网络韧性法案

法规 (EU) 2024/2847 与 eSeGeCe 组件库。最后更新：2026 年 8 月

CRA 目前的进展

法规 (EU) 2024/2847 已于 2024 年 12 月 10 日生效，但其义务分阶段落地：

2026 年 6 月 11 日。关于合格评定机构通报的规则开始生效，评定所需的基础设施至此才开始存在。

2026 年 9 月 11 日。制造商须就正在被实际利用的漏洞和严重事件向 ENISA 及相应 CSIRT 报告，24 小时内发出预警，72 小时内提交较完整的通报，并在有补救措施后提交最终报告。

2027 年 12 月 11 日。基本网络安全要求、漏洞处理要求、技术文档、欧盟符合性声明和 CE 标识全面适用。

在 2027 年 12 月之前，市场上没有任何产品带有 CRA 符合性声明，因为签发它的制度框架仍在建设之中。任何供应商若在今天声称已完成 CRA 合格评定，那是在描述一件尚不存在的事。我们现在能做的，也正是本页的目的，是把您自己的评估所需要的证据交给您。

产品分类

eSeGeCe 组件库未列入该法规的附件 III 或附件 IV。它们不是操作系统、虚拟机管理程序、容器运行时、防火墙、入侵检测系统、VPN、身份管理系统、密码管理器、引导管理器、公钥基础设施、网络管理系统，也不属于任何其他重要或关键类别。

因此它们属于默认类别，其符合性由制造商依据模块 A 的内部控制程序自行确立，而不需要公告机构介入。对您的档案而言，这意味着仅仅集成我们的组件，并不会把您的产品拉入更高的合格评定类别。您自己的产品如何分类，取决于该产品做什么。

各自的责任

您是自己投放欧盟市场那件产品的制造商，该产品的 CE 标识和符合性声明由您负责。有两个条款规定了我们之间的关系：

第 13 条第 5 款。在集成来自第三方的组件时，您必须履行尽职调查义务，确保它们不会损害您产品的网络安全。下文所列正是我们为此提供的材料。

第 13 条第 6 款。如果您在已集成的组件中发现漏洞，必须向该组件的维护方报告。就我们的代码而言，该通道见我们的漏洞披露政策。

我们为您的尽职调查提供什么

完整源码。每份授权都包含您所用组件的完整 Delphi 与 C++ Builder 源码。我们不要求您信任一个二进制文件，您可以审阅、审计、插桩并重新编译您所交付的一切。对于附件 I 的评估而言，这是组件供应商所能提供的最有力证据，而多数商业组件厂商并不提供。

按需提供的 SBOM。附件 I 第二部分第 1 点要求我们编制至少涵盖顶层依赖的物料清单并保存在技术文档中，但并不要求我们公开发布。我们为每个版本维护 CycloneDX 格式的清单并按需提供，可直接导入您的资产清单。请通过我们的安全页面索取。

协同漏洞披露政策。已公开发布，设有唯一联系点、确认与评估的时限目标以及披露窗口期，符合附件 I 第二部分第 5 点的要求。

有据可查的变更历史。每个版本都附带历史文件，记录变更内容，包括与安全相关的改动，因此您拥有关于何时修复了什么的书面记录。

支持期限。某个主版本的安全修复自发布之日起至少保持五年可用，满足第 13 条第 8 款的最低要求。

默认安全

附件 I 第一部分要求产品交付时具备安全的默认配置、能够抵御拒绝服务，并尽可能减小攻击面。这项工作在产品中已经可见。近期版本让 WebSocket 服务器对进入的控制帧做速率限制，对并发连接数设定上限而不再无限接受，为 HTTP/2 服务器加入了请求体大小上限，并限制了可调用 MCP 服务器的浏览器来源。传输层安全可通过 OpenSSL 实现，在 Windows 上也可通过 SChannel 实现，后者完全不需要部署外部库。这些默认值之所以收紧，是因为它们本就是正确的默认值，而不是因为某个截止期限有此要求。

我们正在准备的工作

面向上述期限，我们正在推进附件 VII 所述的技术文档、附件 V 的欧盟符合性声明、在适用于我们的范围内的 CE 标识、附件 II 面向用户的信息与说明，以及应对第 14 条自 2026 年 9 月起生效的报告义务的内部流程。相关成果完成后我们会在此发布。该法规的协调标准仍在起草中，一旦可用我们即会与之对齐。