杂性，而这种复杂性会在安装和维护过程中显现出来。

IEC 62443 与《网络弹性法案》(CRA) 如何相互配合？

IEC 62443 是获得全球广泛认可的国际标准，并经过数十年的持续维护和完善。这项工作由国际电工委员会 (IEC) 各国家委员会组成的联合体共同推进。自动化行业中的许多市场参与者将 IEC 62443 标准视为网络安全领域的核心关键标准。然而，随着 （EU）2024/2847 号网络弹性法规 — 即更广为人知的《网络弹性法案》CRA）— 的正式出台，带来了全新的监管格局。此前 IEC 62443 标准的覆盖范围被普遍认为已足够全面，但 CRA 中包含部分 IEC 62443 未提及的要求。反过来，CRA 也并未覆盖 IEC 62443 的所有方面。这意味着，IEC 62443 与 CRA 之间存在一定程度的重叠，但二者也分别定义了各自独立的流程要求和技术落地要求。此外，CRA 对技术落地的要求相比 IEC 62443 要抽象得多，因为 IEC 62443 的要求已经针对自动化行业进行了定制。

IEC 62443 标准在欧洲的发展

一个由自动化行业参与者组成的联合体现已承担起扩充欧洲标准 EN IEC 62443 下一版本的工作，旨在全面纳入 CRA 的全部要求。其目标是确保企业符合该标准就足以声明符合 CRA 要求。如果没有这些扩充，就必须使用其他标准来满足 IEC 62443 未覆盖的 CRA 要求。这是 IEC 62443 标准发展史上首次出现了一个比国际版本更全面的欧洲版本。该欧洲联合体的规划是，在未来几年内将这些扩充内容纳入国际版本。倍福积极参与 EN IEC 62443 的制定工作，展现了其对实用工业标准的承诺。

作为一项具有严格要求的综合性标准，IEC 62443 理所当然地在自动化行业占有一席之地。然而，从经济效率的角度来看，对所有自动化技术组件和系统一刀切套用相同范围的技术要求显然并不合理。自动化金字塔底层的许多组件本身就已天然具备抵御攻击的能力，不需要r任何额外防护。事实上，强行增设防护措施反而会产生负面影响，因为它会带来额外开销，并大幅提升运维复杂度。归根结底，在应用 IEC 62443 和 EN IEC 62443 时，都需要把握好分寸。

重点关注的其他法规与标准：

• NIS2 指令 (NIS2) 与 ISO 27001 标准
• 《机械法规》
• 《网络弹性法案》(CRA)